平成29年度春期 システム監査技術者 午前Ⅱ 問20

攻撃手法を見分ける確認軸

選択肢を読むときは、用語の印象や知名度ではなく、説明の中で攻撃者が何を前提に対象へ働きかけているかへ注目します。条件と手順のつながりを整理し、文全体の整合性から判断しましょう。

この問題で問われていること

今回の確認観点は、説明された前提と、対象へ働きかける進め方が対応しているかという一点です。各選択肢について、誰が何を利用し、どの条件で次の行動へ移る想定なのかを読み取り、記述の筋道が無理なくつながるかを比べてください。

視点

概念を整理するときは、名称から連想した特徴を並べるのではなく、説明の前提、対象への働きかけ、成立を判断する条件という流れで、記述同士の関係を捉えます。

確認ポイント

• 説明に置かれた前提は何か
• 働きかけの進め方は一貫しているか
• 成立条件とのつながりに無理がないか

正解

イ

解説

ブルートフォース攻撃は、パスワードに使われる可能性のある文字や記号の組合せを多数試して、認証を突破しようとする攻撃です。したがって、該当するのはイです。

理由

ブルートフォース攻撃は、正しいパスワードを事前に知るのではなく、候補となる文字列を順に試行して認証の成功を狙う。可能性のある文字のあらゆる組合せをパスワードとしてログインを試みる行為が、この定義に該当する。

比較

Cookieなどのセッション情報を盗む行為、キー入力を記録して送信する行為、ログインシーケンスを盗聴して再送する行為は、いずれもパスワード候補を総当たりで試す攻撃とは異なる。

選択肢ア

これは不正解だよ。認証後に発行されたCookieなどのセッション情報を盗む行為は、セッション情報の窃取やセッションハイジャックに関するものだ。パスワード候補を組み合わせて繰り返しログインを試みるブルートフォース攻撃ではない。

選択肢イ（正解）

これは正解だよ。可能性がある文字のあらゆる組合せをパスワードとしてログインを試みるのは、候補を総当たりで試行して認証を突破しようとするブルートフォース攻撃そのものである。

選択肢ウ

これは不正解だよ。コンピュータへのキー入力を全て記録して外部に送信する行為は、入力内容を取得するキーロガーなどの攻撃に該当する。パスワード候補を順番に試して認証する行為ではない。

選択肢エ

これは不正解だよ。正当な利用者のログインシーケンスを盗聴者が記録してサーバに送信する行為は、通信の盗聴や再送によるなりすましに関するものだ。文字の組合せを総当たりで試す攻撃とは異なる。

学習のポイント

認証攻撃は、推測・盗聴・記録など手段の違いで分類して覚える。