令和5年度秋期 データベーススペシャリスト 午前Ⅱ 問21

用語が指す対象を一つずつ見極める

攻撃関連の用語は名前の印象だけで判断すると取り違えやすい分野です。それぞれの用語が本来何を指す言葉なのかを、自分の言葉で一文に言い直せるかを基準にして、問われている内容と照らし合わせながら落ち着いて検討しましょう。

この問題で問われていること

確認する観点は一つだけです。問題中に出てくる用語について、その語が何を対象として名付けられたものかを、名称の響きや連想からではなく、学習した定義に立ち返って捉え直し、問われている内容と対応しているかを確かめてください。

視点

セキュリティ用語には、名前の一部が似ていたり同じ場面で使われたりするため、混同しやすいものがあります。語の見た目から意味を推測するのではなく、用語ごとに「この言葉は何を指して名付けられているか」を定義として押さえておくと、紛らわしい場面でも判断の軸がぶれにくくなります。

確認ポイント

• 問題中の各用語について、それが何を指す言葉かを定義に基づいて一文で言い表せるか
• 名称の響きや似た語からの連想だけで判断していないか
• 自分で言い直した定義が、問われている内容とそのまま対応しているか

正解

エ

解説

エクスプロイトコードとは、ソフトウェアやハードウェアの脆弱性を検査または攻撃するために作成されたプログラムです。

理由

エクスプロイトコードは、ソフトウェアやハードウェアに存在する脆弱性を実際に検査したり、攻撃に利用したりする目的で作成されるプログラムを指します。

比較

他の選択肢は、製品間のデータ移行、外部記憶装置やファイルの管理、試作品を用いた開発手法を説明しており、脆弱性の検査や攻撃を目的とするものではありません。

選択肢ア

これは不正解だよ。CSV形式などでファイルを出力するプログラムは、別の製品へデータを移行しやすくするためのものだよ。セキュリティ機能をもつ製品からの乗換えに関係するけれど、ソフトウェアやハードウェアの脆弱性を検査したり攻撃したりするプログラムではないんだ。

選択肢イ

これは不正解だよ。外部記憶装置や、そこに保存された暗号化ファイルなどを閲覧・管理するソフトウェアは、記憶媒体やファイルを扱うための管理用プログラムだよ。脆弱性を検査又は攻撃する目的のコードではないため、エクスプロイトコードには該当しないんだ。

選択肢ウ

これは不正解だよ。早い段階から動作する試作品を作り、利用者の反応を確認しながら完成させるのは、セキュリティ製品の開発手法を説明しているんだ。これはプログラムそのものの用途ではなく、脆弱性を検査又は攻撃するコードの説明でもないよ。

選択肢エ（正解）

これは正解だよ。ソフトウェアやハードウェアの脆弱性を検査又は攻撃するために作成されたプログラムは、脆弱性を利用した動作を確認したり、攻撃を実行したりする目的をもつんだ。この定義がエクスプロイトコードに該当するよ。

学習のポイント

エクスプロイトコードの定義と、移行・管理用ソフトウェアや開発手法との違いを理解する。