令和3年度春期 システムアーキテクト 午前Ⅱ 問17

攻撃手法を見分けるための視点

名称の印象だけで判断せず、問題文が示す対象・成立条件・作用する段階に注目し、各選択肢の説明が同じ観点で整合しているかを落ち着いて照合しましょう。用語の細かな違いにも注意します。

この問題で問われていること

一つの選択肢に決める前に、説明が対象・前提・影響範囲のどの観点を中心としているかを確認し、表面的な単語の一致ではなく、記述全体の対応関係を丁寧に見比べてください。

視点

攻撃手法を整理するときは、名称そのものよりも、何を対象にし、どのような前提で成立し、どの段階に影響する説明なのかという観点をそろえて読みます。

確認ポイント

• 対象としているものが何かを確認する
• 成立に必要な前提や状況を確認する
• 説明される影響や結果の範囲を確認する

正解

ア

解説

格納型クロスサイトスクリプティングは、攻撃用スクリプトを含む投稿などがWebサイトに保存され、後からページを閲覧した利用者のWebブラウザで実行される攻撃です。

理由

アは、攻撃者が掲示板への書込みに攻撃用スクリプトを忍ばせ、その内容が掲示板に残った後、別の利用者が閲覧したときにブラウザで実行される流れです。これは格納型クロスサイトスクリプティングの特徴に一致する。

比較

イは不正なJavaScriptを含むリンクを利用者にクリックさせる誘導型の説明で、格納型とは異なる。ウは大量のリクエストでサービス不能にする攻撃です。エは送信元IPアドレスを偽装したDNSリクエストにより、多数のDNSサーバから応答を集中させる増幅・反射型の攻撃です。

選択肢ア（正解）

これは正解だよ。攻撃者が掲示板への書込みに攻撃用スクリプトを忍ばせ、その内容がサイトに保存される。その後、掲示板を閲覧した利用者のWebブラウザでスクリプトが実行されるため、格納型クロスサイトスクリプティングに該当する。

選択肢イ

これは不正解だよ。不正なJavaScriptコードを含むリクエストを送るリンクを用意し、利用者にクリックさせる説明である。掲示板などに攻撃内容を保存して後の閲覧者へ実行させる格納型の流れではなく、リンクを介した誘導による攻撃である。

選択肢ウ

これは不正解だよ。乗っ取った複数のPCから大量のリクエストを送信し、Webサイトをサービス不能状態にする説明である。これは可用性を損なうサービス妨害の攻撃であり、Webページにスクリプトを保存して閲覧者のブラウザで実行させる攻撃ではない。

選択肢エ

これは不正解だよ。送信元IPアドレスを攻撃対象に偽装したDNSリクエストを多数のDNSサーバへ送り、その応答を攻撃対象へ集中させる説明である。DNSの増幅・反射型攻撃であり、Webサイトにスクリプトを保存して実行させるものではない。

学習のポイント

保存型XSSと、リンクなどを介して一時的に誘導する攻撃の違いを整理する。