平成24年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13：ゼロデイ攻撃って何？

ゼロデイ攻撃は、ソフトの弱点が見つかったのに、まだ修正パッチという“穴をふさぐ工事”が終わっていないタイミングを狙う攻撃だよ。家の鍵が壊れていると知られているのに、まだ修理されていないうちに侵入されるイメージだね。

この問題で問われていること

この問題では、同期攻撃や標的型メールのような攻撃手口そのものではなく、“対策がまだ用意されていない弱点を狙う攻撃”を選べるかがポイントだよ。ゼロデイは「修正される前のスキ」を突く攻撃、と覚えよう。

ゼロデイ攻撃の特徴

利用者側に修正手段がない間を狙うため、防御が間に合いにくいのがゼロデイ攻撃の特徴です。

脆弱性発覚\nパッチ未提供\n-> その間に攻撃

確認ポイント

• 日時を決めた同時攻撃の説明ではありません。
• フィッシングメールで誘導する攻撃とも別です。
• パッチ提供前を狙う説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これはゼロデイ攻撃の説明なので、本来は正解だよ。まだ修理用の部品や対策マニュアルが配られる前に、泥棒が壊れた鍵の弱点を知って侵入するようなものだね。セキュリティパッチが提供される前の脆弱性を攻撃する、という点がポイントだよ。

選択肢イ

これはDDoS攻撃の説明だよ。大勢で同じ店の窓口に一斉に押しかけて、通常のお客さんが使えなくするイメージだね。パッチ公開前の脆弱性を突く攻撃ではないので不正解だよ。

選択肢ウ

これはスピアフィッシングの説明だよ。特定の人を狙って、偽物の案内状を送り、偽の窓口に誘導するような攻撃なんだ。問題で問われている「パッチが出る前の弱点を突く攻撃」とは別物なので不正解だよ。

選択肢エ

これはメールサーバの不正中継を悪用した迷惑メール送信の説明だよ。人の郵便局を勝手に使って大量の手紙をばらまくようなものだね。未知または未修正の脆弱性を攻撃する話ではないので不正解だよ。