平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：エクスプロイトコードって何？

エクスプロイトコードは、ソフトウェアやハードウェアの弱点、つまり脆弱性を突いて攻撃を成功させるために作られたコードのことだよ。たとえるなら、壊れた鍵穴のクセを利用して無理やりドアを開けるための“手順書付きの道具”みたいなもの。CSVを変換する便利ツールや、暗号化ファイルを管理する仕組み、試作しながら開発する手法とは別物だよ。

この問題で問われていること

この問題では、セキュリティ用語としての exploit が何を指すのかを見分けられるかがポイントだよ。普通の便利ツールや開発方法ではなく、“脆弱性を悪用して攻撃するためのコード”がエクスプロイトコードだと押さえよう。

Exploit Code Definition

exploit code is a program crafted to trigger and use a vulnerability in software or hardware

targets a vulnerability\nexecutes or abuses unintended behavior\nnot a conversion tool or development method

確認ポイント

• 脆弱性を利用する目的のコードと見る。
• 一般ツールと混同しない。
• 用語定義を素直に当てる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは別の製品へデータを移すための『引っ越し用の荷造り』みたいなプログラムの説明だよ。CSVで出力する話はデータ移行やエクスポートの話で、脆弱性を突くエクスプロイトコードとは関係が薄いよ。

選択肢イ

これは不正解だよ。これはハードディスクやファイルを見たり管理したりする、いわば『棚の中身を整理して見る道具』の説明だよ。外部記憶装置やファイル管理の話であって、弱点を突いて侵入するプログラムの説明ではないよ。

選択肢ウ

これは不正解だよ。これは試作品を早めに作って、利用者の反応を見ながら改善する『試食して味を調整する』ような開発手法、つまりプロトタイピングの説明だよ。開発の進め方の話で、脆弱性を利用するプログラムの話ではないよ。

選択肢エ（正解）

これは正解だよ。ソフトや機器の弱点、つまり家でいうと鍵の壊れた窓みたいなところを実際に突くためのプログラムを指しているよ。脆弱性を『本当に悪用できるか』を試すコードなので、エクスプロイトコードの説明として合っているよ。