平成21年度秋期 ITサービスマネージャ 午前Ⅱ 問24

条件と役割の対応を点検する

設問の条件を手掛かりに、問われている用語・手順・役割が何を担うものかを整理し、名称の印象ではなく条件との対応関係に注目して確認しましょう。判断は一つの観点に絞ります。

この問題で問われていること

判断の中心を、各候補が設問中の条件や目的とどの程度整合しているかの確認に置き、似た表現の細かな違いを先に決めつけず、役割の対応と条件の結び付きだけを落ち着いて見直します。

視点

用語や手順を覚えているかだけでなく、設問が示す状況の中で、どの役割との対応を確認すべきかを整理する視点です。

確認ポイント

• 設問で示された条件や目的を確認する
• 問われている役割の範囲を整理する
• 条件と役割の対応関係だけを見直す

正解

ア

解説

緊急事態を装って組織内部の人からパスワードや機密情報を聞き出す行為は、人の心理や行動を利用する攻撃手法に分類されます。

理由

緊急事態を装うことで相手を動揺させ、パスワードや機密情報を直接聞き出す行為は、人の心理や行動を利用しています。この特徴から、ソーシャルエンジニアリングに該当します。

比較

トロイの木馬は不正プログラム、パスワードクラックはパスワードの解析や推測、踏み台攻撃は侵入済みの機器を中継利用する攻撃です。いずれも設問の人的な情報収集とは異なります。

選択肢ア（正解）

これは正解だよ。ソーシャルエンジニアリングは、システムの脆弱性を直接攻撃するのではなく、人の心理や行動を利用して、本人からパスワードや機密情報を聞き出す手法です。緊急事態を装うという設問の状況に一致します。

選択肢イ

これは不正解だよ。トロイの木馬は、正当なソフトウェアやファイルに見せかけた不正プログラムを利用し、実行後に侵入や情報窃取などを行う手法です。人をだまして口頭で情報を得る設問とは分類が異なります。

選択肢ウ

これは不正解だよ。パスワードクラックは、パスワードを推測したり、解析処理によって割り出したりする攻撃です。緊急事態を装って組織内部の人から情報を聞き出すという、心理や行動を利用する手法ではありません。

選択肢エ

これは不正解だよ。踏み台攻撃は、侵入したコンピュータなどを別の攻撃の中継地点として利用し、攻撃元を隠したり対象へ接続したりする手法です。内部の人からパスワードを聞き出す行為を表す分類ではありません。

学習のポイント

人をだます攻撃と、プログラムや計算処理を使う攻撃を区別する。