情報セキュリティマネジメント試験（SG）科目A対策 ／ 全10問
特定の企業や組織を狙い、業務に関係があるように装ったメールにマルウェアを添付して送りつけ、長期間にわたって機密情報を盗み出そうとする攻撃はどれか。
特定の相手に合わせて手口を作り込み、気づかれないように情報を盗み続けるのが標的型攻撃の特徴です。DDoS攻撃は大量の通信でサーバを止める攻撃、ブルートフォース攻撃はパスワードを総当たりで試す攻撃、SQLインジェクションはデータベースを不正操作する攻撃で、いずれも情報を密かに盗み続ける目的とは異なります。
取引先の経営者や役員になりすまして経理担当者に偽の振込指示メールを送り、攻撃者の口座に送金させる詐欺の手口はどれか。
BECは経営者や取引先になりすまし、もっともらしい依頼で金銭を振り込ませる詐欺です。水飲み場攻撃は標的がよく見るWebサイトに罠を仕掛ける手口、セッションハイジャックは通信中の利用者になりすます攻撃、DNSキャッシュポイズニングは偽のサイトへ誘導する攻撃で、いずれも送金をだまし取る手口ではありません。
Webアプリの入力欄に不正な命令文を入力し、データベースを不正に操作して情報を盗んだり改ざんしたりする攻撃はどれか。
SQLインジェクションは入力欄からデータベースへの命令文を紛れ込ませる攻撃で、入力値のチェックやプレースホルダの利用で防ぎます。XSSは悪意あるスクリプトを他の利用者の画面で動かす攻撃、ディレクトリトラバーサルは非公開ファイルを不正に参照する攻撃、バッファオーバーフローはメモリをあふれさせる攻撃で、対象や仕組みが異なります。
利用者を信頼させて偽サイトのリンクをクリックさせ、ID・パスワードやクレジットカード番号などを入力させて盗み取る攻撃はどれか。
フィッシングは本物そっくりの偽サイトやメールで利用者をだまし、認証情報などを自ら入力させて盗みます。CSRFは利用者に意図しない操作を実行させる攻撃、MITMは通信に割り込んで盗聴・改ざんする攻撃、ゼロデイ攻撃は修正前の脆弱性を突く攻撃で、利用者をだまして情報を入力させる手口とは異なります。
ログイン中の利用者のブラウザを悪用し、利用者が気づかないうちに本人の権限で不正な操作（送金や設定変更など）を実行させる攻撃はどれか。
CSRFはログイン状態を悪用し、利用者本人になりすまして意図しない操作をさせる攻撃で、トークン照合などで防ぎます。ブルートフォース攻撃やパスワードリスト攻撃はログイン自体を突破しようとする攻撃、ソーシャルエンジニアリングは人をだまして情報を聞き出す手口で、ログイン済みの権限を悪用する点が異なります。
考えられる文字の組合せを片端から次々に試してパスワードを解読しようとする攻撃はどれか。
ブルートフォース攻撃は文字の組合せを総当たりで試す力任せの手口で、桁数を増やすことやアカウントロックで対策します。パスワードリスト攻撃は他で漏れたID・パスワードの一覧を使い回す攻撃、MITMは通信に割り込む攻撃、サプライチェーン攻撃は取引先経由で侵入する攻撃で、総当たりという特徴は持ちません。
他のサービスから漏えいしたIDとパスワードの組合せを大量に入手し、別のサービスへ次々とログインを試みる攻撃はどれか。
パスワードリスト攻撃は使い回された認証情報を悪用するため、サービスごとに異なるパスワードを使うことが有効な対策です。SQLインジェクションはデータベースへの攻撃、DoS攻撃はサーバを過負荷で止める攻撃、水飲み場攻撃は標的が訪れるサイトに罠を仕掛ける攻撃で、漏えい情報の使い回しを狙う点が異なります。
通信の当事者間に攻撃者がひそかに割り込み、やり取りを盗聴したり内容を改ざんしたりする攻撃はどれか。
中間者攻撃(MITM)は通信の間に割り込んで盗聴・改ざんする攻撃で、通信の暗号化(TLS)やサーバ証明書の確認が対策になります。ディレクトリトラバーサルは非公開ファイルへの不正アクセス、ブルートフォース攻撃はパスワード総当たり、BECはなりすましによる送金詐欺で、通信への割り込みとは仕組みが異なります。
ソフトウェアの脆弱性が発見されてから修正プログラムが提供されるまでの、対策が存在しない期間を突く攻撃はどれか。
ゼロデイ攻撃は修正前の脆弱性を狙うため通常の更新では防げず、多層防御や不審な挙動の検知が重要になります。パスワードリスト攻撃は漏えい情報の使い回し、CSRFは権限の悪用、フィッシングは偽サイトによる詐取で、いずれも修正前の脆弱性を突くという特徴とは関係がありません。
標的の従業員が日常的に閲覧するWebサイトをあらかじめ改ざんしておき、その従業員がアクセスした際にマルウェアに感染させる攻撃はどれか。
水飲み場攻撃は獲物が水を飲みに来る場所で待ち伏せするように、標的がよく見るサイトに罠を仕掛けて感染させる攻撃です。DNSキャッシュポイズニングは名前解決を偽装して偽サイトへ誘導する攻撃、バッファオーバーフローはメモリをあふれさせる攻撃、セッションハイジャックは通信のなりすましで、待ち伏せの手口とは異なります。