【ITパスポート】サイバー攻撃の手口【前編】基本の3問

ランサムウェア，DDoS攻撃，ゼロデイ攻撃，フィッシング……。

ITパスポートには，カタカナの攻撃手法が次々と登場します。名前は聞いたことがあっても，**「どんな手口か」「何で防ぐか」**まで説明できる人は多くありません。

令和4〜8年度の過去問では，攻撃手法の問題が毎年複数問出題されています。数が多いので一つずつ暗記すると大変ですが，「何を狙っているか」で分類すると一気に整理できます。

この記事では，実際の過去問を使って，主な攻撃手法とその対策を解説します。

今回の前編では基本の3問，後編では本番で差がつく応用問題を5問解説します。

まずは整理：攻撃は「何を狙うか」で4つに分ける

① 人を狙う攻撃

• ソーシャルエンジニアリング：電話でなりすます，肩越しにのぞき見る，ごみ箱をあさるなど，技術を使わず人の油断を突く

• フィッシング：本物そっくりの偽サイトに誘導して，IDやパスワードを入力させる

② パスワードを狙う攻撃

• ブルートフォース攻撃（総当たり攻撃）：あり得るパスワードを片っ端から試す

• パスワードリスト攻撃：他のサイトから流出したIDとパスワードを使い回してログインを試す

③ ソフトウェアの弱点を狙う攻撃

• ゼロデイ攻撃：脆弱性が見つかってから，修正プログラムが出る前に攻撃する

• SQLインジェクション：入力欄に不正な命令文を入れてデータベースを操作する

• バッファオーバーフロー：想定外の長さのデータを送り込んで不正な動作をさせる

④ サービスを止める攻撃

• DoS攻撃・DDoS攻撃：大量のアクセスを送り付けてサーバをダウンさせる。複数のコンピュータから一斉に行うのがDDoS（分散型）

この分類が頭に入っていると，**対策も自然に決まります。**人を狙う攻撃には教育，パスワードを狙う攻撃にはパスワードの強化，ソフトウェアの弱点にはパッチの適用，という具合です。

問題1（基本）ランサムウェア

ア　PCに外部から不正にログインするための侵入路をひそかに設置する。
イ　PCのファイルを勝手に暗号化し，復号のためのキーを提供することなどを条件に金銭を要求する。
ウ　Webブラウザを乗っ取り，オンラインバンキングなどの通信に割り込んで不正送金などを行う。
エ　自らネットワークを経由して感染を広げる機能をもち，まん延していく。

正解：イ

解説

ランサムウェアは，PCやサーバのファイルを勝手に暗号化して使えなくし，元に戻すことと引き換えに金銭（身代金＝ランサム）を要求するマルウェアです。正解はイです。

• ア　外部から侵入するための裏口を設ける → バックドア

• ウ　ブラウザを乗っ取り，ネットバンキングの通信に割り込む → MITB（マン・イン・ザ・ブラウザ）攻撃

• エ　自分でネットワークを通じて感染を広げる → ワーム

ランサムウェアの対策は，定期的なバックアップを取り，ネットワークから切り離して保管しておくことです。暗号化されても，バックアップから元に戻せます。この「バックアップ」は，令和4年度・7年度・8年度にも対策を問う問題として出題されています。

問題2（基本）技術を使わない攻撃

ア　ゼロデイ攻撃
イ　ソーシャルエンジニアリング
ウ　ソーシャルメディア
エ　トロイの木馬

正解：イ（ソーシャルエンジニアリング）

解説

なりすましやごみ箱あさり（トラッシング）のように，技術的な手段を使わず，人の心理や行動の隙を突く手口がソーシャルエンジニアリングです。正解はイです。

• ア　ゼロデイ攻撃 → ソフトウェアの脆弱性を突く技術的な攻撃

• ウ　ソーシャルメディア → SNSのこと。攻撃手法ではありません

• エ　トロイの木馬 → 便利なソフトに見せかけて侵入するマルウェア

「ソーシャル」という言葉につられてウを選ばないように注意しましょう。ソーシャルエンジニアリングの対策は，従業員への教育です。

令和4年度の問91でも，「肩越しに盗み見たパスワードで他人になりすます」という例でソーシャルエンジニアリングが出題されています。

問題3（基本）3つの攻撃の組合せ

a Webサービスが利用しているソフトウェアに脆弱性の存在が判明したとき，その修正プログラムが提供される前に，この脆弱性を突いて攻撃する。
b 複数のコンピュータから大量のパケットを一斉に送り付けることによって，Webサービスを正常に提供できなくさせる。
c 理論的にあり得るパスワードのパターンを順次試すことによって，正しいパスワードを見つけ，攻撃対象のWebサービスに侵入する。

ア　a：DDoS攻撃／b：ゼロデイ攻撃／c：ブルートフォース攻撃
イ　a：DDoS攻撃／b：ブルートフォース攻撃／c：ゼロデイ攻撃
ウ　a：ゼロデイ攻撃／b：DDoS攻撃／c：ブルートフォース攻撃
エ　a：ゼロデイ攻撃／b：ブルートフォース攻撃／c：DDoS攻撃

正解：ウ

解説

冒頭の分類を当てはめます。

• a　修正プログラムが提供される前に脆弱性を突く → ゼロデイ攻撃

• b　複数のコンピュータから大量のパケットを送り付ける → DDoS攻撃

• c　あり得るパスワードを順次試す → ブルートフォース攻撃

正解はウです。

ゼロデイの「ゼロデイ（0日）」は，脆弱性が公表されてから修正までの猶予が0日，つまり対策が間に合わないうちに攻撃されるという意味です。名前の由来を知っておくと覚えやすくなります。

―――

この記事のような解説を、試験範囲全体で体系的にまとめた本を出しています。
過去問だけでは理解が浅いと感じる人は、ぜひどうぞ。

『ITパスポート 新試験対応 体系テキスト＋過去問』
https://amzn.asia/d/0e86uHA6