攻撃手法を解説[情報セキュリティマネジメント講座]

2021年4月15日2024年11月25日

今回は情報セキュリティマネジメント試験における攻撃手法について学習します。

モナ

試験で問われる攻撃手法を見ていくニャ！

くろん

にゃ

1. 攻撃手法
2. 攻撃手法・例題
- 2.1. 問題
- 2.2. 解説(クリックで展開)
3. 攻撃手法・まとめ

攻撃手法

サイバー攻撃は多様化が進んで手口も年々巧妙になっています。

この記事では試験でよく問われる攻撃手法をまとめたので、対策方法とあわせて押さえておきましょう。

迷惑メール

迷惑メールは受け取り手の意志と関係なく、攻撃者が一方的に送り付けるメールの総称です。

別名スパムメールとも言います。

メールの添付ファイルにマルウェアを仕組んだり、リンクを設置し、悪意あるサイトに誘導したりします。

対策方法としては添付ファイルやリンクを踏まず、メールを削除することです。

DNSキャッシュポイズニング

DNSキャッシュポイズニングは攻撃者がDNSサーバに偽の情報をキャッシュさせて利用者に対して偽のサイトを誘導する攻撃です。

DNSサーバはサイトの住所を表すIPアドレス(例：192.68.92.168)と人間が分かりやすいドメイン名(例：https://www.sikaku-no-iroha.co.jp/)をサーバです。

キュー

詳しくは以下の記事で紹介してるで

しかくのいろは

Webページの仕組み[ITパスポート講座]

https://www.sikaku-no-iroha.co.jp/sikaku/ipass/webpage-ipass

ITパスポートで問われるWebページについて説明していきます。普段よく利用しているサイトやSNSも大抵これらの技術が使われているので、その仕組みを理解できればより安全に、より便利に活用していくことが可能となるでしょう。

ドメイン名は変わらないまま、IPアドレスの異なる偽のサイトに誘導されるので利用者は中々気づきません。

ソーシャルエンジニアリング

ソーシャルエンジニアリングは技術を使わず、人の心理的なスキを突いたり行動から機密情報を抜き出す方法です。

例えば机の上に置きっぱなしの資料をのぞき見されたり、ゴミ箱を漁って見られたくない情報を抜き出されたりします。

肩越しにパソコン画面や入力作業をのぞき見することをショルダハッキング、ゴミ箱を漁ることをスキャベンジング、もしくはトラッシングと言います。

サラミ攻撃

サラミ攻撃は気づかれないほどの少額を大勢の人から奪う方法です。

チョロ

サラミ・・・美味しそうでチュ！

キュー

サラミソーセージを丸ごと盗むとバレるけど、スライスされたサラミを1枚盗んでもばれんからこういった名前がついたわけや

銀行預金の利息計算において、開発者が1円未満を四捨五入ではなく切り捨て計算しその差額を奪うようなケースが過去にありました。

ゼロデイ攻撃

ゼロデイ攻撃は、ソフトウェアに脆弱性が発見された場合に修正プログラムが提供される前にその脆弱性を狙って行われる攻撃です。

カズ

攻撃名の由来は修正プログラムが提供された日を1日目とすると、それ以前の0日目に攻撃が行われることからそう言われるよ

ファイル交換ソフトウェア

ファイル交換ソフトウェアはインターネット経由で不特定多数の利用者間でのファイルを交換できるソフトウェアの事です。

これ自体は害のある攻撃ではありませんが、悪用することで著作権侵害やマルウェア感染、組織内の情報漏洩などの事例が発生しています。

バッファオーバーフロー

バッファオーバーフローは大量のデータをプログラムのバッファに送り込み、領域をあふれさせて想定外の動作をさせる攻撃です。

モナ

バッファはデータを一時的に蓄えるメモリ領域の事だニャ

対策方法として、バッファにデータを保存する際はデータサイズを常にチェックすることです。

クリプトジャック

クリプトジャックは仮想通貨を得るために他人のコンピュータをのっとり、仮想通貨の取引で必要な計算処理を勝手に行う行為です。

チョロ

だ～いすきなのは～　り～まわり(利回り)とかね(金)～

カズ

このハムスター・・・もう駄目だわ

攻撃手法・例題

実際に例題を解いて問題に慣れていきましょう。

問題

問1

特定電子メール送信適正化法で規制される，いわゆる迷惑メール(スパムメール)はどれか。(H.28/春)

ア　ウイルスに感染していることを知らずに，職場全員に送信した業務連絡メール
イ　書籍に掲載された著者のメールアドレスへ，匿名で送信した批判メール
ウ　接客マナーへの不満から，その企業のお客様窓口に繰返し送信したクレームメール
エ　送信することの承諾を得ていない不特定多数の人に送った広告メール

問2

ソーシャルエンジニアリングに該当するものはどれか。(H.29/春)

ア　オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。
イ　キー入力を記録するソフトウェアを，不特定多数が利用するPCで動作させて，利用者IDやパスワードを窃取する。
ウ　日本人の名前や日本語の単語が登録された辞書を用意して，プログラムによってパスワードを解読する。
エ　利用者IDとパスワードの対応リストを用いて，プログラムによってWebサイトへのログインを自動的かつ連続的に試みる。

問3

DNSキャッシュポイズニングに分類される攻撃内容はどれか。(H.29/秋)

ア　DNSサーバのソフトウェアのバージョン情報を入手して，DNSサーバのセキュリティホールを特定する。
イ　PCが参照するDNSサーバに偽のドメイン情報を注入して，利用者を偽装されたサーバに誘導する。
ウ　攻撃対象のサービスを妨害するために，攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。
エ　内部情報を入手するために，DNSサーバが保存するゾーン情報をまとめて転送させる。