攻撃の名称と方法を覚えられる問題です。
解説を利用して、攻撃の名称、方法、違いを確認しましょう。
(1) 令和２年 問60
暗号資産（仮想通貨）を入手するためのマイニングと呼ばれる作業を、他人のコンビュータを使って気付かれないように行うことを何と呼ぶか。
解説
ア ”マイニングと呼ばれる作業を、他人のコンビュータを使って気付かれないように行う”とあるので、クリプトジャッキングの説明です。
イ ソーシャルエンジニアリングは、人間の心理的な隙などを突いて、コンピュータに侵入するための情報を盗み出すことです。
ウ バッファオーバフローは、プログラムが用意している入力用のデータ領域を超えるサイズのデータを入力することで、定外の動作をさせることです。
（ITパスポート 平成26年秋 問59より）
エ フィッシングは、金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得することです。
（ITパスポート 平成28年春 問63より）
よって、正解は ア です。
(2) 令和３年 問56
インターネットにおいてドメイン名とIPアドレスの対応付けを行うサービスを提供しているサーバに保管されている管理情報を書き換えることによって、利用者を偽のサイトへ誘導する攻撃はどれか。
解説
ア DDoS攻撃は、インターネット上の多数の機器から特定のネットワーク、サーバに一斉にパケットを送り、過剰に負荷をかけて機能不全にする攻撃です。
イ DNSキャッシュポイズニングは、PCが参照するDNSサーバに偽のドメイン情報を注入して、利用者を偽装されたサーバに誘導する攻撃です。
（情報セキュリティ H29年秋午前 問22より）
ウ SQLインジェクションは、Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に、攻撃者が悪意をもって構成した文字列を入力することによって、データベースのデータの不正な取得、改ざん及び削除をする攻撃です。
（基本情報 平成28年春午前 問37より）
エ フィッシングは、金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得することです。
（ITパスポート 平成28年春 問63より）
よって、正解は イ です。
(3) 令和３年 問65
シャドーITの例として、適切なものはどれか。
解説
シャドーITは、IT部門の許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービスです。
（情報セキュリティ 平成29年秋午前 問16より）
ア “会社のルールに従い”とあるので、シャドーITではありません。
イ ”のぞき見て入手したパスワード”とあるので、ソーシャルエンジニアリングの例です。
ウ ”PCの画面をのぞかれないように”とあるので、ソーシャルエンジニアリング対策の例です。
エ ”会社が許可していないオンラインストレージサービスを利用して”とあるので、シャドーITの例です。
よって、正解は エ です。
(4) 令和３年 問94
特定のPCから重要情報を不正に入手するといった標的型攻撃に利用され、攻撃対象のPCに対して遠隔から操作を行って，ファイルの送受信やコマンドなどを実行させるものはどれか。
解説
ア RATは、リモートでシステムにアクセスして操作することを可能にするソフトウェアの総称です。
イ VPNは、公衆ネットワークなどを利用して構築された、専用ネットワークのように使える仮想的なネットワークです。
（ITパスポート 平成29年秋 問85より）
ウ デバイスドライバは、PCに接続されている周辺機器を制御、操作するためのソフトウェアです。
（ITパスポート 平成30年春 問83より）
エ ランサムウェアは、PC内のファイルを暗号化して使用不能にし、復号するためのキーと引換えに金品を要求するソフトウェアです。
（ITパスポート 平成31年春 問94より）
よって、正解は ア です。
(5) 令和４年 問56
ランサムウェアによる損害を受けてしまった場合を想定して、その損害を軽減するための対策例として、適切なものはどれか。
解説
ランサムウェアは、PC内のファイルを暗号化して使用不能にし、復号するためのキーと引換えに金品を要求するソフトウェアです。
（ITパスポート 平成31年春 問94より）
ア ”外部記憶装置に定期的にパックアップしておく。”ことによって、PCが使用できなくなってもデータを利用できるので被害を軽減できます。
イ ”使用するIDやパスワードを異なるものにしておく。”は、ランサムウェアの感染を防ぐ対策です。
ウ ”マルウェア対策ソフトを用いてPC内の全ファイルの検査をしておく。”は、ランサムウェアの感染を防ぐ対策です。
エ ”WPA2を用いて通信内容を暗号化しておく。”は、無線LANの盗聴対策です。
よって、正解は ア です。
(6) 令和４年 問91
ソーシャルエンジニアリングに該当する行為の例はどれか。
解説
ソーシャルエンジニアリングは、人間の心理的な隙などを突いて、コンピュータに侵入するための情報を盗み出すことです。
ア ”あらゆる文字の組合せを総当たりで機械的に入力する”とあるので、人間の心理的な隙などを突いていません。
イ ”肩越しに盗み見して入手したパスワードを利用し”とあるので、人間の心理的な隙などを突いています。
ウ ”標的のサーバに大量のリクエストを送りつけて”とあるので、人間の心理的な隙などを突いていません。
エ ”プログラムで確保している記憶領域よりも長いデータを入力する”とあるので、人間の心理的な隙などを突いていません。
よって、正解は イ です。
(7) 令和４年 問95
攻撃対象とは別のWebサイトから盗み出すなどによって、不正に取得した大量の認証情報を流用し、標的とするWebサイトに不正に侵入を試みるものはどれか。
解説
ア DoS攻撃は、電子メールやWeb リクヱストなどを大量に送りつけて、ネットワーク上のサーピスを提供不能にすることです。
（ITパスポート 平成25年春 問52より）
イ SQLインジェクションは、Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に、攻撃者が悪意をもって構成した文字列を入力することによって、データベースのデータの不正な取得、改ざん及び削除をする攻撃です。
（基本情報 平成28年春午前 問37より）
ウ パスワードリスト攻撃は、複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する攻撃です。
（情報セキュリティマネジメント 平成28年春午前 問26より）
エ フィッシングは、金融機関などからの電子メールを装い、偽サイトに誘導して暗証番号やクレジットカード番号などを不正に取得することです。
（ITパスポート 平成28年春 問63より）
よって、正解は ウ です。
ここまで、攻撃の名称と方法を覚えられる問題でした。
次回は、第３回 ISMSやリスクマネジメントについて理解を深められる問題です。
解説を利用して、問題を解きながら知識を蓄えましょう。
次は、こちら
コメント