ITパスポート 技術要素 サイバー攻撃の手法を整理する

2026.07.26

攻撃手法は名前が多く混同しやすい分野です。「何を狙う攻撃か」で整理すると覚えやすくなります。

標的を狙う攻撃

  • 標的型攻撃：特定の組織を狙い、業務を装ったメールなどで侵入。長期間・執拗に続くものをAPTと呼びます。
  • 水飲み場攻撃：標的がよく訪れるWebサイトを改ざんして待ち伏せ。
  • ビジネスメール詐欺（BEC）：経営者や取引先になりすまし、偽の振込先へ送金させる詐欺。

サービスやWebサイトを狙う攻撃

  • DoS/DDoS攻撃：大量アクセスでサービスを停止させる。多数の踏み台から一斉に行うのがDDoS。目的は妨害であり、情報窃取ではありません。
  • SQLインジェクション：入力欄に不正なSQL文を注入し、データベースを不正操作。
  • クロスサイトスクリプティング（XSS）：脆弱なサイトに悪意のあるスクリプトを埋め込み、閲覧者側で実行させる。
  • DNSキャッシュポイズニング：DNSに偽情報を覚え込ませ、偽サイトへ誘導。

パスワード・通信を狙う攻撃

  • ブルートフォース攻撃（総当たり）／辞書攻撃（よく使う単語を試す）。アカウントロックや長いパスワードが対策。
  • パスワードリスト攻撃：他サイトから漏れたID・パスワードを流用。使い回しをしないことが基本的な対策です。
  • 中間者攻撃：通信の間に割り込み盗聴・改ざん。暗号化だけでなく、通信相手が本物かを確かめるサーバ証明書の検証を伴うSSL/TLSの利用が対策になります。
  • セッションハイジャック：セッションIDを奪ってなりすまし。

仕組みの弱点を突く攻撃

  • バッファオーバフロー：プログラムが用意した領域を超えるサイズのデータを送り込み、あふれさせて想定外の動作をさせる攻撃。不正なコードを実行されることがあります。
  • ポートスキャン：攻撃の準備として、対象コンピュータの開いているポート（侵入口）を調べる事前調査。使わないサービスを止めておくことが対策です。
  • 第三者中継（オープンリレー）：外部の誰でもメールを中継できる設定のメールサーバが、迷惑メール送信の踏み台に悪用されること。中継は自組織の利用者に限定します。

その他の重要用語

ゼロデイ攻撃は修正プログラム提供前の脆弱性を突く攻撃、ドライブバイダウンロードはサイト閲覧だけで感染させる攻撃です。攻撃の流れを段階で整理したモデルをサイバーキルチェーンと呼びます。

関連する問題

コメント

タイトルとURLをコピーしました