情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第16問〜第20問

正解：D

・A
辞書攻撃は、辞書に載る単語などパスワードに使われやすい文字列を試す攻撃であり、流出した組合せをそのまま使うものではない。

・B
リプレイ攻撃は、過去に取得した正当な認証メッセージなどを再送して、認証を不正に通過しようとする攻撃である。

・C
ポートスキャンは、対象機器で待受け中のポートやサービスを調査する行為である。

・D
正しい。漏えいしたIDとパスワードの組合せを別サービスへ試す攻撃は、パスワードリスト攻撃又はクレデンシャルスタッフィングと呼ばれる。

正解：A

・A
正しい。パスワードを固定し、利用者IDを次々に変えて試す手法がリバースブルートフォース攻撃である。IDごとの試行回数が少ないため、アカウントロックで検知しにくい。

・B
ディレクトリトラバーサルは、ファイルパスの入力処理の不備を悪用し、公開対象外のファイルへアクセスする攻撃である。

・C
セッションハイジャックは、セッションIDなどを奪い、正規利用者になりすまして通信を継続する攻撃である。

・D
ブルートフォース攻撃（総当たり攻撃）は、一つの利用者IDに対してパスワードを次々に試す攻撃であり、IDを次々に変える点が逆である。

正解：C

・A
ディレクトリトラバーサルは、パス指定を悪用して公開対象外のファイルを読み出す攻撃であり、SQL文の改変によって情報を取得する手口とは異なる。

・B
クロスサイトスクリプティングは、Webページへ不正なスクリプトを混入させ、閲覧者のブラウザ上で実行させる攻撃である。

・C
正しい。入力値を安全に処理せずSQL文へ組み込んだため、入力によってSQLの意味が変わり、意図しないデータ取得が行われている。

・D
バッファオーバーフローは、確保された領域を超えてデータを書き込み、異常動作や任意コード実行を引き起こす攻撃である。

正解：B

・A
OSコマンドインジェクションは、入力処理の不備を悪用して、サーバ上で意図しないOSコマンドを実行させる攻撃である。

・B
正しい。Webページへ不正なスクリプトを混入させ、閲覧者のブラウザ上で実行させる攻撃はクロスサイトスクリプティングである。

・C
DNSキャッシュポイズニングは、DNSキャッシュへ偽の名前解決情報を登録させる攻撃である。

・D
パスワードリスト攻撃は、漏えいした認証情報の組合せを他サービスへ試す攻撃である。

正解：D

・A
SQLインジェクションは、入力値を通じて不正な問合せをデータベースに実行させる攻撃であり、認証済みの利用者に要求を送信させる手口ではない。

・B
OSコマンドインジェクションは、入力値を通じてサーバのOSコマンドを不正に実行させる攻撃である。

・C
ドライブバイダウンロードは、Webサイトの閲覧だけでマルウェアを取得させる手法である。

・D
正しい。認証済みセッションを悪用して本人の操作として要求を送らせる攻撃であり、処理の直前に本人の意思を確かめる仕組みが対策になる。