情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第26問〜第30問

正解：C

・A
パスワードリスト攻撃は、漏えいしたIDとパスワードの組を他のサービスで試す攻撃であり、セッションIDの悪用ではない。

・B
リプレイ攻撃は、盗聴した認証データをそのまま再送して認証を突破しようとする攻撃であり、本問はログイン済みセッションの識別情報の悪用である。

・C
正しい。認証済みセッションを識別する情報を奪い、正規利用者になりすまして操作する攻撃はセッションハイジャックである。

・D
総当たり攻撃はパスワードを機械的に試して認証を突破しようとする攻撃であり、セッションIDを奪ってなりすます手口とは異なる。

正解：C

・A
辞書攻撃は、辞書にある単語やよく使われる文字列をパスワード候補として試す攻撃である。

・B
フィッシングは、実在する組織などを装って偽サイトへ誘導し、認証情報や個人情報を入力させる手口である。

・C
正しい。脆弱性が公表される前や、修正プログラムなどの十分な対策が利用できない段階で、その脆弱性を悪用する攻撃をゼロデイ攻撃という。

・D
CSRFは、ログイン中の利用者の認証状態を悪用し、本人が意図しない要求を送信させる攻撃である。

正解：B

・A
メールの中の連絡先は攻撃者が用意したものである可能性があり、確認の手段にならない。

・B
正しい。メール以外の、あらかじめ把握している経路で確認することが要点である。

・C
表示名は容易に偽装できるため、一致していても正当性の根拠にはならない。

・D
返信先も偽装されている可能性があり、やり取りが成立しても確認にはならない。

正解：B

・A
フットプリンティングは、攻撃の前に対象の情報を収集する準備の行動であり、侵入後に内部で範囲を広げる行動ではない。

・B
正しい。最初の侵入地点から内部の他の端末やサーバへ横方向に侵害範囲を広げる行動は、ラテラルムーブメントと呼ばれる。

・C
ポートスキャンは、対象機器で利用できるポートやサービスを調べる準備の行動である。

・D
バックドアの設置は、再侵入のための入り口を仕込む行為であり、横方向に侵害を広げる行動そのものではない。

正解：A

・A
正しい。AIへ直接又は読み込ませるデータを通じて細工した指示を与え、本来の指示や制約を無視させようとする攻撃はプロンプトインジェクションである。

・B
SQLインジェクションは、データベースへの問合せ文に不正な命令を挿入する攻撃であり、AIへの指示文の細工ではない。

・C
敵対的サンプルは、人には気づきにくい細工を加えた入力データによってAIの判定を誤らせる手法であり、指示文の細工とは異なる。

・D
ディープフェイクは、AIで本人らしい映像や音声を生成する技術であり、AIへの指示を乗っ取る攻撃ではない。