分類テクノロジ系 » セキュリティ » 情報セキュリティ新しい試験23-2 攻撃手法年度令和7年度の100問の一覧
Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。
a Webサービスが利用しているソフトウェアに脆弱性の存在が判明したとき，その修正プログラムが提供される前に，この脆弱性を突いて攻撃する。
b 複数のコンピュータから大量のパケットを一斉に送り付けることによって，Webサービスを正常に提供できなくさせる。
c 理論的にあり得るパスワードのパターンを順次試すことによって，正しいパスワードを見つけ，攻撃対象のWebサービスに侵入する。
正解と解説
正解：ウ
ア× a と b が逆です。修正プログラムの提供前を狙う a がゼロデイ攻撃、大量のパケットでサービスを止める b が DDoS攻撃です。
イ× 3つとも違います。a はゼロデイ攻撃、b は DDoS攻撃、c はブルートフォース攻撃です。
ウ○ 正解 修正前の脆弱性を突く a がゼロデイ攻撃、複数台から大量のパケットを送る b が DDoS攻撃、パスワードを全パターン試す c がブルートフォース攻撃です。
エ× b と c が違います。大量のパケットでサービスを止める b が DDoS攻撃、パスワードを順に試す c がブルートフォース攻撃です。
解説
3つの記述は、それぞれ攻撃が「何を狙うか」が違います。a は脆弱性が見つかってから修正プログラムが出るまでのすき間の期間、b は大量のパケットでサービスを止めること、c はパスワードを片端から試すことです。
修正プログラムが出る前を突くのがゼロデイ攻撃、複数のコンピュータから一斉に送り付けるのが DDoS攻撃、全パターンを順に試すのがブルートフォース攻撃です。DDoS の最初の D は Distributed（分散）で、「複数のコンピュータから」がその目印です。
教科書 23-2この問題の知識
攻撃手法は、何のすきを突くかで分けると見分けられます。総当たりとパスワードリスト攻撃、SQLインジェクションやドライブバイダウンロード、中間者攻撃とMITB、DDoS攻撃とゼロデイ攻撃、ディープフェイクやプロンプトインジェクションまでを、公開問題を解ける形でまとめます。
この節で扱うこと：資格情報・セッション管理の不備を狙った攻撃・アプリケーションの不備を狙った攻撃・信頼を悪用した攻撃・サービスの妨害を狙った攻撃・AI を悪用した攻撃・その他・特殊・高度な攻撃
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和7年度 問73。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。