分類テクノロジ系 » セキュリティ » 情報セキュリティ新しい試験23-2 攻撃手法年度令和5年度の100問の一覧
Webサイトなどに不正なソフトウェアを潜ませておき，PCやスマートフォンなどのWebブラウザからこのサイトにアクセスしたとき，利用者が気付かないうちにWebブラウザなどの脆弱性を突いてマルウェアを送り込む攻撃はどれか。
正解と解説
正解：ウ
ア× DDoS攻撃は、多数の機器から一斉に大量の通信を送りつけて、サーバやネットワークを使えない状態にする攻撃です。閲覧した人にマルウェアを送り込むものではありません。
イ× SQLインジェクションは、Webアプリケーションの入力欄に不正なSQL文を入れて、データベースを不正に操作する攻撃です。狙われるのは閲覧者の端末ではなく、サーバ側のデータベースです。
ウ○ 正解 仕込んだサイトを見ただけで、ブラウザなどの脆弱性を突いてマルウェアを送り込むのがドライブバイダウンロードです。
エ× フィッシング攻撃は、本物そっくりの偽のメールやWebサイトで利用者をだまし、IDやパスワードなどを入力させて盗む攻撃です。利用者に入力させる点が違います。
解説
Webを使う攻撃には、狙う相手と手口の違うものがいくつもあります。大量の通信でサーバを止めるもの、サーバの入力欄を悪用してデータベースを操るもの、偽のサイトに誘って入力させるもの。ドライブバイダウンロードは、Webサイトにマルウェアを仕込んでおき、そのサイトを見に来た人のPCやスマートフォンに、ブラウザなどの脆弱性を突いてマルウェアを送り込む攻撃です。
問題文の決め手は「アクセスしたとき」「利用者が気付かないうちに」「脆弱性を突いてマルウェアを送り込む」の3つです。サイトを見ただけで、利用者が何も操作しないうちにマルウェアが入り込むのがドライブバイダウンロードです。突かれるのは脆弱性なので、OSやブラウザ、プラグインを最新の状態に保つことが対策になります。
教科書 23-2この問題の知識
攻撃手法は、何のすきを突くかで分けると見分けられます。総当たりとパスワードリスト攻撃、SQLインジェクションやドライブバイダウンロード、中間者攻撃とMITB、DDoS攻撃とゼロデイ攻撃、ディープフェイクやプロンプトインジェクションまでを、公開問題を解ける形でまとめます。
この節で扱うこと：資格情報・セッション管理の不備を狙った攻撃・アプリケーションの不備を狙った攻撃・信頼を悪用した攻撃・サービスの妨害を狙った攻撃・AI を悪用した攻撃・その他・特殊・高度な攻撃
Udemy の ITパスポート講座を、受講者数・★評価・口コミで比べたページです（広告を含みます）。
過去問教科書の一覧（現行の試験の順）教科書の一覧（新しい試験の順）
出典：IPA「ITパスポート試験 公開問題」令和5年度 問58。問題文と選択肢は改変せずに引用しています（表・図は文字に書き起こしたもの）。正解は IPA 公表の解答例によります。