Question 1

DoS攻撃とDDoS攻撃の違いに関する説明として、最も適切なものはどれか。

Accepted Answer

DoS攻撃は単一の攻撃元から行われ、DDoS攻撃は多数の端末から分散して行われる。【解説】DoS(Denial of Service)攻撃は、単一の攻撃元(コンピュータ)から大量の通信や不正なリクエストを送りつけ、対象のサーバやサービスを利用不能にする攻撃である。これに対しDDoS(Distributed DoS)攻撃は、ボットネットなどを用いて多数の端末から分散して同時に攻撃を仕掛けるため、発信元の特定や通信の遮断が難しく、より大きな被害をもたらしやすい。【他の選択肢が不適切な理由】DoS攻撃・DDoS攻撃はいずれもサービスの可用性を低下させることを主目的とする攻撃であり、データの改ざんや暗号化そのものを主目的とする攻撃ではない。攻撃元は社内・社外を問わず存在し得るため、発信元を一方に限定する記述は誤りである。DDoS攻撃はボットに感染した端末群を利用することが多く、マルウェア感染を伴わないという記述も実態と異なる。

Question 2

TCPの3ウェイハンドシェイクを悪用し、大量のSYNパケットを送りつけて接続待ちの状態を大量に発生させ、サーバのリソースを枯渇させる攻撃を指す用語として、最も適切なものはどれか。

Accepted Answer

SYNフラッド攻撃。【解説】SYNフラッド攻撃は、TCP接続の確立時に行われる3ウェイハンドシェイク(SYN→SYN/ACK→ACK)の仕組みを悪用し、送信元を偽装した大量のSYNパケットのみを送りつけることで、サーバ側にACKが返ってこない接続待ち(ハーフオープン)状態を大量に発生させ、正規の接続要求を処理できないほどメモリやコネクション管理のリソースを枯渇させるDoS攻撃の一種である。【他の選択肢が不適切な理由】「ARPスプーフィング」はLAN内でARP応答を偽装して通信を盗聴・改ざんする攻撃であり、TCP接続の枯渇を狙う攻撃ではない。「DNSキャッシュポイズニング」はDNSサーバのキャッシュに偽の情報を注入して利用者を偽サイトへ誘導する攻撃である。「セッションハイジャック」はセッションIDを奪って利用者になりすます攻撃であり、いずれもTCPの接続確立処理の枯渇を狙う攻撃ではない。

Question 3

送信元IPアドレスを攻撃対象に偽装した問い合わせをDNSサーバなどへ送り、応答パケットのサイズを増幅させて標的に大量に送りつけるDDoS攻撃の手口を指す用語として、最も適切なものはどれか。

Accepted Answer

DNSリフレクション(反射・増幅)攻撃。【解説】DNSリフレクション攻撃(DNSアンプ攻撃)は、送信元IPアドレスを標的のアドレスに偽装(スプーフィング)した問い合わせをオープンリゾルバ等のDNSサーバへ送信し、問い合わせよりもはるかにサイズの大きい応答パケットを標的へ大量に送りつけることで、通信帯域やリソースを圧迫するDDoS攻撃の一種である。DNS以外にNTPやSNMPなど他のプロトコルを悪用する類似の増幅攻撃も存在する。【他の選択肢が不適切な理由】「ディレクトリトラバーサル」は不正なファイルへのアクセスを狙うWebアプリケーションへの攻撃である。「クリックジャッキング」は隠れた要素を利用者に誤ってクリックさせる攻撃である。「タイポスクワッティング」は入力ミスを狙った類似ドメインを取得する手口であり、いずれもDNS応答を悪用した増幅型のDDoS攻撃とは分類が異なる。

Question 4

攻撃者が対象サーバの稼働ポートや提供しているサービスの種類を事前に調査するために行う行為を指す用語として、最も適切なものはどれか。

Accepted Answer

ポートスキャン。【解説】ポートスキャンとは、対象のサーバに対して各ポート番号への接続を順に試行し、応答の有無からどのポートが開いているか、すなわちどのようなサービスが稼働しているかを調査する行為である。攻撃者は本格的な攻撃の前段階として、侵入可能な脆弱性やサービスを特定するためにポートスキャンを行うことが多く、システム管理者が自組織の設定不備を点検する目的でも用いられる。【他の選択肢が不適切な理由】「サンドボックス回避」はマルウェアが解析用の仮想環境を検知して動作を偽装する技術である。「ソーシャルエンジニアリング」は人的な隙を突いて情報を得る手口であり、ネットワーク上のポートの調査とは異なる。「クロスサイトリクエストフォージェリ」はログインセッションを悪用する攻撃であり、いずれもポートやサービスの調査そのものを指す用語ではない。

Question 5

同一LAN内で、偽のMACアドレス情報を含むARP応答を送りつけて他の機器のARPテーブルを書き換え、通信を自分の端末経由に迂回させて盗聴・改ざんする攻撃を指す用語として、最も適切なものはどれか。

Accepted Answer

ARPスプーフィング。【解説】ARPスプーフィングは、同一LANセグメント内で偽のARP応答(IPアドレスとMACアドレスの対応情報)を送りつけ、他の機器が保持するARPテーブルの内容を書き換えることで、本来の通信経路を攻撃者の端末経由に迂回させ、通信内容の盗聴や改ざんを行う攻撃である。中間者攻撃(MITM)を成立させる代表的な手口の一つである。【他の選択肢が不適切な理由】「DNSキャッシュポイズニング」はDNSサーバのキャッシュ情報を偽装する攻撃であり、ARPテーブルを対象とするARPスプーフィングとは対象が異なる。「IPスプーフィング」は送信元IPアドレスそのものを偽装する行為全般を指し、ARP応答の偽装に限定されない。「スミッシング」はSMSを悪用したフィッシングの手口であり、LAN内の通信経路の迂回とは無関係である。

Question 6

DNSサーバのキャッシュに偽の名前解決情報を注入し、利用者が正しいドメイン名を入力してアクセスしても、攻撃者が用意した偽のサーバへ誘導されてしまう攻撃を指す用語として、最も適切なものはどれか。

Accepted Answer

DNSキャッシュポイズニング。【解説】DNSキャッシュポイズニングは、DNSサーバが保持するキャッシュに偽のドメイン名とIPアドレスの対応情報を注入(汚染)することで、そのDNSサーバを利用する多数の利用者が正しいドメイン名を入力してアクセスした場合でも、攻撃者が用意した偽のサーバへ誘導されてしまう攻撃である。フィッシングサイトへの誘導などに悪用されるおそれがある。【他の選択肢が不適切な理由】「ARPスプーフィング」は同一LAN内でARPテーブルを偽装する攻撃であり、DNSのキャッシュを狙う攻撃とは対象が異なる。「セッション固定化攻撃」はセッションIDを固定して利用者になりすます攻撃である。「クリックジャッキング」は隠れた要素をクリックさせる攻撃であり、いずれもDNSの名前解決の仕組みを悪用する攻撃とは異なる。

Question 7

攻撃者が通信を行う二者の間に割り込み、両者に気付かれないよう通信内容を盗聴・改ざんする攻撃全般を指す用語として、最も適切なものはどれか。

Accepted Answer

中間者攻撃(Man-in-the-Middle攻撃)。【解説】中間者攻撃(MITM攻撃)は、通信を行う正規の二者の間に攻撃者が割り込み、双方には正規の相手と直接通信しているように見せかけながら、実際には通信内容を盗聴したり、内容を改ざんして中継したりする攻撃の総称である。ARPスプーフィングや不正なアクセスポイントの設置など、様々な手口によって成立させられる。【他の選択肢が不適切な理由】「ゼロデイ攻撃」は修正プログラムが提供される前の脆弱性を悪用する攻撃を指す用語であり、通信への割り込みそのものを表す用語ではない。「リバースブルートフォース攻撃」はパスワードを固定してIDを総当たりで試す攻撃である。「ドライブバイダウンロード」はWebサイトの閲覧だけでマルウェアを自動ダウンロードさせる攻撃であり、いずれも通信への割り込みを直接指す用語ではない。

Question 8

攻撃者がパケットの送信元IPアドレスを別のIPアドレスに書き換えて送信し、発信元を偽装したり、対象からの応答を第三者に向けさせたりする行為を指す用語として、最も適切なものはどれか。

Accepted Answer

IPスプーフィング。【解説】IPスプーフィングは、送信するパケットのヘッダに含まれる送信元IPアドレスを、実際とは異なるアドレスに書き換えて送信する行為である。攻撃者自身の身元を隠す目的のほか、DNSリフレクション攻撃のように送信元アドレスを標的のアドレスに偽装して応答パケットを標的へ集中させる目的でも利用される。【他の選択肢が不適切な理由】「ポートスキャン」は稼働ポートやサービスを調査する行為であり、送信元アドレスの偽装そのものを指す用語ではない。「ディレクトリトラバーサル」はファイルパスを操作する攻撃である。「ファーミング」はDNSの設定等を書き換えて偽サイトへ誘導する攻撃であり、いずれも送信元IPアドレスの偽装そのものを表す用語ではない。

Question 9

偽装した送信元IPアドレス(標的のアドレス)宛てに大量のICMPエコー要求をブロードキャストで送信し、応答パケットを標的に集中させて負荷をかける攻撃を指す用語として、最も適切なものはどれか。

Accepted Answer

Smurf攻撃。【解説】Smurf攻撃は、送信元IPアドレスを標的のIPアドレスに偽装したICMPエコー要求(ping)を、ネットワークのブロードキャストアドレス宛てに送信することで、そのネットワーク上の多数の機器が一斉にエコー応答を標的へ送り返すよう仕向け、標的に大量のトラフィックを集中させて負荷をかけるDoS攻撃の一種である。【他の選択肢が不適切な理由】「SYNフラッド攻撃」はTCPの接続確立処理を悪用してハーフオープン状態を大量に発生させる攻撃であり、ICMPのブロードキャストを利用するSmurf攻撃とは仕組みが異なる。「ARPスプーフィング」は同一LAN内でARPテーブルを偽装する攻撃である。「セッションハイジャック」はセッションIDを奪ってなりすます攻撃であり、いずれもICMPエコー要求の増幅を利用する攻撃ではない。

Question 10

あるサーバの通信ログを調べたところ、同一の送信元から極めて短時間にSYNパケットのみが大量に送られ、その多くにACKの応答がないまま接続が確立されずに残っていることが確認された。このログから推測される攻撃として、最も適切なものはどれか。

Accepted Answer

SYNフラッド攻撃。【解説】SYNパケットのみが大量に送られ、ハーフオープン状態(接続が確立されないまま残る状態)が大量に発生している通信ログは、TCPの3ウェイハンドシェイクを悪用してサーバのリソースを枯渇させようとするSYNフラッド攻撃の典型的な兆候である。サーバは応答待ちの接続情報を保持し続けるため、リソースが枯渇して正規の通信を処理できなくなる。【他の選択肢が不適切な理由】「SQLインジェクション」「クロスサイトスクリプティング」「ディレクトリトラバーサル」はいずれもアプリケーション層でのデータや入力値の不正な取り扱いを狙う攻撃であり、TCP接続確立時のSYNパケットの偏りという通信ログの特徴とは対応しない。これらの攻撃はHTTPリクエストの内容(パラメータやパス)に不正な文字列が含まれる形で現れることが多く、本問のログの特徴とは異なる。

サイバー攻撃の手口(ネットワーク攻撃・DoS/DDoS)の一問一答