【情報セキュリティマネジメント試験】サイバー攻撃、セキュリティ対策

フットプリンティング

• 攻撃者がサイバー攻撃の前に行う情報収集・下調べのこと

エクスプロイトコード

• 脆弱性を攻撃するために作られたプログラムやスクリプトのこと

サイバーキルチェーン

• 攻撃者の考え方・行動を理解する目的
• サイバー攻撃を7段階に区分

ルートキット

• システムに侵入した攻撃者が管理者権限（root）を奪い、存在を隠すためのツールや仕組み

ゼロデイ攻撃

• 修正プログラム（パッチ）が存在しない脆弱性を突く攻撃

ハニーポット

• おとりとしての脆弱なサーバ、ネットワーク機器
• クラッカーの手口やマルウェア動作の調査目的で設置

認証・アカウントを狙う攻撃

攻撃手法	内容（何をする？）	主な対策（試験で問われやすい）
ブルートフォース攻撃	パスワードを総当たりで試す	アカウントロック、多要素認証
リバースブルートフォース攻撃	1つのパスワードを色々なアカウントで試す
辞書攻撃	辞書にある単語でパスワードを試す	複雑なパスワード設定
パスワードリスト攻撃	他サイトから漏えいしたID・PWを使う	MFA、使い回し禁止
レインボーテーブル攻撃	予想したパスワードからハッシュ値を生成、ハッシュ値を比べてパスワードを見破る
リプレイ攻撃	正規通信を盗聴し再送信	ワンタイムパスワード、nonce
セッションハイジャック	セッションIDを盗み、なりすます	HTTPS、CookieのSecure属性

サービス停止を狙う攻撃（DoS系）

攻撃手法	内容	試験ポイント
DoS攻撃	大量通信でサービス停止	単一攻撃元
DDoS攻撃	複数端末からDoS	ボットネット使用
SYN Flood攻撃	TCP接続を枯渇	SYNパケット悪用
Smurf攻撃	ICMPで増幅	ブロードキャスト悪用

ソーシャルエンジニアリング

攻撃手法	内容	試験ポイント
フィッシング	偽サイトで情報詐取	メール誘導
標的型攻撃	特定組織を狙う	添付ファイル
スピアフィッシング	個人を狙う	巧妙な文面
ビッシング	電話による詐欺	音声詐欺
ショルダーハッキング	盗み見	物理対策

マルウェア関連

種類	内容	特徴
ウイルス	他に寄生	単体では動かない
ワーム	自己増殖	ネットワーク拡散
トロイの木馬	正規ソフトを装う	内部侵入
ランサムウェア	データ暗号化	身代金要求
スパイウェア	情報窃取	気付かれにくい

WannaCry

• ランサムウェア
• PC内のデータを暗号化してデータ復号のための金銭要求や、他のPCに感染を拡大したりする

APT

• 標的となる組織の脆弱性を狙った、複数の攻撃手法を組み合わせたマルウェア攻撃

ドライブバイダウンロード攻撃

• Webサイトを閲覧しただけで、マルウェアをPCにダウンロードさせる攻撃

ウォードライビング

• 無防備な無線LAN親機(アクセスポイント)を自動車で移動しながら探し回る行為

ネットワーク・情報収集系攻撃

攻撃手法	内容	ポイント
ポートスキャン	開放ポート探索	攻撃準備段階
スニッフィング	通信盗聴	暗号化で防止
なりすまし	IP/MAC偽装	認証強化
中間者攻撃（MITM）	通信介入	証明書検証
MITB	Webブラウザにマルウェアを感染させ、通信内容や画面表示を密かに改ざんする攻撃(盗聴/改ざん/不正送金)	暗号化通信をすり抜ける

トランザクション署名(MITB対策)

前提シナリオ

• 送金操作：PCのブラウザ
• 確認・署名：スマホ（別デバイス）
• 攻撃：MITB（ブラウザ改ざん）

トランザクション署名が「ない」場合（被害例）

• ① 利用者の操作PCブラウザで「送金」
  • 送金先：A銀行 1234567
  • 金額：10,000円
• ② MITBが裏で改ざん
  • 送金先：B銀行 9999999（攻撃者口座）
  • 金額：100,000円
• ③ 画面表示
  • ブラウザ表示は 10,000円のまま
  • 利用者は気づかない ⇒ 被害発生

トランザクション署名「あり」の場合（安全）

• ① 利用者の操作PCブラウザで「送金」
  • 送金先：A銀行 1234567
  • 金額：10,000円
• ② 銀行サーバが スマホの銀行公式アプリ に次の内容を送信
  • 【送金内容の確認】
  • 送金先：A銀行 1234567
  • 金額：10,000円
• ③ 利用者がPC画面とスマホ画面を確認
• ④ 利用者がスマホで「承認」ボタンを押す(署名)
  • 指紋認証／PIN入力

Webアプリケーション攻撃

攻撃手法	内容	主な対策
XSS(クロスサイトスクリプティング)	スクリプトを注入し実行	エスケープ処理
CSRF(クロスサイトリクエストフォージェリ)	被害者がログイン状態で別の悪意あるページを閲覧、利用者になりすまし操作	CSRFトークン、Refere/originチェック
HTTPヘッダインジェクション	レスポンスヘッダに攻撃者が任意の文字列（ヘッダや改行）を混入させる攻撃	ヘッダに出力する値を CRLF（改行）を含まないようにチェック、URLエンコード
SQLインジェクション	SQL文を改ざん	プレースホルダ
OSコマンドインジェクション	OSコマンド実行	入力値検証、エスケープ
ディレクトリトラバーサル	不正にファイル参照	パス制限

クロスサイトスクリプティング

• Webアプリケーションの入力に悪意あるスクリプト（多くはJavaScript）を埋め込むことで、利用者のブラウザで不正なスクリプトを実行させる攻撃

① 反射型 XSS（Reflected XSS）

• 攻撃用スクリプトがURL に埋め込まれ、そのままレスポンスに反射（表示）されるタイプ
• ユーザが攻撃者の作った「悪意のあるURL」を踏んだときに発生する
• 攻撃シナリオ
  • 攻撃者が悪意のあるURLをメールやSNSで送る
  • 被害者がクリック
  • ブラウザ上でスクリプトが実行
  • Cookieやログイン情報を盗まれる

https://example.com/search?q=<script>stealCookie();</script>

② 保存型/格納型 XSS（Stored / Persistent XSS）

• スクリプトがサーバ側に“保存される”XSS。
• 掲示板・コメント欄・プロフィールなどに悪意のスクリプトを入力すると、
  そのページを閲覧した全ユーザのブラウザでスクリプトが実行される。
• 攻撃シナリオ
  • 攻撃者がスクリプト入りのコメント投稿
  • サーバは内容を保存
  • 他の利用者がページを閲覧
  • スクリプトが各ブラウザで自動実行

掲示板の投稿内容に

<script>stealCookie()</script>

を投稿される → データベースに保存 → ページ表示時に実行。

③ DOM ベース XSS（DOM-based XSS）

• サーバではなく、ブラウザ上の JavaScript（DOM操作）が脆弱で発生する XSS。
• Javascript が URL や location.hash などから値を取り出し、エスケープせずに HTML に挿入することで発生。
• 攻撃シナリオ
  • 攻撃者が悪意ある URL を作成
  • JavaScript が不適切に DOM 書き換え
  • スクリプトがクライアント側で実行

document.getElementById("msg").innerHTML = location.hash.substring(1);

URL が

https://example.com/#<script>stealCookie()</script>

だと、そのまま実行される

違いまとめ

種類	どこにスクリプトがある？	説明
反射型 XSS	URL に埋め込まれ → レスポンスに反射	URL を踏むと1回だけ発生
保存型 XSS	サーバのデータベースなどに保存	閲覧した全ユーザに影響、危険度最大
DOM ベース XSS	クライアント側（JavaScript）で発生	サーバ関与なし、JSのDOM操作が原因

DNSキャッシュポイズニング

• DNSサーバのキャッシュに偽の名前解決情報を登録させ、
  利用者を偽サイトへ誘導する攻撃
  • 利用者が正規ドメイン（例：bank.example）にアクセス
  • DNSサーバが名前解決を問い合わせ
  • 攻撃者が 偽のDNS応答 を送り込む
  • DNSサーバがそれを キャッシュに保存
  • 利用者が 偽サイトへ誘導 される

DNS水責め攻撃(ランダムサブドメイン攻撃)

• オープンリゾルバ(無条件に反応する状態のDNSキャッシュサーバ)に対してランダムなドメインの処理要求を大量に発生させる
• 結果ドメインを管理する権威DNSサーバに過負荷状態にする攻撃

ボット

• 感染した情報機器を、インターネット経由で外部から操ることを目的とした不正プログラム
• C&Cサーバー
  • 攻撃者(ボットハーダー)がボットに命令(comand & control)を送り、遠隔操作するためのサーバー
• ボットネット
  • ボットに感染した複数のコンピューターで構成されたネットワーク

BEC(Business E-mail Compromise)

• 取引先になりすまして、偽のメールを送り付け、金銭をだまし取る詐欺の手口

バッファオーバーフロー

• 大量データをプログラムのバッファに送り込み、バッファ領域をあふれさせて、想定外の動作をさせる攻撃

検疫ネットワーク

• 社内ネットワークに接続しようとするPCを、事前に検査専用のネットワークに接続させ、セキュリティ状態を検査する仕組み

ゼロトラスト

• 「何も信頼しない」を前提に、常に認証・検証するセキュリティモデル

TPMOR,アンチパスロック,インターロックゲート,パニックオープン

用語	説明
TPMOR(Two Person Minimum Occupancy Rule)	部屋に一人きりの状態を作らない」ためのセキュリティ原則・機能
アンチパスロック	共連れを防止のため、入室(退室)の記録がない場合、退室(入室)ができない
インターロックゲート	共連れを防止のため、扉を二重に設置、両扉の間で一人であることが確認できないと二つ目の扉があかない
パニックオープン	非常事態発生時に避難できるようにドアを解錠すること

マルウェア検出方法

用語	意味
コンペア法	別に保管していた原本と検査対象を比較する
チェックサム法	あらかじめ検査対象をマルウェアに感染していないことを証明する情報を記録、検査時にその情報に異常が無いかチェック
パターンマッチング法	あらかじめマルウェアの特徴をマルウェア定義ファイルを用意、それに合致するか調べる
ビヘイビア法	プログラムをサンドボックス上で実行、プログラムが行う危険な振る舞いを検知した時点で感染したと判断する

デジタルフォレンジックス

• 情報セキュリティの犯罪の証拠となるデータを収集・保全すること

ストレッチング

• パスワードを見破られにくくするためにハッシュ関数に繰り返しかけること

クリックジャッキング

• 正規サイトを装い、ユーザに操作させることで、ユーザの意図しない操作を実施させること

2要素認証

• 知識認証、所有者認証、生体認証のうち異なる認証方法を2つ組み合わせる方式
  • 知識認証：秘密の質問
  • 所有者認証：クライアント証明書、ハードウェアトークン
  • 生体認証：指紋認証