HTMLメールの特徴から攻撃手法をどう見分けるか
ITパスポート試験 令和2年度10月 問56 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
HTML形式の電子メールの特徴を悪用する攻撃はどれか。
- ア
DoS攻撃
- イ
SQLインジェクション
- ウ
悪意のあるスクリプトの実行
- エ
辞書攻撃
会話形式の解説
講師この問題では、HTMLメールに含められるものに注目して、攻撃手法を見分けます。
受験者メールを使った攻撃なので、サービスを妨害するDoS攻撃も当てはまるのでしょうか。
講師DoS攻撃は大量の要求などでサービスの利用を妨害する手法です。HTMLメールの機能を使うことが、この問題の判断点です。
受験者では、HTMLメールには何を含められる点が手掛かりになりますか。
講師スクリプト、つまり実行される処理を含められる点です。閲覧環境によってはメール内で動くことがあるため、悪意のあるスクリプトの実行が正解です。
受験者SQLインジェクションも不正な処理を起こすので、紛らわしいです。
講師SQLインジェクションは、不正なSQL入力でデータベースを攻撃します。着目するのは入力とデータベースの処理です。
受験者辞書攻撃は、候補の語を試してパスワードを推測する手法ですね。HTMLメールのスクリプトとは関係がありません。
講師そのとおりです。攻撃の対象と使う手段を比べると区別できます。
受験者HTMLメールに含まれるスクリプトが実行され得る点から判断すればよいのですね。
講師はい。多くのメールソフトはスクリプトの実行を制限していますが、この問題では実行され得る場合があることを手掛かりにします。
まとめ
HTMLメールにはスクリプトを含められ、閲覧環境によっては実行され得ます。その特徴を悪用する「悪意のあるスクリプトの実行」が正解です。DoS攻撃はサービスの妨害、SQLインジェクションはデータベースへの攻撃、辞書攻撃はパスワードの推測です。多くのメールソフトではスクリプトの実行が制限されています。
解答・解説
正解はウです
この問題のテーマ
HTML形式の電子メールの機能を悪用する攻撃を、ほかの攻撃手法と区別する問題です。
解き方の考え方
まず、HTMLメールにはスクリプトを含められる点に着目します。閲覧環境によってはメール内のスクリプトが実行され得るため、その特徴に直接結び付く選択肢を選びます。
選択肢ごとの解説
- ×ア DoS攻撃DoS攻撃は、大量の要求などを送り、サービスの利用を妨害する攻撃です。HTMLメール内の機能を使ってスクリプトを動かす攻撃とは異なります。
- ×イ SQLインジェクションSQLインジェクションは、不正なSQL入力によってデータベースを攻撃する手法です。着目するのは入力とデータベースの処理であり、HTMLメールのスクリプトではありません。
- ○ウ 悪意のあるスクリプトの実行悪意のあるスクリプトの実行は、HTMLメールに含まれた有害なスクリプトを動かす攻撃です。閲覧環境によって実行され得るというHTMLメールの特徴を悪用するため、これが正解です。
- ×エ 辞書攻撃辞書攻撃は、候補となる語を次々に試してパスワードを推測する手法です。HTMLメールにスクリプトを含められることとは関係しません。
補足
多くのメールソフトはスクリプトの実行を制限しています。ただし、この設問ではHTMLメールの機能を悪用する攻撃の種類を問うているので、実行され得る場合があることを手掛かりに判断します。
POINT
- HTMLメールにはスクリプトを含められます。
- 閲覧環境によっては、メール内のスクリプトが実行され得ます。
- DoS攻撃はサービスの妨害、SQLインジェクションはデータベースへの攻撃です。
- 辞書攻撃は候補語を試すパスワード推測です。