ソーシャルエンジニアリングは何で見分ける？
ITパスポート試験 令和4年度 問91 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
ソーシャルエンジニアリングに該当する行為の例はどれか。
- ア
あらゆる文字の組合せを総当たりで機械的に入力することによって，パスワードを見つけ出す。
- イ
肩越しに盗み見して入手したパスワードを利用し，他人になりすましてシステムを不正利用する。
- ウ
標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって，サービスの提供を妨げる。
- エ
プログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ，不正にプログラムを実行させる。
会話形式の解説
講師この問題は、パスワードをどうやって入手したかに注目します。
受験者総当たりも盗み見もパスワードに関係するので、区別に迷います。
講師ソーシャルエンジニアリングは、人の心理や行動を利用して秘密情報を得る手口です。
受験者文字の組合せを機械的に試す総当たりは、人の行動を利用していませんね。
講師その通りです。総当たりはブルートフォース攻撃です。一方、肩越しに入力を盗み見るのはショルダーハッキングで、人の行動からパスワードを得ています。
受験者盗み見た後になりすますところより、パスワードの入手方法が分類の決め手なのですね。
講師はい。盗み見て得たパスワードを使えば本人になりすませますが、ソーシャルエンジニアリングに当たる理由は入力動作を見て情報を得た点です。
受験者サーバに大量の要求を送る行為は、人から情報を得る手口ではありませんね。
講師それはサービスを妨げるDoS攻撃です。記憶領域をあふれさせる行為も、プログラムの不備を悪用するバッファオーバーフロー攻撃です。
受験者人の行動を利用して秘密情報を得るのが該当し、機械的な試行やシステムへの攻撃は別の種類だと分かりました。
まとめ
ソーシャルエンジニアリングは、人の心理や行動を利用して秘密情報を得る手口です。肩越しにパスワードの入力を盗み見るショルダーハッキングが、この問題の正解です。機械的な総当たりはブルートフォース攻撃、大量の要求による妨害はDoS攻撃、記憶領域をあふれさせる行為はバッファオーバーフロー攻撃です。
解答・解説
正解はイです
この問題のテーマ
人の行動を利用して情報を得るソーシャルエンジニアリングと、技術的な攻撃を区別する問題です。
解き方の考え方
パスワードをどのように入手するかに注目します。人が入力する様子を盗み見て情報を得る行為は、ソーシャルエンジニアリングに当たります。一方、機械的な試行やシステムへの大量の要求、プログラムの不備の悪用は技術的な攻撃です。
選択肢ごとの解説
- ×ア あらゆる文字の組合せを総当たりで機械的に入力することによって，パスワードを見つけ出す。文字の組合せを機械的に試してパスワードを探すのは、ブルートフォース攻撃です。人の行動から情報を得る手口ではありません。
- ○イ 肩越しに盗み見して入手したパスワードを利用し，他人になりすましてシステムを不正利用する。肩越しにパスワードの入力を盗み見る手口は、ショルダーハッキングです。人の行動を利用して秘密情報を得るため、ソーシャルエンジニアリングに当たります。得たパスワードを使えば、本人になりすましてシステムを利用できます。
- ×ウ 標的のサーバに大量のリクエストを送りつけて過負荷状態にすることによって，サービスの提供を妨げる。サーバに大量のリクエストを送ってサービスを妨げるのは、DoS攻撃です。人から秘密情報を得る行為ではありません。
- ×エ プログラムで確保している記憶領域よりも長いデータを入力することによってバッファをあふれさせ，不正にプログラムを実行させる。記憶領域に収まらないデータを入力してあふれさせるのは、バッファオーバーフロー攻撃です。プログラムの不備を悪用する技術的な攻撃です。
補足
イには、パスワードの盗み見と、その後のなりすましが続けて書かれています。分類の決め手は、人の入力動作を見てパスワードを得た点です。
POINT
- ソーシャルエンジニアリングは、人の心理や行動を利用して秘密情報を得る手口です。
- 肩越しに入力を盗み見るショルダーハッキングは、その一例です。
- パスワードの機械的な総当たりはブルートフォース攻撃です。
- 大量の要求による妨害はDoS攻撃、記憶領域をあふれさせる攻撃はバッファオーバーフロー攻撃です。