セキュリティパッチが効く脅威を脆弱性の視点で見分ける
ITパスポート試験 令和7年度 問70 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
情報セキュリティにおける脅威のうち，脆弱性を是正するセキュリティパッチをソフトウェアに適用することが最も有効な対策になるものはどれか。
- ア
総当たり攻撃
- イ
ソーシャルエンジニアリング
- ウ
パスワードリスト攻撃
- エ
バッファオーバーフロー
会話形式の解説
講師今回は、セキュリティパッチが最も効く脅威を選ぶ問題です。セキュリティパッチは、ソフトウェアの脆弱性、つまりプログラムの欠陥を直す更新プログラムです。それぞれの攻撃が何を狙っているかに注目してください。
受験者四つともよく聞く攻撃なので、全部パッチで少しは防げそうに思えてしまいます。
講師そこで「この攻撃の原因はソフトウェアの欠陥か、それとも人やパスワードの運用か」と考えてみましょう。パッチが直せるのは前者だけです。
受験者その基準なら、ソーシャルエンジニアリングは人の心理的な隙を突いて情報を聞き出す行為なので、パッチを当てても防げないと思います。
講師そのとおりです。狙われるのはソフトウェアではなく人なので、この選択肢は誤りです。対策は利用者への教育・啓発と、セキュリティポリシーや本人確認手順などの運用ルールを整えることです。
受験者総当たり攻撃とパスワードリスト攻撃は名前が似ていて、私はいつも区別があいまいになります。
講師総当たり攻撃は、パスワードとして考えられる文字の組合せをすべて試す攻撃です。パスワードリスト攻撃は、別のサービスから流出したIDとパスワードの組を使って、ほかのサイトへのログインを試みる攻撃です。
受験者パスワードリスト攻撃が成り立つのは、同じパスワードを使い回しているからですね。どちらもソフトウェアの欠陥とは関係がなさそうです。
講師その理解で合っています。どちらもパッチでは防げないので誤りです。総当たり攻撃にはパスワードを長く複雑にすることやログイン試行回数の制限（アカウントロックアウト）、パスワードリスト攻撃には使い回しをやめることや二段階認証・多要素認証の導入が有効です。
受験者残るバッファオーバーフローは、プログラム側の問題ということでしょうか。
講師はい。プログラムが確保したメモリ領域を超えるデータを書き込ませる攻撃で、原因はソフトウェアの実装上の欠陥です。異常終了や不正なコードの実行、システムの乗っ取りにつながることもあります。脆弱性を直接突く攻撃なので、パッチで欠陥そのものをふさぐのが最も有効な対策で、これが正解です。
受験者パッチが効くのはプログラムの欠陥を突く攻撃で、パスワードや人を狙う攻撃は認証の強化や教育で防ぐ、と整理できました。
講師よく整理できています。似た問題では、SQLインジェクションやクロスサイトスクリプティングなどが選択肢に並ぶこともあります。迷ったら「原因はプログラムの作りか、人や運用か」で分けてみてください。総当たり攻撃とパスワードリスト攻撃は対策が少しずつ違うので、取り違えないよう注意しましょう。
まとめ
セキュリティパッチはソフトウェアの脆弱性を修正する更新プログラムなので、最も有効なのはプログラムの欠陥を直接突くバッファオーバーフローです。総当たり攻撃とパスワードリスト攻撃はパスワードの扱いを突く攻撃で、パスワードの強化や試行回数制限、多要素認証などで対策します。ソーシャルエンジニアリングは人の心理を突くため、教育や運用ルールの整備が対策になります。迷ったときは「原因はプログラムの作りか、人や運用か」で判断すると見分けやすくなります。
解答・解説
正解はエです
この問題のテーマ
情報セキュリティの代表的な脅威のうち、ソフトウェアの脆弱性そのものを突くもの、つまりセキュリティパッチで直接ふさげるものを見分けられるかを問う問題です。
解き方の考え方
セキュリティパッチは、ソフトウェアの脆弱性（プログラムの欠陥）を修正する更新プログラムです。そのため「この攻撃の原因はソフトウェアの欠陥か、それとも人やパスワードの運用か」という視点で各選択肢を確認します。ソフトウェアの実装上の欠陥が原因になっているのはバッファオーバーフローだけです。残りの3つは人の心理やパスワードの扱い方を突く攻撃なので、パッチを当てても防げません。
選択肢ごとの解説
- ×ア 総当たり攻撃総当たり攻撃は、パスワードとして考えられる文字の組合せをすべて試す攻撃です。ソフトウェアの欠陥を突くわけではないので、パッチでは対策になりません。有効なのは、パスワードを長く複雑にすることや、ログインの試行回数を制限すること（アカウントロックアウト）です。
- ×イ ソーシャルエンジニアリングソーシャルエンジニアリングは、人の油断や思い込みといった心理的な隙を突いて情報を聞き出す行為です。狙われるのはソフトウェアではなく人なので、パッチでは防げません。対策は利用者への教育・啓発と、セキュリティポリシーや本人確認手順などの運用ルールを整えることです。
- ×ウ パスワードリスト攻撃パスワードリスト攻撃は、別のサービスから流出したIDとパスワードの組を使って、ほかのサイトへのログインを試みる攻撃です。成立する原因はパスワードの使い回しで、ソフトウェアの欠陥ではないためパッチでは対策できません。使い回しをやめることや、二段階認証・多要素認証の導入が有効です。
- ○エ バッファオーバーフローバッファオーバーフローは、プログラムが確保したメモリ領域を超えるデータを書き込ませる攻撃です。原因はソフトウェアの実装上の欠陥で、異常終了や不正なコードの実行、システムの乗っ取りにつながることがあります。脆弱性を直接突く攻撃なので、パッチを適用して欠陥そのものをふさぐのが最も有効な対策です。
補足
似た問題では、選択肢にSQLインジェクションやクロスサイトスクリプティングなどが並ぶこともあります。迷ったら「原因はプログラムの作りか、人や運用か」という基準で分けると判断しやすくなります。また、総当たり攻撃とパスワードリスト攻撃は混同しやすいので注意が必要です。総当たり攻撃は組合せをすべて試す攻撃、パスワードリスト攻撃は流出した組を使い回す攻撃で、対策も少しずつ違います。
POINT
- セキュリティパッチは、ソフトウェアの脆弱性を修正する更新プログラムです。
- パッチが直接効くのは、バッファオーバーフローのようにソフトウェアの欠陥を突く攻撃です。
- 総当たり攻撃とパスワードリスト攻撃には、パスワードの管理と認証の強化（試行回数制限、多要素認証など）で対策します。
- ソーシャルエンジニアリングは人を狙う攻撃なので、教育や運用ルールの整備で対策します。