ゼロデイ・DDoS・ブルートフォース攻撃は手口のどこで見分ける？
ITパスポート試験 令和7年度 問73 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
Web サービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。 a Web サービスが利用しているソフトウェアに脆弱性の存在が判明したとき、その修正プログラムが提供される前に、この脆弱性を突いて攻撃する。 b 複数のコンピュータから大量のパケットを一斉に送り付けることによって，Web サービスを正常に提供できなくさせる。 c 理論的にあり得るパスワードのパターンを順次試すことによって、正しいパスワードを見つけ，攻撃対象のWeb サービスに侵入する。
- ア
a：DDoS攻撃、b：ゼロデイ攻撃、c：ブルートフォース攻撃
- イ
a：DDoS攻撃、b：ブルートフォース攻撃、c：ゼロデイ攻撃
- ウ
a：ゼロデイ攻撃、b：DDoS攻撃、c：ブルートフォース攻撃
- エ
a：ゼロデイ攻撃、b：ブルートフォース攻撃、c：DDoS攻撃
会話形式の解説
講師今回は、Webサービスを狙う三つの攻撃について、手口の説明と名称を結び付ける問題です。それぞれの記述にある決め手の言葉を拾えるかどうかがポイントになります。
受験者名前は三つとも聞いたことがあります。ただ、ゼロデイとDDoSはどちらもカタカナや略語で、どちらがどの手口だったか混ざってしまいます。
講師では一つずつ見ていきましょう。最初の記述は「修正プログラムが提供される前」に脆弱性を突く攻撃です。脆弱性は、ソフトウェアにあるセキュリティ上の弱点のことです。対策が出る前の段階を狙うので、ゼロデイ攻撃と呼びます。
受験者対策が公開される日を基準にして、その日より前に攻撃するからゼロデイ、という覚え方でよいですか。
講師はい、その理解で十分です。ここが分かると、最初の記述をDDoS攻撃としている二つの組合せは外れて、ゼロデイ攻撃としている二つに絞れます。
受験者次の記述は、複数のコンピュータから大量のパケットを送ってサービスを止める手口ですね。サービスを止めるのが目的なのでDDoS攻撃だと思います。
講師そのとおりです。DDoSはDistributed Denial of Serviceの略で、分散型サービス拒否攻撃と訳します。大量の通信でサーバを過負荷にして、停止させたり応答できなくしたりします。この記述をブルートフォース攻撃としている組合せがありますが、パスワードは関係ないので誤りです。
受験者残った三つ目は、あり得るパスワードのパターンを順番に試して侵入する手口なので、ブルートフォース攻撃ですね。
講師はい。ブルートフォース攻撃は総当たり攻撃とも呼ばれます。これで、ゼロデイ攻撃・DDoS攻撃・ブルートフォース攻撃の順に並んだ組合せが正解です。ほかの組合せは、二つの記述が入れ替わっているか、三つともずれているかのどちらかです。
受験者確実に分かる記述を一つ決めてから絞り込むと、残りが不安でも答えにたどり着けるのですね。
講師そうです。組合せ問題では有効な解き方です。関連知識も補足しておきます。攻撃元が1台ならDoS攻撃、複数ならDDoS攻撃と呼び分けるので、「複数のコンピュータから」という語句が見分けの手がかりになります。また、すべてのパターンを試すブルートフォース攻撃と、よく使われる語のリストを試す辞書攻撃も区別して覚えておきましょう。
受験者パスワードを狙う攻撃には、どのような対策がありますか。
講師ログインに続けて失敗したときにアカウントをロックする仕組みや、多要素認証が有効です。手口と対策をセットで覚えておくと、別の形で出題されても対応しやすくなります。
まとめ
Webサービスを狙う代表的な攻撃について、手口の説明と名称を対応させる問題です。脆弱性の修正プログラムが提供される前に攻撃するのはゼロデイ攻撃です。複数のコンピュータから大量のパケットを送ってサービスを止めるのはDDoS攻撃（分散型サービス拒否攻撃）で、あり得るパスワードを順に試して侵入するのはブルートフォース攻撃（総当たり攻撃）です。組合せ問題では、確実に分かる記述を一つ決めて選択肢を絞り込むと効率よく解けます。あわせて、攻撃元が1台のDoS攻撃との違いや辞書攻撃との区別、アカウントロックや多要素認証といった対策も押さえておきましょう。
解答・解説
正解はウです
この問題のテーマ
Webサービスを狙う代表的な攻撃であるゼロデイ攻撃・DDoS攻撃・ブルートフォース攻撃について、手口の説明と名称を正しく結び付けられるかを問う問題です。
解き方の考え方
a〜cの記述から、それぞれの決め手となる言葉を拾います。aは「修正プログラムが提供される前」、bは「複数のコンピュータから大量のパケット」、cは「パスワードのパターンを順次試す」が手がかりです。一つでも確実に分かる記述があれば、選択肢を絞り込めます。たとえばaがゼロデイ攻撃だと分かればウとエに絞られ、bがDDoS攻撃だと分かればウに決まります。
選択肢ごとの解説
- ×ア a：DDoS攻撃、b：ゼロデイ攻撃、c：ブルートフォース攻撃aをDDoS攻撃、bをゼロデイ攻撃としていて、aとbの対応が入れ替わっています。修正プログラムが出る前に脆弱性を突く攻撃はゼロデイ攻撃です。大量のパケットでサービスを止める攻撃はDDoS攻撃です。cをブルートフォース攻撃とした部分は合っています。
- ×イ a：DDoS攻撃、b：ブルートフォース攻撃、c：ゼロデイ攻撃a、b、cの三つとも対応が誤っています。とくにbの大量のパケットを一斉に送り付ける手口は、パスワードを試す攻撃ではなくDDoS攻撃の特徴です。cのパスワードを順に試す手口も、ゼロデイ攻撃ではありません。
- ○ウ a：ゼロデイ攻撃、b：DDoS攻撃、c：ブルートフォース攻撃aは修正プログラム提供前の脆弱性を悪用するのでゼロデイ攻撃です。bは複数の機器から大量のパケットを送り、サービスを提供できなくするのでDDoS攻撃です。cはあり得るパスワードを順に試して侵入するのでブルートフォース攻撃です。三つとも記述と名称が一致しています。
- ×エ a：ゼロデイ攻撃、b：ブルートフォース攻撃、c：DDoS攻撃aをゼロデイ攻撃とした部分は正しいものの、bとcが入れ替わっています。パスワードのパターンを順に試すcの手口はブルートフォース攻撃です。サービスを過負荷にして止めるDDoS攻撃ではありません。
補足
攻撃元が1台ならDoS攻撃、複数ならDDoS攻撃と呼び分けます。「複数のコンピュータから」という語句がDDoSを見分ける手がかりになります。全パターンを試すブルートフォース攻撃と、よく使われる語のリストを試す辞書攻撃も区別して覚えておきましょう。パスワードを狙う攻撃には、ログイン失敗が続いたときのアカウントロックや多要素認証が対策として有効です。
POINT
- ゼロデイ攻撃は、脆弱性への対策（修正プログラム）が公開される前にその脆弱性を悪用する攻撃です。
- DDoS攻撃は Distributed Denial of Service（分散型サービス拒否攻撃）の略です。複数のコンピュータから大量の通信を送ってサーバを過負荷にし、停止や応答不能を引き起こします。
- ブルートフォース攻撃は総当たり攻撃とも呼ばれ、パスワードとしてあり得る組合せを順に試して正解を探し当てます。
- 組合せ問題では、確実に分かる記述を一つ決めると選択肢を効率よく絞り込めます。