問68
頻出度★★★
サーバに対する DoS 攻撃のねらいはどれか。
平成21年度 春期 ITパスポート試験 問68
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 68
不正解ア
サーバ管理者の権限を奪取するのは、不正アクセスや権限昇格をねらう攻撃 (パスワードクラック、バッファオーバフローを突いた侵入など) の目的である。DoS 攻撃はサーバを使えなくするだけで、攻撃者がサーバにログインして管理者になることを目的としていない。
- イ
正解 正解は イ。DoS 攻撃 (Denial of Service attack、サービス拒否攻撃・サービス妨害攻撃) とは、標的のサーバに大量の要求やパケットを送りつけ、あるいは脆弱性を突いて異常な処理をさせることで、CPU・メモリ・回線帯域といった資源を使い果たさせる攻撃である。その結果サーバは応答が極端に遅くなったり停止したりし、本来の利用者がサービスを受けられなくなる。つまり DoS 攻撃のねらいは、サーバ内部の情報を得ることではなく、サービスの提供そのものを妨害して使えなくすること (情報セキュリティの三要素でいう可用性の侵害) であり、これを述べている イ が正しい。攻撃者が名前どおり「サービスを拒否させる」ことを目的にしている、と覚えるとよい。
不正解ウ
データの改ざんは、Web ページ改ざんや SQL インジェクションなど、情報の完全性 (インテグリティ) を侵害する攻撃のねらいである。DoS 攻撃は資源を枯渇させてサービスを止める攻撃であり、保存されているデータの内容を書き換えることを目的とはしない。
不正解エ
データを盗むのは、盗聴 (スニッフィング) やフィッシング、情報漏えいをねらう攻撃の目的で、機密性 (コンフィデンシャリティ) を侵害する行為である。DoS 攻撃は情報を持ち出すのではなく、サービスを止めて利用できなくすることをねらう点で異なる。
ここがポイント
- DoS 攻撃 = Denial of Service (サービス拒否・サービス妨害) 攻撃。大量の要求やパケットでサーバの資源を枯渇させ、正規利用者がサービスを利用できない状態にすることがねらい。多数の踏み台から一斉に行う形態を DDoS (分散型サービス拒否) 攻撃という。
- 攻撃の目的は情報セキュリティの三要素で整理すると分かりやすい。機密性を侵すのが盗聴・情報の盗み出し、完全性を侵すのが改ざん、可用性を侵すのが DoS / DDoS 攻撃である。
用語