問76
頻出度★★★
多数のコンピュータに感染し, 遠隔操作で攻撃者から指令を受けると DDoS 攻撃などを一斉に行う不正プログラムに付けられた呼び名はどれか。
平成23年度 特別試験 ITパスポート試験 問76
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 76
不正解ア
ハニーポット (honeypot) は不正プログラムではなく、防御する側が設置する囮 (おとり) のシステムである。わざと脆弱に見せかけたサーバやネットワークを用意して攻撃者を誘い込み、その侵入手口や使われるマルウェアの検体、攻撃元の情報を観測・収集して、実システムの防御策や被害の分析に役立てる。攻撃者に感染して指令を受ける側ではなく、攻撃を観測するための防御側の仕組みなので、設問の説明とは立場が正反対であり誤りである。
- イ
正解 正解はイのボットである。ボット (bot) は、感染したコンピュータを攻撃者が遠隔から自由に操れるようにする不正プログラム (マルウェア) で、名前は robot に由来する。感染しても直ちに派手な破壊活動を行うのではなく、利用者に気付かれないよう潜伏したまま、インターネット上の C&C サーバ (Command and Control サーバ、指令サーバ) と定期的に通信して攻撃者からの指令を待ち受ける。攻撃者が指令を出すと、感染した多数のコンピュータが一斉に同じ動作を開始し、特定のサイトへ大量のパケットを送り付ける DDoS 攻撃 (分散型サービス妨害攻撃)、スパムメールの大量送信、情報の窃取といった行為を実行する。このようにボットに感染して攻撃者の支配下に置かれた多数のコンピュータで構成されるネットワークをボットネット (botnet) と呼び、乗っ取られたコンピュータは本人が知らないうちに加害者側として攻撃に加担させられることになる。設問が挙げる「多数のコンピュータに感染する」「遠隔操作で攻撃者から指令を受ける」「DDoS 攻撃などを一斉に行う」という三つの特徴は、いずれもこのボットの動作をそのまま述べたものであり、他の選択肢の用語ではこの遠隔からの指令による一斉攻撃という性質を説明できない。したがって、この不正プログラムの呼び名はボットである。
不正解ウ
マクロウイルスは、表計算ソフトやワープロソフトの文書ファイルに備わるマクロ (操作を自動化するプログラム) 機能を悪用したウイルスである。感染した文書ファイルを開くとマクロが自動実行され、他の文書ファイルやテンプレートに感染を広げたり、ファイルの破壊や別のマルウェアのダウンロードを行ったりする。分類の基準は「文書ファイルのマクロという感染経路・実行手段」にあり、攻撃者から遠隔で指令を受けて多数の端末が一斉に DDoS 攻撃を行うという性質は定義に含まれないため、設問の呼び名としては誤りである。
不正解エ
ワーム (worm) は、他のプログラムに寄生せず単独で存在でき、ネットワークやメール、外部記憶媒体を通じて自分自身の複製を次々に送り込み、自律的に増殖していくマルウェアである。特徴の核心は攻撃者の操作を待たずに自己増殖する点にあり、増殖に伴う通信量の増大でネットワークに負荷を与えることはあっても、C&C サーバからの指令を受けて一斉に攻撃を仕掛けるという遠隔操作の仕組みは定義に含まれない。感染力の説明としては近いが、設問が強調する「遠隔操作で指令を受ける」という要素を満たさないので誤りである。なお、実際のマルウェアにはワームのように自己増殖しながらボット機能も併せ持つものがあるが、その遠隔操作される機能を指す呼び名はあくまでボットである。
ここがポイント
- ボットとボットネット — ボットは感染した端末を攻撃者が遠隔操作できるようにするマルウェア。潜伏したまま C&C サーバ (指令サーバ) と通信して指令を待ち、指令が下ると多数の感染端末が一斉に DDoS 攻撃やスパム送信などを実行する。この乗っ取られた端末群のネットワークがボットネットで、利用者は知らないうちに加害者側に加担させられる。
- 主なマルウェアの分類の見分け方 — ワームは自己複製して自律的に増殖する点、マクロウイルスは文書ファイルのマクロ機能を悪用する点、ボットは遠隔からの指令で操られる点が、それぞれの定義的特徴。ハニーポットはマルウェアではなく、攻撃を誘い込んで手口を観測する防御側の囮システムである点に注意する。
用語