問56
頻出度★★★
HTML 形式の電子メールの特徴を悪用する攻撃はどれか。
令和2年度 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 56
不正解ア
DoS 攻撃は、大量のリクエストや不正なパケットを送りつけてサーバやサービスを停止・過負荷に陥らせる攻撃。標的はサービスの可用性であり、HTML 形式メールがスクリプトを埋め込めるという特徴を悪用するものではない。
不正解イ
SQL インジェクションは、Web アプリケーションの入力欄に不正な SQL 文を注入し、背後のデータベースを不正に操作・参照する攻撃。標的は Web アプリとデータベースであり、HTML メールの特徴とは関係がない。
- ウ
正解 HTML 形式の電子メールは、テキスト形式と異なり本文に HTML タグやスクリプト (JavaScript など) を埋め込めるのが特徴。この特徴を悪用すると、受信者がメールを開いたりプレビューしたりしただけで、埋め込まれた悪意のあるスクリプトが実行され、情報の窃取や不正サイトへの誘導などの被害につながる。したがって「悪意のあるスクリプトの実行」が正解となる。対策として、メールソフトでスクリプトの自動実行を無効化する、HTML メールをテキスト形式で表示する、といった方法がある。
不正解エ
辞書攻撃は、辞書に載っている単語やよく使われる文字列を次々と試してパスワードを割り出す攻撃。認証の突破が目的であり、HTML 形式メールがスクリプトを埋め込める特徴とは無関係。
ここがポイント
- HTML 形式の電子メールは本文にスクリプト (JavaScript など) を埋め込めるため、テキスト形式より危険で、開くだけで悪意のあるスクリプトが実行される恐れがある。
- DoS 攻撃・SQL インジェクション・辞書攻撃はそれぞれ可用性・データベース・認証を標的とする別種の攻撃であり、攻撃手法ごとの標的と特徴を区別して覚える。
用語