問58
頻出度★★★
Web サイトなどに不正なソフトウェアを潜ませておき, PC やスマートフォンなどの Web ブラウザからこのサイトにアクセスしたとき, 利用者が気付かないうちに Web ブラウザなどの脆弱性を突いてマルウェアを送り込む攻撃はどれか。
令和5年度 ITパスポート試験 問58
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 58
不正解ア
DDoS 攻撃は, 多数の機器から大量の通信を一斉に送りつけ, 対象のサーバやネットワークを過負荷にしてサービスを停止させる攻撃。利用者のブラウザの脆弱性を突いてマルウェアを送り込むものではない。
不正解イ
SQL インジェクションは, Web アプリの入力欄などに不正な SQL 文を注入し, 背後のデータベースを不正に操作・参照する攻撃。サーバ側の DB を狙うものであり, 閲覧者のブラウザ脆弱性を突くドライブバイダウンロードとは仕組みが異なる。
- ウ
正解 正解はウ「ドライブバイダウンロード」。Web サイトにあらかじめ不正なプログラムを仕込んでおき, 利用者がそのサイトを閲覧しただけで, Web ブラウザやプラグインの脆弱性を突いて, 気付かないうちにマルウェアを自動的にダウンロード・実行させる攻撃を指す。設問の「サイトにアクセスしたとき」「利用者が気付かないうちに」「ブラウザの脆弱性を突いてマルウェアを送り込む」という記述に完全に一致する。
不正解エ
フィッシング攻撃は, 本物そっくりの偽サイトや偽メールで利用者を誘導し, ID・パスワードやクレジットカード番号などを自ら入力させて盗む手口。利用者を騙すのが本質で, ブラウザの脆弱性を突いてマルウェアを自動送り込みするものではない。
ここがポイント
- ドライブバイダウンロードは, 改ざん・細工された Web サイトを閲覧しただけで, ブラウザやプラグインの脆弱性を悪用してマルウェアを自動的にダウンロード・感染させる攻撃。クリックや明示的なダウンロード操作を必要としない点が特徴。
- 対策はブラウザ・OS・プラグインを常に最新に更新して脆弱性を塞ぐこと, およびセキュリティソフトの導入。各攻撃名(DDoS / SQL インジェクション / フィッシング / ドライブバイダウンロード)の狙い・仕組みの違いを区別して覚える。
用語