問70
頻出度★★★
情報セキュリティにおける脅威のうち, 脆弱性を是正するセキュリティパッチをソフトウェアに適用することが最も有効な対策になるものはどれか。
令和7年度 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 70
不正解ア
総当たり攻撃 (ブルートフォース攻撃) は、考えられるパスワードを片端から試して認証を突破しようとする攻撃です。狙うのはプログラムの欠陥ではなく認証の仕組みなので、有効な対策はパスワードの桁数・複雑さの強化やアカウントロックであり、セキュリティパッチでは防げません。
不正解イ
ソーシャルエンジニアリングは、なりすましや盗み見など人間の心理や行動の隙を突いて情報を盗む攻撃で、ソフトウェアの脆弱性とは無関係です。対策は従業員への教育や運用ルールの徹底であり、セキュリティパッチでは防げません。
不正解ウ
パスワードリスト攻撃は、どこかで漏えいしたIDとパスワードの一覧を使い、同じ使い回しを別のサービスで試して不正ログインする攻撃です。狙うのは利用者の認証情報の使い回しであり、対策はパスワードを使い回さないことや多要素認証の導入で、セキュリティパッチでは防げません。
- エ
正解 セキュリティパッチは、ソフトウェアのプログラムに潜むコード上の欠陥 (脆弱性) を修正するためのものです。バッファオーバーフローは、プログラムが確保したメモリ領域 (バッファ) の大きさを超えるデータを送り込み、あふれた部分に不正なコードを書き込んで実行させる攻撃で、原因はプログラムの実装上の欠陥そのものです。したがって、その欠陥を直接ふさぐセキュリティパッチの適用が最も有効な対策となり、エが正解です。
ここがポイント
- セキュリティパッチが直接修正できるのは『ソフトウェアの実装上の欠陥 (脆弱性)』であり、バッファオーバーフローのようなプログラムの不具合を突く攻撃に最も有効。
- 総当たり・パスワードリスト攻撃は認証情報、ソーシャルエンジニアリングは人を狙う攻撃で、いずれもパッチではなく運用・認証強化・教育で対策する点を区別する。
用語