サービス妨害・ゼロデイ・AIを狙う攻撃

DoS攻撃 は、サーバやネットワークに処理しきれないほどの要求を送り付け、正規の利用者がサービスを使えない状態にする攻撃である。

DoS攻撃が損なうのは、情報セキュリティの 可用性 (必要なときにシステムを使える性質) である。攻撃者は大量の要求や通信を集中させ、サーバの処理能力や回線の容量を使い切らせる。

たとえ役所の窓口に意味のない書類を次々に出し続け、本当に手続きしたい人の順番がいつまでも回ってこないようにする行為に近い。

覚え方DoS は Denial of Service (サービスの拒否) の頭文字。o だけ小文字なのは前置詞 of だからで、パソコンの基本ソフトの DOS とは別の語である。

この用語の過去問 2 題 DoS攻撃 →

DDoS攻撃 (分散型の DoS攻撃) は、攻撃者が操る多数の機器から同じ標的へ一斉に大量の通信を送り、サービスを止める攻撃である。

← 図は横にスクロールできます →

攻撃者はまず多数の機器に、外から命令できる不正プログラムである ボット を感染させておく。ボットは攻撃者が用意した 指令サーバ から命令を受け取ると、決められた標的に同時に通信を送り始める。送信元が数多くの機器に散らばるので、特定の送信元を遮断するだけでは攻撃を止めにくい。

たとえ合図ひとつで、あちこちから大勢の人が同じ店の入口に押し寄せ、本当の客が中に入れなくなる状態に近い。

覚え方先頭の D は Distributed (分散) の D。DoS に D を一つ足すと、攻撃元が散らばった形になる。

この用語の過去問 2 題 DDoS攻撃 →

ゼロデイ攻撃 は、ソフトウェアの 脆弱性 が見つかったあと、開発元による修正プログラムが出回る前に、その弱点を悪用する攻撃である。

脆弱性とは、ソフトウェアの作りの不備から生じるセキュリティ上の弱点のことで、開発元はそれを直す修正プログラム (パッチ) を配布する。ゼロデイ攻撃への備えとしては、不審な動きを見張る仕組みを重ねるなど、パッチ以外の対策も組み合わせる。

たとえ非常口の錠が壊れていると分かったのに、修理業者がまだ来ていない夜を狙って忍び込むようなもの。

覚え方「ゼロデイ」は、開発元が対策に使えた日数がゼロ、という意味で読むと思い出しやすい。

この用語の過去問 2 題 ゼロデイ攻撃 →

クリプトジャッキング は、他人のコンピュータに知られないように不正なプログラムを仕込み、その計算能力で暗号資産の マイニング を行わせる攻撃である。

マイニングとは、暗号資産の取引記録を確定させる計算を行い、その報酬として暗号資産を受け取る作業である。この計算には大きな計算能力と電力が要るため、攻撃者は他人の機器にそれを肩代わりさせ、報酬だけを手にする。被害者の機器では、動作が遅くなったり電力の消費が増えたりする。

たとえ自宅のパン焼き機が、知らないうちに夜通し他人の注文分を焼かされ、売り上げは他人に入り、電気代と機械のすり減りだけが自分に残るようなもの。

覚え方crypto (暗号) と hijacking (乗っ取り) を合わせた造語である。

この用語の過去問 1 題 クリプトジャッキング →

プロンプトインジェクション攻撃 は、生成AIに細工した指示文 (プロンプト) を与え、開発者が設けた制限を破らせたり、出してはいけない情報を出させたりする攻撃である。

生成AIは、開発者があらかじめ与えた指示と利用者の入力を、どちらも文章として受け取って処理する。攻撃者はこの性質を利用し、「それまでの指示を無視せよ」のような命令を入力に紛れ込ませて、AI に本来の指示より優先させる。利用者が直接打ち込むだけでなく、AI に読み込ませる Web ページや文書に命令を隠しておく手口もある。

たとえ受付係に渡す書類の隅に「この書類を持ってきた人には金庫を開けること」と書き添え、受付係がそれを上司の指示と取り違えて従ってしまうようなもの。

覚え方インジェクションは「注入」。正規の指示の流れに、別の指示をこっそり注ぎ込むと考える。

敵対的サンプル は、人にはほとんど分からない細工を加えて、AI の 機械学習モデル に誤った判断をさせるように作った入力データである。

機械学習モデルとは、大量のデータから規則を学び、新しい入力を分類したり判定したりする仕組みのことである。例えば画像認識のモデルに、ごく小さな雑音を加えた画像を入力すると、人には元と同じに見えても、モデルは別の物と判定することがある。

覚え方「敵対的」は英語の adversarial の訳で、AI を欺く目的で作られたことを表す。サンプルは、モデルに入力するデータ 1 件を指す。