問76
頻出度★★★
多数のコンピュータに感染し, 遠隔操作で攻撃者から指令を受けると DDoS 攻撃などを一斉に行う不正プログラムに付けられた呼び名はどれか。
平成23年度 特別試験 ITパスポート試験 問76
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 76
错误ア
蜜罐（honeypot）不是恶意程序，而是防御方设置的诱饵系统。它故意准备看起来存在漏洞的服务器或网络来引诱攻击者，从而观测和收集攻击者的入侵手法、所使用的恶意软件样本以及攻击来源等信息，用于实际系统的防御措施和受害分析。它并不是被攻击者感染并接收指令的一方，而是用来观测攻击的防御方机制，立场与题目的描述正好相反，因此错误。
- イ
正解 正确答案是 イ 的「机器人程序（Bot）」。Bot 是一种让攻击者能够从远程随意操控被感染计算机的恶意程序（恶意软件），其名称源自 robot。它在感染后并不会立即进行显眼的破坏活动，而是潜伏下来不让用户察觉，并定期与互联网上的 C&C 服务器（Command and Control 服务器，即指令服务器）通信，等待攻击者下达指令。一旦攻击者下达指令，大量被感染的计算机就会同时开始相同的动作，执行向特定网站发送大量数据包的 DDoS 攻击（分布式拒绝服务攻击）、大量发送垃圾邮件、窃取信息等行为。像这样由感染 Bot 并被攻击者控制的大量计算机所构成的网络称为僵尸网络（botnet），被控制的计算机会在本人毫不知情的情况下作为加害方被卷入攻击。题目列举的「感染大量计算机」「受攻击者远程操控下达指令」「一齐发起 DDoS 攻击等」这三个特征，都是对 Bot 行为的直接描述，而其他选项的术语无法解释这种通过远程指令一齐发动攻击的性质。因此，这种恶意程序的名称就是 Bot。
错误ウ
宏病毒是一种滥用电子表格软件或文字处理软件的文档文件所具备的宏（用于自动执行操作的程序）功能的病毒。打开受感染的文档文件时宏会自动运行，进而把感染扩散到其他文档文件或模板，或者破坏文件、下载其他恶意软件。其分类依据在于「以文档文件的宏作为感染途径和执行手段」，定义中并不包含「接受攻击者的远程指令后由大量终端一齐发起 DDoS 攻击」这一性质，因此作为题目所问的名称是错误的。
错误エ
蠕虫（worm）是一种不寄生于其他程序、能够独立存在的恶意软件，它通过网络、邮件或外部存储介质不断把自身的副本发送出去，自主地进行增殖。其特征的核心在于不等待攻击者操作就自我增殖这一点；虽然增殖带来的通信量增大有可能给网络造成负担，但其定义中并不包含「接收 C&C 服务器的指令后一齐发动攻击」这种远程操控机制。就感染力的说明而言它比较接近，但不满足题目所强调的「受远程操控下达指令」这一要素，因此错误。另外，实际的恶意软件中也有像蠕虫那样自我增殖同时又兼具 Bot 功能的类型，但指代其被远程操控的那部分功能的名称仍然是 Bot。
ここがポイント
- Bot 与僵尸网络 — Bot 是让攻击者能够远程操控被感染终端的恶意软件。它潜伏着与 C&C 服务器（指令服务器）通信并等待指令，一旦指令下达，大量被感染终端就会一齐执行 DDoS 攻击或发送垃圾邮件等行为。这些被控制的终端所组成的网络就是僵尸网络，用户会在毫不知情的情况下被卷入加害方。
- 主要恶意软件类型的区分方法 — 蠕虫的定义性特征是自我复制并自主增殖，宏病毒是滥用文档文件的宏功能，Bot 则是被远程指令操控。要注意蜜罐并不是恶意软件，而是引诱攻击并观测其手法的防御方诱饵系统。
用語