問83
頻出度★★★
情報システムに対する攻撃のうち, ある ID に対して所定の回数を超えてパスワードの入力を間違えたとき, 当該 ID の使用を停止させることが有効な防衛手段となるものはどれか。
平成28年度 秋期 ITパスポート試験 問83
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 83
错误ア
DoS 攻击是向服务器发送大量通信或处理请求，使服务停止或过载的攻击，并不是反复尝试某个特定 ID 的密码。用 ID 的输入失败次数来停止使用也无法防御它，因此错误。
错误イ
SQL 注入是在输入框中混入非法的 SQL 语句，从而非法操作数据库的攻击。它与反复输入密码无关，应通过对输入值进行校验(净化处理)等方式来防御，因此停止 ID 的使用不是有效的对策。
- ウ
正解 正确答案是「ウ」的暴力破解攻击(穷举攻击)。暴力破解攻击是把所有可能的密码从头到尾逐个依次输入、试图猜中正确密码的攻击，其特点是在成功之前会反复多次输入失败。因此，只要某个 ID 输入密码错误的次数超过规定次数，就临时停止该 ID 的使用(账户锁定)，攻击者便无法继续尝试，能在其试出正确密码之前将其阻止。所以「以输入失败次数的上限来停止 ID」是一种有效的防御手段。
错误エ
钓鱼是用与真站点极为相似的假网站或假邮件欺骗用户本人，诱使其自己输入 ID 和密码从而将其窃取的攻击。它并不是在正规登录界面上反复失败，因此靠输入失败次数停止 ID 无法防御。
ここがポイント
- 暴力破解攻击(穷举攻击)是把密码逐一试遍的攻击，其对策有：在失败达到规定次数时锁定账户、使用位数多且复杂的密码等，都很有效。
- 把攻击名称与有效的防御措施对应起来记忆(账户锁定=暴力破解对策、输入值校验=SQL 注入对策、用户教育=钓鱼对策 等)。
用語