問86
頻出度★★★
情報セキュリティにおけるソーシャルエンジニアリングの例として，適切なものはどれか。
平成28年度 春期 ITパスポート試験 問86
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 86
- ア
正解 社会工程学指的是不依靠计算机或网络技术，而是利用人的心理弱点、麻痹大意或信任关系来盗取机密信息的手段。选项ア是从公司外部假装成公司员工（冒充）打电话，在取得对方信任后通过电话口头套取公司内部的机密信息，正是通过欺骗人来获取信息的典型社会工程学例子。因此ア正确。
错误イ
用伪造了源 IP 地址的数据包绕过访问限制，属于「IP 欺骗」，是从技术上伪造数据包的网络攻击。它不是欺骗人的手段，因此不属于社会工程学。
错误ウ
窃听网络上流动的数据包来盗取密码等信息，属于「窃听（嗅探，sniffing）」，是从技术上截获通信的攻击。它不是利用人的心理的手段，因此不属于社会工程学。
错误エ
下载一旦被用户运行就会进行非法操作的软件，属于植入恶意软件（如特洛伊木马）的手段。这是通过恶意程序发起的攻击，与直接欺骗人来套取信息的社会工程学有所区别。
ここがポイント
- 社会工程学不依靠技术，而是利用人的心理和行为弱点（信任、麻痹大意、好心等）来获取机密信息的手段。冒充身份打电话、偷窥输入（肩窥）、翻垃圾桶（trashing）等都是典型例子。
- IP 欺骗、窃听（嗅探）、恶意软件都是通过技术手段发起的攻击，要与作为人为手段的社会工程学对比记忆。
用語