問81
頻出度★★★
Web サーバの認証において, 同じ利用者 ID に対してパスワードの誤りがあらかじめ定められた回数連続して発生した場合に, その利用者 ID を自動的に一定期間利用停止にするセキュリティ対策を行った。この対策によって, 最も防御の効果が期待できる攻撃はどれか。
平成29年度 春期 ITパスポート試験 問81
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 81
错误ア
零日攻击是趁修复程序（补丁）发布之前、利用尚未公开的未知漏洞发起的攻击，与连续输入密码无关。账户锁定无法防御它。
错误イ
密码列表攻击是利用从其他服务泄露的「用户 ID 与密码的正确组合」清单，反复套用来尝试非法登录的攻击。由于一次就能输入正确的密码，基于错误次数的锁定难以生效，因此该对策的效果有限。
错误ウ
缓冲区溢出攻击是通过送入超出预期长度的数据、使内存区域溢出，从而执行非法代码的攻击，与认证时的密码错误次数无关。账户锁定无法防御它。
- エ
正解 正确答案是「エ 暴力破解攻击」。暴力破解攻击（穷举攻击）是针对同一个用户 ID，从头开始依次尝试各种密码组合，反复尝试直到命中正确值为止的攻击。本题的对策是「针对同一个用户 ID，当密码错误连续达到预先设定的次数时，自动将该 ID 停用一段时间（账户锁定）」，即使继续尝试，ID 也会在短时间内被锁定，之后就无法再继续试密码了。因此，对于以大量连续错误尝试为前提的暴力破解攻击，最能期待获得防御效果。
ここがポイント
- 账户锁定（在连续认证失败达到一定次数时暂停该 ID）是针对逐一穷举密码的暴力破解攻击的基本对策。
- 两者的区别在于：暴力破解攻击是「对同一个 ID 尝试大量密码，即错误会连续发生」，而密码列表攻击是「使用正确的组合，因此错误不易连续发生」。
用語