問95
頻出度★★★
攻撃対象とは別の Web サイトから盗み出すなどによって, 不正に取得した大量の認証情報を流用し, 標的とする Web サイトに不正に侵入を試みるものはどれか。
令和4年度 ITパスポート試験 問95
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 95
错误ア
DoS 攻击是指向目标服务器发送大量访问或过载数据包，使服务停止或受到妨碍的攻击。它针对的是可用性，而不是用盗来的认证信息尝试登录入侵的行为。
错误イ
SQL 注入是指在 Web 的输入框中注入非法的 SQL 语句，从而非法操作数据库、窃取信息的攻击。它与盗用从其他网站窃取的认证信息来登录的手法不同。
- ウ
正解 「ウ 密码列表攻击」为正确答案。密码列表攻击是指：把从其他网站泄露或窃取到的 ID 与密码的组合（认证信息列表），原样搬到目标网站上反复尝试登录的攻击，也称为撞库攻击（credential stuffing）。它与题干中「从攻击目标以外的其他网站窃取」「盗用大量非法获取的认证信息」「试图非法入侵目标网站」的描述完全吻合。其特点在于利用了大量用户在多个网站上重复使用同一 ID、密码这一事实。
错误エ
钓鱼是指用与真实网站极为相似的假网站或假邮件，直接欺骗用户本人，诱使其亲手输入 ID、密码等并加以窃取的攻击。它与题干「盗用从其他网站窃取的认证信息」这一前提不同。
ここがポイント
- 密码列表攻击（撞库攻击）＝把从其他网站泄露的 ID、密码组合，搬到目标网站上反复使用来尝试登录的攻击。密码的重复使用会扩大受害范围。
- 对策是「为每个网站设置不同的密码」「引入多因素认证」。要区分并记住各种攻击手法（DoS、SQL 注入、钓鱼）的定义。
用語