問70
頻出度★★★
情報セキュリティにおける脅威のうち, 脆弱性を是正するセキュリティパッチをソフトウェアに適用することが最も有効な対策になるものはどれか。
令和7年度 ITパスポート試験 問70
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 70
错误ア
暴力破解攻击是逐一尝试所有可能的密码以图突破认证的攻击。它针对的不是程序的缺陷，而是认证机制，因此有效的对策是增强密码的位数与复杂度或启用账户锁定，安全补丁无法防御。
错误イ
社会工程学是通过冒充、窥视等手段，利用人的心理或行为漏洞来窃取信息的攻击，与软件漏洞无关。对策是对员工进行教育并严格执行操作规范，安全补丁无法防御。
错误ウ
密码列表攻击是利用在某处泄露的 ID 与密码清单，在其他服务上试用相同的重复密码进行非法登录的攻击。它针对的是用户对认证信息的重复使用，对策是不重复使用密码以及引入多因素认证，安全补丁无法防御。
- エ
正解 安全补丁用于修复软件程序中潜藏的代码缺陷（漏洞）。缓冲区溢出是指向程序所分配的内存区域（缓冲区）写入超过其大小的数据，把溢出部分填入非法代码并使其执行的攻击，其根源正是程序在实现上的缺陷本身。因此，直接堵住该缺陷的安全补丁是最有效的对策，故正确答案为エ。
ここがポイント
- 安全补丁能直接修复的是“软件在实现上的缺陷（漏洞）”，因此对缓冲区溢出这类利用程序缺陷的攻击最为有效。
- 要区分：暴力破解、密码列表攻击针对认证信息，社会工程学针对人，这些都不能靠补丁，而要靠运营管理、增强认证与教育来防范。
用語