ITパスポート試験 ITパスポート 2018年 (平成30年 秋期) 問77: 情報セキュリティの脅威に関する説明①〜③と,用語の適切な組合せはどれか。 ① Webページに,利用者の入力データをそのまま表示するフォーム又は処理があるとき,第

正解

イ. ①クロスサイトスクリプティング,②ボット,③トロイの木馬

正答率 63.5%（1,235人中 784人が正解）

問題の解説

3つの攻撃・マルウェアの定義を正確に対応させる問題。①Webページに悪意あるスクリプトを埋め込み訪問者のブラウザで実行させCookieを盗む攻撃＝クロスサイトスクリプティング（XSS：Cross-Site Scripting）。②多数PCに感染し外部の指令サーバ（C&Cサーバ）からの命令で一斉攻撃を行うプログラム＝ボット（BOT）。③有用なソフトウェアを装ってインストールさせ実際は情報破壊・漏洩・バックドア設置を行うプログラム＝トロイの木馬（Trojan Horse）。各定義と名称の正確な対応関係が問われる。

選択肢ごとの解説

• ア誤り。②と③の対応が入れ替わっている誤りを含む選択肢。外部指令で一斉攻撃を行うのはボット（BOT）であり②の説明に対応する。有用なソフトを装うのはトロイの木馬であり③の説明に対応する。②をトロイの木馬・③をボットとするアは両者の定義の取り違えによる誤りである。
• イ正解。①クロスサイトスクリプティング（XSS：Webページへの悪意あるスクリプト埋め込みによるCookie窃取等）、②ボット（感染PCへの外部指令サーバからの命令による一斉DDoS攻撃等）、③トロイの木馬（有用なソフトを装ったインストールによる不正プログラム）の正しい組み合わせとなる選択肢。
• ウ誤り。①を標的型攻撃としているが設問①の説明（Webページへのスクリプト埋め込み・Cookieを盗む）はXSS（クロスサイトスクリプティング）の説明。標的型攻撃は特定組織・個人を狙った巧妙なメール等を使った持続的な侵入攻撃を指す別概念であり、XSSとは異なる。
• エ誤り。①を標的型攻撃・②をトロイの木馬としているが、①はXSS・②はボットが正解。標的型攻撃はXSSとは異なる攻撃手法であり、トロイの木馬は外部指令による操作プログラムではなく偽装インストールを通じた不正プログラムであるため、エの組み合わせは誤りとなる。