総当たり攻撃とは？ITパスポート試験 2016年 (平成28年 秋期) 問83を解説

問題文

この問題の出題ポイント

• 総当たり攻撃の定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• テクノロジ系分野では、用語の目的・主体・責任範囲の違いが選択肢で問われやすい。
• 関連タグ: 総当たり攻撃、ブルートフォース、アカウントロック。

選択肢

1. アDoS攻撃
2. イSQLインジェクション
3. ウ総当たり攻撃正解
4. エフィッシング

解説

なぜ他の選択肢が違うのか

• ア

  誤り. DoS攻撃(Denial of Service)は大量のリクエストでサービスを妨害する攻撃の説明で,IDロックでは防げない攻撃である. 帯域や処理能力の枯渇を狙う攻撃で,認証失敗回数の制限とは無関係であり,対策は通信量制限・DDoS対策装置などまったく別の手段となる攻撃である.

• イ

  誤り. SQLインジェクションは入力値を細工して意図しないSQLをDBで実行させる攻撃の説明で,IDロックは無関係な対策である. 入力値検証(エスケープ処理)やパラメータ化クエリ(プリペアドステートメント)による対処が必要な攻撃で,認証回数制限とは別領域の攻撃である.

• ウ（正解）

  正しい. 総当たり攻撃は組合せを片端から試すパスワード破りで,一定回数の認証失敗でアカウントロックすれば試行回数自体を制限でき有効に防げる攻撃のため. アカウントロック・キャプチャ・遅延導入などが典型対策で,本問の防御策と最も合致する攻撃である.

• エ

  誤り. フィッシングは偽サイトや偽メールで利用者から情報を騙し取る攻撃の説明で,IDロックでは防げない別の攻撃である. 利用者教育・ドメイン確認・送信ドメイン認証・メールフィルタなどが主な対策となり,認証失敗回数の制御では防御できない攻撃カテゴリに属する.

解き方の整理

総当たり攻撃の問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連問題

前後の問題

2016年 (平成28年 秋期) の関連する問題

2016年 (平成28年 秋期)の問題一覧 ITパスポート試験の解説一覧