情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅱ 問4: エクスプロイトコードの説明はどれか。

正解

ア. 攻撃コードとも呼ばれ，脆弱性を悪用するソフトウェアのコードのことであるが，使い方によっては脆弱性の検証に役立つこともある。

正答率 100.0%（1人中 1人が正解）

問題の解説

エクスプロイトコード(攻撃コード)は、特定の脆弱性を突いて任意コード実行などを起こすために作られたコードを指す。悪用される一方で、脆弱性の存在確認やパッチ有効性の検証(PoC)にも使われる。アがこの両面を正しく述べている。実務では公開エクスプロイトの有無が攻撃の切迫度を測る指標となり、優先パッチ判断に役立つ。

選択肢ごとの解説

• ア脆弱性を悪用するコードで、検証にも役立つ点まで含めたエクスプロイトコードの正しい説明で正解。
• イマルウェアを特定する特徴的コード(シグネチャ)の説明で、エクスプロイトコードとは異なる。
• ウメッセージとシークレットから計算する改ざん検知用のコードはMAC(メッセージ認証符号)で別物。
• エ毎回変わり再利用できない認証コードはワンタイムパスワードの説明で、該当しない。