情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度秋期 午前Ⅱ 問6: パスワードスプレー攻撃に該当するものはどれか。

問題本文

パスワードスプレー攻撃に該当するものはどれか。

選択肢

• ア.攻撃対象とする利用者 ID を一つ定め，辞書及び人名リストに掲載されている単語及び人名並びにそれらの組合せを順にパスワードとして入力して，ログインを試行する。
• イ.攻撃対象とする利用者 ID を一つ定め，パスワードを総当たりして，ログインを試行する。
• ウ.攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログインを試行する。
• エ.不正に取得したある他のサイトの利用者 ID とパスワードとの組みの一覧表を用いて，ログインを試行する。

正解

ウ. 攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログインを試行する。

解説

パスワードスプレー攻撃は、よく使われる少数のパスワードを多数の利用者IDに広く薄く試す手法。同一IDへの連続試行を避けることでアカウントロックを回避し、時刻や送信元IPを変えて検知も逃れる。これに合致するウが正解。実務では1IDあたりの失敗回数だけ見るロック方式では検知しづらく、IP横断や全体傾向の監視・MFA導入が対策となる。

選択肢ごとの解説

• ア.1つのIDに辞書語を順に試すのは辞書攻撃で、多数IDへ広く薄く試すスプレーとは異なる。
• イ.1つのIDにパスワードを総当たりするブルートフォースであり、スプレー攻撃ではない。
• ウ.ロック回避しつつ定番パスワードを多数IDへ薄く試す手法で、スプレー攻撃の説明そのもので正解。
• エ.他サイト流出のID/パスワード一覧を使うのはパスワードリスト攻撃で、スプレーではない。