情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度春期 午前Ⅱ 問5: 標的型攻撃における攻撃者の行動をモデル化したものの一つにサイバーキルチェーンがあり，攻撃者の行動を7段階に分類している。標的とした会社に対する攻撃者の行動のうち

問題本文

標的型攻撃における攻撃者の行動をモデル化したものの一つにサイバーキルチェーンがあり，攻撃者の行動を7段階に分類している。標的とした会社に対する攻撃者の行動のうち，偵察の段階に分類されるものはどれか。

選択肢

• ア.攻撃者が，インターネットに公開されていない社内ポータルサイトから，会社の組織図，従業員情報，メールアドレスなどを入手する。
• イ.攻撃者が，会社の役員が登録しているSNSサイトから，攻撃対象の人間関係，趣味などを推定する。
• ウ.攻撃者が，取引先になりすまして，標的とした会社にマルウェアを添付した攻撃メールを送付する。
• エ.攻撃者が，ボットに感染したPCを遠隔操作して社内ネットワーク上のPCを次々にマルウェア感染させて，利用者IDとパスワードを入手する。

正解

イ. 攻撃者が，会社の役員が登録しているSNSサイトから，攻撃対象の人間関係，趣味などを推定する。

解説

サイバーキルチェーンの第1段階「偵察(Reconnaissance)」は、攻撃前に標的の情報を外部から収集する活動を指す。SNSなど公開情報から人間関係や趣味を推定する行為はOSINT的な偵察に該当し、イが正解。実務では公開情報の管理と従業員教育で攻撃の足がかりを減らすことが重要。後続段階の武器化・配送・侵害と区別して理解したい。

選択肢ごとの解説

• ア.公開されていない社内ポータルから情報を入手する行為は既に侵入後の活動であり、外部からの偵察段階とは異なり誤り。
• イ.公開SNSから標的の人間関係や趣味を推定する行為は外部からの情報収集であり偵察段階に該当し、これが正解。
• ウ.マルウェア添付メールの送付は攻撃メールを届けるデリバリ(配送)段階であり、偵察ではないため誤り。
• エ.感染PCを遠隔操作し横展開・認証情報窃取する行為は侵入後の内部活動であり、偵察段階ではなく誤り。