情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問16: サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち，適切なものはどれか。

問題本文

サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち，適切なものはどれか。

選択肢

• ア.辞書攻撃：推測されにくいパスワードを設定する。／スニッフィング：パスワードを暗号化して送信する。／ブルートフォース攻撃：ログインの試行回数に制限を設ける。
• イ.辞書攻撃：推測されにくいパスワードを設定する。／スニッフィング：ログインの試行回数に制限を設ける。／ブルートフォース攻撃：パスワードを暗号化して送信する。
• ウ.辞書攻撃：パスワードを暗号化して送信する。／スニッフィング：ログインの試行回数に制限を設ける。／ブルートフォース攻撃：推測されにくいパスワードを設定する。
• エ.辞書攻撃：ログインの試行回数に制限を設ける。／スニッフィング：推測されにくいパスワードを設定する。／ブルートフォース攻撃：パスワードを暗号化して送信する。

正解

ア. 辞書攻撃：推測されにくいパスワードを設定する。／スニッフィング：パスワードを暗号化して送信する。／ブルートフォース攻撃：ログインの試行回数に制限を設ける。

解説

本問は各パスワード攻撃手法と有効な対策を正しく対応付けられるかを問う。辞書攻撃は辞書中の語を試すため推測されにくいパスワード設定が、スニッフィングは通信盗聴のため暗号化送信が、ブルートフォース攻撃は総当たりのため試行回数制限が有効である。正解はアで、3つの組合せすべてが正しく対応している。

選択肢ごとの解説

• ア.正しい。辞書攻撃には推測されにくいパスワード、スニッフィング（盗聴）にはパスワードの暗号化送信、ブルートフォース攻撃には試行回数制限という対応が、いずれも攻撃の性質に合致している。
• イ.誤り。スニッフィングへの対策として試行回数制限は無効（盗聴は試行回数と無関係）であり、ブルートフォース攻撃に暗号化送信を当てるのも的外れである。
• ウ.誤り。辞書攻撃に暗号化送信、スニッフィングに試行回数制限を当てており、いずれも対策の対応が誤っている。
• エ.誤り。辞書攻撃に試行回数制限、スニッフィングに推測されにくいパスワードを当てており、攻撃と対策の対応が入れ違っている。