【IPシラバス6.3】(4) 攻撃手法 – 1

正解
2 辞書に載っている単語やフレーズを使って試行する攻撃

解説
辞書攻撃は予め用意されたリストにある単語やフレーズを使って、正しいパスワードを見つけ出す手法です。

総当たり攻撃がすべての組み合わせを試すのに対し、辞書攻撃はその中でもよく使われる単語に焦点を当てることで、効率よくパスワードを見つけることができる場合があります。

正解
2 複雑なパスワードを使用する

解説
辞書攻撃に対抗するためには辞書に含まれない複雑なパスワードを設定することが重要です。

パスワードに記号や数字を含めることで、辞書に載っている単語やフレーズを回避することができます。頻繁にパスワードを変更することも有効ですが、まずはパスワードの複雑さが優先されます。

正解
1 英単語だけで構成されたもの

解説
辞書攻撃は一般的な英単語やフレーズを試す攻撃であるため、英単語だけで構成されたパスワードは特に狙われやすくなります。

無作為な文字列や数字のみのパスワードは、辞書攻撃に対して比較的強いといえます。

正解
3 すべての可能な組み合わせを試す攻撃

解説
総当たり攻撃はあらゆる可能なパスワードの組み合わせを一つずつ試行していく方法です。この攻撃は時間がかかるものの、理論的には必ず正しいパスワードを見つけることができる手法です。

一般的な単語に焦点を当てた辞書攻撃とは異なります。

正解
2 ログイン試行回数の制限を設ける

解説
総当たり攻撃に対する効果的な防御策の一つは一定回数以上の失敗後にアカウントをロックするログイン試行回数の制限を設けることです。攻撃者がすべての組み合わせを試行することが難しくなります。

正解
1 パスワードが短く単純な場合

解説
総当たり攻撃ではパスワードが短く単純であるほど、すべての組み合わせを試す時間が短縮され、攻撃が成功しやすくなります。

複雑で長いパスワードは試行回数が増えるため攻撃の成功率を下げることができます。

正解
3 流出したアカウント情報を使って他のサイトにログインを試みる攻撃

解説
パスワードリスト攻撃は流出したユーザー名とパスワードの組み合わせを使用して、他のサービスやサイトへの不正アクセスを試みる手法です。同じパスワードを使い回している場合、複数のアカウントが一度に乗っ取られるリスクが高まります。

正解
2 各サイトで異なるパスワードを使用する

解説
パスワードリスト攻撃に対して効果的な対策は各サイトで異なるパスワードを設定することです。仮に一つのサイトでパスワードが漏洩しても、他のサイトのアカウントが危険にさらされるリスクを減少させることができます。

正解
2 ユーザーが同じパスワードを複数のサイトで使用している場合

解説
パスワードリスト攻撃はユーザーが同じパスワードを複数のサイトで使用している場合に特に有効です。一つのサイトから漏洩したパスワードを使って他のサイトにもログインできる可能性があるためです。

正解
1 ユーザーのブラウザでスクリプトを実行させること

解説
クロスサイトスクリプティング（XSS）は攻撃者が悪意のあるスクリプトをWebサイトに埋め込み、それを訪れたユーザーのブラウザで実行させる攻撃です。

ユーザーのクッキーやセッション情報が盗まれ、悪意のある操作が行われる可能性があります。

正解
2 Webサイトの入力フィールドでユーザーの入力内容をサニタイズする

解説
クロスサイトスクリプティング（XSS）攻撃を防ぐためには、Webサイトでユーザーの入力内容を適切にサニタイズ（無害化）することが重要です。悪意のあるスクリプトが埋め込まれるリスクを減少させることができます。

正解
3 Webページに表示されるユーザー入力内容にスクリプトを埋め込むこと

解説
クロスサイトスクリプティング（XSS）攻撃の一例として、攻撃者がユーザー入力内容にスクリプトを埋め込み、それを表示する際にブラウザで実行させる手法が挙げられます。

この攻撃が成功することでユーザーの情報が盗まれるリスクがあります。

正解
1 ユーザーに意図しない操作を行わせる攻撃

解説
クロスサイトリクエストフォージェリ（CSRF）は、ユーザーが意図しない操作を攻撃者が実行させる攻撃手法です。

攻撃者はユーザーの認証情報を利用して、ユーザーが認識しないまま不正な操作を行わせます。

正解
3 リクエストごとにCSRFトークンを使用する

解説
クロスサイトリクエストフォージェリ（CSRF）攻撃を防ぐためには、リクエストごとにCSRFトークンを利用することが効果的です。

攻撃者が不正なリクエストを送信しても、それが正当なリクエストであるかどうかを判定できるようになります。

正解
2 ユーザーの認証情報を利用して不正な操作を行わせる

解説
クロスサイトリクエストフォージェリ（CSRF）ではユーザーの認証情報を悪用して、ユーザーが意図しない操作を実行させることが主な攻撃手法です。

この攻撃ではユーザーが正当な操作を行ったように見せかけるため、検知が難しい場合があります。

正解
2 ユーザーに意図しないボタンをクリックさせること

解説
クリックジャッキングは、ユーザーが本来意図しない場所をクリックさせるために、攻撃者がWebページを操作する攻撃です。ユーザーは知らないうちに不正な操作を行ってしまう可能性があります。

正解
1 Webページにフレームの使用を禁止するヘッダーを追加する

解説
クリックジャッキングを防ぐためにはWebページにX-Frame-Optionsヘッダーを設定し、他のサイトがページをフレーム内に表示できないようにすることが効果的です。攻撃者がフレームを使ってユーザーを騙すことが難しくなります。

正解
2 ユーザーのクリック位置を意図的にずらす

解説
クリックジャッキングではユーザーがクリックする位置に透明なボタンを重ねるなどして、意図しない操作を行わせる手法が取られます。この攻撃はユーザーが本来意図しない動作を行うことを目的としています。

正解
3 Webページを閲覧するだけでマルウェアがダウンロードされる

解説
ドライブバイダウンロード攻撃はユーザーがWebページを閲覧するだけで、マルウェアが自動的にダウンロードされる仕組みです。

ユーザーがリンクをクリックしたり、ファイルを手動でダウンロードする必要がないため、気づかないうちに感染するリスクがあります。

正解
1 Webブラウザとプラグインを最新の状態に保つ

解説
ドライブバイダウンロード攻撃を防ぐためにはWebブラウザやプラグインを常に最新の状態に保つことが重要です。既知の脆弱性を悪用されるリスクを減らし、攻撃を未然に防ぐことができます。

正解
1 信頼性の低いWebサイトを閲覧したとき

解説
ドライブバイダウンロード攻撃は信頼性の低いWebサイトや不正な広告を表示するサイトで発生しやすくなります。このため、セキュリティ対策が十分に施されていないサイトを訪れる際は注意が必要です。

正解
1 データベースに対して不正な操作を行うこと

解説
SQLインジェクションは攻撃者がデータベースに対して不正なSQLクエリを実行し、データを盗み出したり改ざんしたりする攻撃手法です。機密情報が漏洩するリスクが高まります。

正解
2 ユーザー入力を適切にエスケープ処理する

解説
SQLインジェクションを防ぐためには、ユーザーからの入力を適切にエスケープ処理することが重要です。また、パラメータ化されたクエリを使用することも効果的な対策です。

正解
2 入力データが適切に検証されていない場合

解説
SQLインジェクション攻撃が成功する主な要因は、ユーザー入力が適切に検証されていないことです。

入力データがそのままSQLクエリに組み込まれると、不正なクエリが実行されるリスクが生じます。適切な入力検証とエスケープ処理が不可欠です。