情報処理安全確保支援士試験　⑦ 攻撃手法2 Web・パスワード・人的攻撃

Webアプリケーションと人、そして認証情報を狙う手口の分野です。ソーシャルエンジニアリングやフィッシングといった心理面を突く攻撃、ARPポイズニングによる通信の乗っ取り、クロスサイトスクリプティング、クロスサイトリクエストフォージェリ、ディレクトリトラバーサルなどWeb特有の攻撃を扱います。パスワード面では総当たり攻撃とパスワードリスト攻撃の違い、ソルトとストレッチングの効果を整理します。収録670問のうち83問がこの分野です。

この分野の問題83問を、選択肢・正解・解説つきで掲載しています。まず自分で解答を考えてから「正解と解説を見る」を開いて答え合わせをしてください。

クイズモードで挑戦 →

第508問人間の思い込みや油断などの心理的なスキを狙って機密情報を漏えいさせる攻撃の総称はどれか。

Aソーシャルエンジニアリング
Bブルートフォース攻撃
Cディレクトリトラバーサル
Dクロスサイトスクリプティング

正解と解説を見る

正解：A．ソーシャルエンジニアリング

人間の心理的なスキや行動を狙った攻撃をソーシャルエンジニアリングという。

情報処理安全確保支援士試験 ⑦ 攻撃手法2 Web・パスワード・人的攻撃

第508問人間の思い込みや油断などの心理的なスキを狙って機密情報を漏えいさせる攻撃の総称はどれか。

第509問ユーザの背後からディスプレイを盗み見て、IDやパスワードなどの情報を取得する手法はどれか。

第510問ゴミ箱から機密情報を取得する手法はどれか。

第511問スキャベンジングの対策として適切でないものはどれか。

第512問電話を利用したソーシャルエンジニアリングの対策として最も適切なものはどれか。

第513問偽の警告画面を表示して不安をあおり、用意したサポートセンターへ入電を促す手口はどれか。

第514問ソーシャルエンジニアリングの主なターゲットはどれか。

第515問攻撃者が標的型攻撃を行う前の段階で、ソーシャルエンジニアリングを利用する主な目的はどれか。

第516問次のうち、ソーシャルエンジニアリングの手法に該当しないものはどれか。

第517問公共の場所で会話を盗み聞きして機密情報を取得する手法への対策として適切なものはどれか。

第518問メールでなりすましサイトに誘導して機密情報を盗み取る手法はどれか。

第519問SMSを利用してフィッシングサイトに誘導し、機密情報を盗み取る手法はどれか。

第520問フィッシングの対策として最も適切な行動はどれか。

第521問スミッシングで典型的に悪用されるなりすましの送信元はどれか。

第522問フィッシングサイトを検知した際に警告画面を表示する機能を持つものはどれか。

第523問近年、フィッシングメールによる被害が増加している背景として最も適切なものはどれか。

第524問「情報セキュリティ10大脅威2023」の個人部門において、1位に選出された脅威はどれか。

第525問SMSで身に覚えのない宅配便業者からの通知を受け取った場合の適切な対応はどれか。

第526問フィッシング対策ソフトが偽サイトを適切に検知できるようにするため、日常的に行うべきことはどれか。

第527問次のうち、フィッシングおよびスミッシングの誘導先として共通しているものはどれか。

第528問IPアドレスからMACアドレスを調べるためのプロトコルはどれか。

第529問ARPの仕様において、要求に対してどのように応答を処理するか。

第530問攻撃者が不正な応答を早く届けることで、ARPテーブルを不正に書き換える攻撃はどれか。

第531問ARPポイズニングの別名として適切でないものはどれか。

第532問ARPポイズニングが成功した場合、攻撃者が可能になることはどれか。

第533問ARPテーブルが管理している対応関係はどれか。

第534問ARPポイズニングを防ぐ対策として有効な機能はどれか。

第535問ARPポイズニングによる中間者攻撃において、攻撃者はターゲットPCに対して自身を何と偽るか。

第536問同一LAN内の端末がARPポイズニングを受け、通信が攻撃者の端末を経由するようになった。この状態で攻撃者が実行できる行為はどれか。

第537問攻撃者がマルウェアを利用してARPテーブルを書き換える場合、どのような手法をとるか。

第538問脆弱性のあるWEBサイトを使って、ブラウザで悪意のあるスクリプトを実行させる攻撃はどれか。

第539問クロスサイトスクリプティングの罠リンクを仕掛ける踏み台として利用されやすいサイトはどれか。

第540問XSS攻撃において、不正なスクリプトが最終的に実行される場所はどこか。

第541問クロスサイトスクリプティングが「CSS」ではなく「XSS」と略される理由はどれか。

第542問XSSによってターゲットが受ける被害として適切なものはどれか。

第543問XSSによる被害が発生した場合、責任を問われる可能性があるのは誰か。

第544問XSS対策として、WEBサーバ側で行うべき処理はどれか。

第545問エスケープ処理の目的として正しいものはどれか。

第546問エスケープ処理などにより、入力データを特別な意味をもたない文字に変更して無害化することを何と呼ぶか。

第547問次のうち、XSSの特徴として誤っているものはどれか。

第548問WEBサイトにログインしている利用者に、意図しないリクエストを強制させる攻撃はどれか。

第549問CSRF攻撃において、意図しないリクエストは誰のアカウント権限で送信されるか。

第550問CSRF対策として、WEBサイト終了時に利用者が行うべき行動はどれか。

第551問CSRFによる攻撃の直接的な被害の特徴として適切なものはどれか。

第552問CSRFによる被害が拡大するおそれがあるのは、どのような処理が強制された場合か。

第553問CSRF対策として、重要な処理の前に攻撃者が予測できない情報を用いる方法として有効なものはどれか。

第554問CAPTCHAが本来持っている目的はどれか。

第555問次のうち、CSRF対策として有効な機能はどれか。

第556問CSRFとXSSの違いとして適切なものはどれか。

第557問退会や設定変更などの重要な処理においてCSRFを防ぐためには、どのような認証が有効か。

第558問相対パスを使って非公開のファイルに不正にアクセスする攻撃はどれか。

第559問ディレクトリトラバーサルにおいて、一つ上の階層に遡るために悪用される文字列はどれか。

第560問アプリが「/public/file/」に指定ファイル名を付加してダウンロードを行う仕様のとき、「../../etc/passwd」を指定された場合どうなるか。

第561問ディレクトリトラバーサルの根本的な対策として最も適切なものはどれか。

第562問ディレクトリトラバーサル対策として、実装の変更以外に有効な方法はどれか。

第563問対象のファイルへの経路を最初から最後まで完全に記載するパスの指定方法はどれか。

第564問現在のファイルを起点に、対象のファイルまでの経路を記載するパスの指定方法はどれか。

第565問ディレクトリトラバーサルによって被害を受ける可能性のあるファイルはどれか。

第566問次の攻撃のうち、ファイル参照の仕組みを悪用し、管理者の意図しない処理を行わせるものはどれか。

第567問絶対パスの別の呼び方として用いられるものはどれか。

第568問稼働しているサーバに接続し、パスワードのすべての組み合わせを試す攻撃はどれか。

第569問パスワードを固定して、ユーザIDを変化させながらログインを試みる攻撃はどれか。

第570問辞書に記載されている単語からパスワードを推測して試す攻撃はどれか。

第571問他のサイトで流出したユーザIDとパスワードの組み合わせを試す攻撃はどれか。

第572問アカウントロックアウトを設定してもログイン試行回数の制限で対策できない攻撃はどれか。

第573問リバースブルートフォース攻撃への対策として有効な方法はどれか。

第574問事前に取得したパスワードファイルなどを基に解析を行い、パスワードを調べる攻撃を何というか。

第575問オフライン攻撃において、攻撃者は何をリスト化して効率よくパスワードを調べようとするか。

第576問IPAが推奨する安全なパスワードの条件に該当しないものはどれか。

第577問オンライン攻撃とオフライン攻撃の違いとして適切なものはどれか。

第578問パスワードなどの機密情報を平文で管理した場合のリスクはどれか。

第579問パスワードをハッシュ値へ変換するときに、パスワードに付与するランダムな文字列を何というか。

第580問ソルトを利用することで得られるセキュリティ上の効果はどれか。

第581問ハッシュ処理を何度も繰り返すことでセキュリティ強度を高める技術を何というか。

第582問ストレッチングがパスワード解析を困難にする理由はどれか。

第583問攻撃者がよく利用されるパスワードとハッシュ関数の対応関係をあらかじめ管理しておく目的はどれか。

第584問ソルトとストレッチングの違いについて、最も適切に説明しているものはどれか。

第585問パスワードにストレッチングを1000回行った場合、攻撃者が総当たりで解析する際に強いられる負担はどれか。

第586問パスワードファイル流出に備えて、管理者が行うべきパスワードの保存方法はどれか。

情報処理安全確保支援士試験　⑦ 攻撃手法2 Web・パスワード・人的攻撃