3-2 脅威と攻撃手法
脅威と攻撃手法
攻撃手法は、名称だけでなく「何を狙うか」「どの弱点を利用するか」「どの対策が有効か」を組み合わせて理解します。ITパスポートでは、メール、Web、認証情報、端末、委託先などの状況から攻撃を識別し、最も適切な対策を選ぶ問題が出題されます。
この節の目標は、代表的なマルウェア、Web攻撃、認証攻撃、ソーシャルエンジニアリング、サプライチェーン攻撃を具体的な兆候から見分け、予防・検知・対応策を選べるようになることです。
1. 攻撃を「入口・実行・目的」で整理する
| 観点 | 確認する内容 | 例 |
|---|---|---|
| 入口 | どこから侵入・接触したか | メール、Web、VPN、委託先、USB、公開サーバ |
| 弱点 | 何が利用されたか | 未更新ソフト、弱い認証、設定ミス、人の思い込み |
| 実行 | 何が行われたか | 不正コード実行、なりすまし、権限取得、通信妨害 |
| 目的 | 何を得ようとしているか | 金銭、機密情報、業務停止、踏み台、信用低下 |
| 兆候 | 何を観測できるか | 不審ログイン、暗号化、異常通信、設定変更、苦情 |
同じ攻撃名でも侵入経路は複数あります。ランサムウェアは添付ファイルだけでなく、脆弱なリモート接続や委託先を経由して侵入する場合もあります。
2. マルウェアの特徴
| 種類 | 主な特徴 | 代表的な対策 |
|---|---|---|
| コンピュータウイルス | 他のファイルやプログラムへ感染して広がる | 更新、マルウェア対策、添付ファイル制御 |
| ワーム | 自己増殖し、ネットワーク経由で広がる | 脆弱性修正、通信制御、端末隔離 |
| トロイの木馬 | 正常なソフトに見せかけて不正機能を実行する | 正規配布元確認、実行制限、EDR |
| ランサムウェア | データを暗号化・窃取し、金銭を要求する | 多層防御、分離バックアップ、復旧訓練 |
| スパイウェア | 入力や利用状況などを不正収集する | 端末保護、権限確認、不審アプリ排除 |
| ボット | 外部からの命令で不正処理を行う | 通信監視、感染端末隔離、更新 |
| ルートキット | 不正活動を隠し、権限を維持する | 完全性監視、EDR、再構築判断 |
完全ケース：ファイルが開けなくなった
社員が出社すると、共有フォルダのファイル名が変わり、開けなくなっていました。端末には金銭を要求するメッセージが表示されています。
適切な初動は次のとおりです。
- 感染が疑われる端末やサーバをネットワークから隔離する。
- CSIRTや責任者へ連絡し、影響範囲を確認する。
- ログや端末状態を保全し、侵入経路と情報窃取の有無を調べる。
- バックアップが感染・改ざんされていないか確認する。
- 原因を除去し、安全な環境へ再構築して復旧する。
- 関係者への報告、通知、再発防止を行う。
バックアップを同じネットワークへ常時接続していると、一緒に暗号化される可能性があります。世代管理、アクセス分離、復元試験が重要です。
3. 認証情報を狙う攻撃
| 攻撃 | 手口 | 有効な対策 |
|---|---|---|
| ブルートフォース攻撃 | 多数の組合せを順番に試す | 長いパスワード、試行制限、多要素認証 |
| 辞書攻撃 | よく使われる単語やパターンを試す | 推測されにくい長いパスワード |
| パスワードリスト攻撃 | 他サービスから流出した認証情報を再利用する | サービスごとに異なるパスワード、多要素認証 |
| クレデンシャルスタッフィング | 流出した大量のID・パスワードを自動試行する | 異常検知、レート制限、多要素認証 |
| フィッシング | 偽サイトや偽メッセージで認証情報を入力させる | URL確認、教育、フィッシング耐性の高い認証 |
| セッションハイジャック | 有効なセッション情報を悪用する | TLS、適切なセッション管理、再認証 |
パスワードを定期的に変更するだけでは、フィッシングや使い回しの問題を十分に解決できません。多要素認証、パスワード管理、異常ログイン検知を組み合わせます。
4. 人の判断を狙う攻撃
ビジネスメール詐欺のケース
経理担当者へ、社長を名乗るメールが届きました。「機密案件なので誰にも相談せず、今日中に指定口座へ送金してほしい」と書かれています。表示名は社長ですが、送信元ドメインが通常と一文字違います。
判断のポイントは次のとおりです。
- 緊急性や秘密を強調し、通常手順を回避させようとしている。
- 送信元、返信先、振込先が通常と異なる。
- 本人確認をメール以外の既知の連絡手段で行う必要がある。
- 高額送金には複数承認や口座変更確認を適用する。
ソーシャルエンジニアリングには、肩越しに画面を見るショルダーハッキング、関係者を装って情報を聞き出す手口、廃棄物から情報を探すトラッシングなどがあります。人への教育だけでなく、手続と技術で誤判断を防ぎます。
5. Webアプリケーションへの攻撃
| 攻撃・脆弱性 | 起こり得ること | 主な対策の考え方 |
|---|---|---|
| SQLインジェクション | 不正なSQLによりデータ閲覧・改ざんが行われる | プレースホルダ、適切なDB権限、入力の扱いを安全にする |
| クロスサイトスクリプティング（XSS） | 閲覧者のブラウザで不正スクリプトが実行される | 出力箇所に応じたエスケープ、危険なHTMLの制限 |
| CSRF | ログイン中の利用者に意図しない処理を実行させる | CSRF対策トークン、再認証、SameSite設定など |
| OSコマンドインジェクション | サーバで意図しないOSコマンドが実行される | OSコマンド呼出しを避け、安全なAPIを使う |
| ディレクトリトラバーサル | 想定外のファイルへアクセスされる | ファイル名を直接パスへ使わず、許可対象を限定する |
| 認可制御の欠落 | 他人の情報や管理機能へアクセスされる | サーバ側で利用者ごとに権限確認する |
| セッション管理の不備 | セッションIDを推測・盗用される | 安全な生成、TLS、Cookie属性、ログアウト処理 |
「入力値をチェックする」という一つの言葉だけでは不十分です。SQLインジェクションはプレースホルダ、XSSは出力時の適切な処理、CSRFはリクエストの正当性確認など、原因に合った根本対策を選びます。
6. ネットワークとサービスを狙う攻撃
| 攻撃 | 内容 | 対策例 |
|---|---|---|
| DoS / DDoS | 大量の通信や処理要求でサービスを妨害する | 回線・サービス分散、通信制御、専門対策サービス |
| 中間者攻撃 | 通信の途中で盗聴・改ざん・なりすましを行う | TLS、証明書確認、安全なネットワーク利用 |
| DNSキャッシュポイズニング | 誤った名前解決情報を混入させる | DNSSEC、更新、信頼できるDNS運用 |
| ポートスキャン | 公開サービスや弱点を調査する | 不要ポート閉鎖、監視、アクセス制御 |
| ゼロデイ攻撃 | 修正プログラム公開前などの脆弱性を悪用する | 多層防御、監視、影響緩和、迅速な情報収集 |
DDoS対策は、社内ファイアウォールだけで大量通信を全て処理しようとすると回線自体が埋まる場合があります。上流での通信制御や分散サービスも検討します。
7. 内部不正・委託先・サプライチェーン
内部不正は、正当な権限を持つ社員や委託先が情報を不正利用するケースを含みます。最小権限、職務分掌、ログ監視、退職・異動時の権限変更、持出し管理を組み合わせます。
サプライチェーン攻撃は、直接の標的より対策が弱い取引先、保守会社、クラウドサービス、ソフトウェア部品などを経由して被害を広げます。
委託先を含む確認手順
- 委託する情報と業務の重要度を分類する。
- 委託先の対策、事故対応、再委託を確認する。
- 契約で報告、監査、データ返却・削除などを定める。
- アクセス権を必要最小限・期間限定にする。
- ソフトウェア部品と更新の入手元・完全性を管理する。
- 事故を想定した連絡訓練と復旧確認を行う。
8. 2026年の脅威動向をどう読むか
IPA「情報セキュリティ10大脅威 2026」の組織編では、ランサム攻撃、サプライチェーンや委託先を狙った攻撃、AI利用をめぐるサイバーリスク、脆弱性悪用、標的型攻撃などが挙げられています。
これは脅威の優先順位を考える参考資料です。順位だけを暗記するのではなく、自組織の情報資産、業務、委託関係、利用技術に当てはめてリスクを評価します。
9. よくある誤りと理由
- マルウェア対策ソフトだけで全攻撃を防げる：認証、Web設計、委託先、手続への対策も必要です。
- XSSはサーバだけが被害を受ける：主な影響はページを閲覧する利用者側に及びます。
- SQLインジェクション対策を文字の削除だけで済ませる：プレースホルダなど根本的な対策を使います。
- 多要素認証ならフィッシングの可能性はゼロになる：方式によって耐性が異なり、本人確認や監視も必要です。
- 委託先の事故は自社に関係ない：自社データやサービスへ影響し、委託先管理も必要です。
- バックアップ取得だけでランサム対策は完了する：分離、世代管理、復元試験が必要です。
10. セルフチェック
- 攻撃の入口、利用された弱点、目的を説明できるか。
- 攻撃名だけでなく、兆候と影響を確認したか。
- 予防、検知、封じ込め、復旧のどの対策か。
- Web攻撃ごとに原因に合った対策を選んだか。
- 委託先、クラウド、ソフトウェア部品まで範囲に含めたか。
理解を確認したら、第3章の練習問題と第3章の知識カードで攻撃と対策を対応させてください。リスク評価はセキュリティの基礎とリスク、具体的な防御技術は暗号・認証・セキュリティ対策で確認できます。
公式範囲との対応
本節は、IPA「ITパスポート試験シラバス Ver.6.5」の情報セキュリティ、情報セキュリティ上の脅威、攻撃手法に対応しています。2026年の脅威動向とWeb脆弱性の説明は、IPAの最新資料を補助資料として参照しています。