今回の記事では、ITパスポートによく出題されるセキュリティ問題を解説していきます。セキュリティといっても幅は広く、法律系の問題やマネジメント系の問題もありますが、今回はセキュリティの技術要素に絞って解説していきたいと思います。
ITパスポートのセキュリティ問題の出題範囲
セキュリティの技術はたくさんあり、初心者では覚えきれる量ではありません。ITパスポートでは出題範囲が決められているので、まずは、出題範囲を理解し、どのような問題が出るのかを知りましょう。
情報の収集や活用を安全に行うために情報セキュリティが必要であることを理解する。 脅威の種類と基本的な対処法，及び脆弱性を理解する。 代表的な攻撃手法，及びそれらへの対策を理解する。
(ITパスポートシラバスより)
シラバスにはこのように説明文がありました。つまり、セキュリティの脅威や代表的な攻撃とその対策を覚えればよいのです。
ちなみに、シラバスには以下のような攻撃が記載されていました。
マルウェア（コンピュータウイルス，ボット，スパイウェア，ランサムウェア）， ワーム，トロイの木馬，RAT，マクロウイルス，ガンブラー，キーロガー，バックドア，ファイル交換ソフトウェア，SPAM
辞書攻撃，総当たり（ブルートフォース）攻撃，パスワードリスト攻撃，クロスサイトスクリプティング，ドライブバイダウンロード，SQL インジェクション， キャッシュポイズニング，DoS（Denial of Service：サービス妨害）攻撃，DDoS 攻撃，標的型攻撃（水飲み場型攻撃，やり取り型攻撃ほか），フィッシング（ワンクリック詐欺ほか），ゼロデイ攻撃，サービス及びソフトウェアの機能の悪用
ITパスポートは6割正解すれば合格できるので、これをすべて覚える必要はなく、6割くらいを覚えておけば大丈夫です。では、実際の過去問を出題しながら解説していきます。
悪意のあるプログラム”マルウェア”
マルウェアの説明として，適切なものはどれか。
(ア) インターネットから社内ネットワークへの不正侵入を検知する仕組み
(イ) コンピュータウイルス，ワームなどを含む悪意のあるソフトウェアの総称
(ウ) ネットワークを介し，コンピュータ間でファイル共有を行うソフトウェアの総称
(エ) 話術や盗み聞きなどによって，社内の情報を盗み出す行為
(ITパスポート試験ドットコムより)
答えは(イ）ですね。マルウェアは悪意のあるソフトウェアの総称です。マルウェアはいくつかの種類に分けられます。それぞれを簡単に説明するのでなんとなくでも理解しておきましょう。
- ワーム → 自己増殖するプログラム
- バックドア → 攻撃者が侵入するための経路口
- トロイの木馬 → 正常なファイルに見せかけて悪意のある振る舞いをする
- スパイウェア → 個人情報を収集
- キーロガー → キーボードの動作を記録して、パスワードなどを盗む
- ランサムウェア → ファイルを暗号化し、修復するために金銭を要求
- RAT → PCを管理者権限でリモートからアクセス
↓ランサムウェアに感染したPCの画面
パスワードを盗む攻撃”総当たり攻撃”
情報システムに対する攻撃のうち，あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき，当該IDの使用を停止させることが有効な防衛手段となるものはどれか。
(ア) DoS攻撃 (イ) SQLインジェクション
(ウ) 総当たり攻撃 (エ) フィッシング
(ITパスポート試験ドットコムより)
答えは(ウ)の総当たり攻撃です。 考えられるパスワードを総当たりで入力してログインを試みようとする攻撃です。総当たり攻撃と似ている攻撃で辞書攻撃というものがあります。辞書攻撃は辞書に載っている単語などで ログインを試みようとする攻撃です。
これらの攻撃を防ぐためには、パスワードを長くし、大文字小文字数字記号などを組み合わせたパスワードにするとよいでしょう。
脆弱性が修正される前に攻撃する”ゼロデイ攻撃”
ゼロデイ攻撃の説明として，適切なものはどれか。
（ア) TCP/IPのプロトコルのポート番号を順番に変えながらサーバにアクセスし，侵入口と成り得る脆(ぜい)弱なポートがないかどうかを調べる攻撃
(イ) システムの管理者や利用者などから，巧妙な話術や盗み見などによって，パスワードなどのセキュリティ上重要な情報を入手して，利用者になりすましてシステムに侵入する攻撃
(ウ) ソフトウェアに脆弱性が存在することが判明したとき，そのソフトウェアの修正プログラムがベンダから提供される前に，判明した脆弱性を利用して行われる攻撃
(エ) パスワードの割り出しや暗号の解読を行うために，辞書にある単語を大文字と小文字を混在させたり数字を加えたりすることで，生成した文字列を手当たり次第に試みる攻撃
(ITパスポート試験ドットコムより)
答えは(ウ)です。ソフトウェアの脆弱性(プログラムの欠陥)が見つかると修正プログラムが配信されます。そのプログラムをPCにインストールする作業をパッチ当てと呼びます。パッチ当てする前にソフトウェアの脆弱性に攻撃することをゼロデイ攻撃と言います。
さいごに
今回の記事では、ITパスポートによく出題されるセキュリティ問題を解説しました。今回は主にセキュリティの問題を解説していきました。セキュリティの範囲はネットワーク同様に広いですし、ITをこれから仕事にする人にとっては必須の知識なのでしっかり覚えましょう。
