情報セキュリティの脅威と攻撃
脅威には人の心理を突く人的脅威と、システムの弱点を突く技術的脅威があります。マルウェアにはウイルス・ワーム・トロイの木馬・ランサムウェアなど複数の種類があります。
人的脅威、マルウェアの種類、Webアプリケーションへの攻撃、標的型攻撃やフィッシングなど代表的な脅威の手口と特徴を説明できるようになります。
情報セキュリティはITパスポート試験の中で最も出題数の多い分野です。攻撃の手口を正しく理解しておくことは、試験対策としてだけでなく、実際の業務で自分や組織の情報を守るためにも欠かせません。
人的脅威と組織を狙う攻撃
情報セキュリティの脅威は、コンピュータの技術的な弱点を突くものだけではありません。人の心理的な隙や不注意につけこむ人的脅威も、被害の入り口として非常に多く見られます。うっかり情報を外部に出してしまう漏えい、書類や機器の紛失、機器を落とすなどの破損、パスワードを画面越しに見られる盗み見、通信内容を横取りされる盗聴、技術力を使って不正に侵入するクラッキング、操作を間違えてデータを消してしまう誤操作なども、代表的な人的脅威として整理されています。
ソーシャルエンジニアリングは、こうした人的脅威の中でも、技術ではなく人の心理を突いて情報を盗み出す攻撃手法の総称です。電話でシステム管理者を装いパスワードを聞き出す、入力中の画面をのぞき見るショルダーハッキング、ゴミ箱に捨てられた書類から情報を集めるトラッシング(スキャベンジング)などが代表例です。なりすまして正面から堂々と入り込んでくる空き巣のような手口だとイメージすると分かりやすいです。
近年被害が拡大しているのが、取引先や経営者になりすまして偽の振込先を指示し、金銭をだまし取るビジネスメール詐欺(BEC)です。もっともらしいやり取りを装うため、振込先の変更連絡を受けたときはメール以外の手段で本人確認する運用が有効です。最近ではAIで人の声や映像を合成するディープフェイクを使い、経営者の声を偽装して送金を指示する手口も報告されています。
情報漏えいの原因は外部からの攻撃だけでなく、組織内部の従業員による内部不正も見過ごせません。不正が起きる要因は、実行できる環境がある「機会」、追い込まれた事情がある「動機」、自分を納得させる理由がある「正当化」の3つが揃うことで発生しやすくなるとされ、これを不正のトライアングルと呼びます。3つのうち1つでも取り除くことが、内部不正の予防につながります。
このほか、暗号化に加えて情報公開もちらつかせて二重に脅す二重脅迫(ダブルエクストーション)や、盗んだ情報の売買が行われるダークウェブも、被害が広がっている脅威として押さえておきましょう。
マルウェアの種類
コンピュータに不正な動作をさせる悪意のあるソフトウェアを総称してマルウェアと呼びます。マルウェアにはいくつかの種類があり、感染の仕方によって呼び分けられています。
コンピュータウイルスは、他のプログラムファイルに寄生し、そのファイルが実行されることで感染を広げる不正プログラムです。ワームは他のファイルに寄生せず単独で自己増殖し、ネットワークを通じて次々と感染を広げます。トロイの木馬は、正常なソフトウェアを装って侵入し、内部で不正な動作を行うプログラムです。3つとも感染を広げる不正プログラムですが、違いは「単独で動くか(ワーム)」「他のファイルに寄生するか(ウイルス)」「便利なふりをして侵入するか(トロイの木馬)」にあります。
近年特に被害が深刻なのがランサムウェアです。感染したコンピュータ内のファイルを勝手に暗号化して使用不能にし、元に戻すことと引き換えに金銭を要求します。企業の業務システムが停止に追い込まれる被害が相次いでおり、対策として日頃からのバックアップの取得が特に重要視されています。
このほか、キーボードの入力を記録して盗み取るキーロガー、感染先を外部から遠隔操作可能にするボット、ファイルとして保存されずメモリ上だけで活動するため発見されにくいファイルレスマルウェア、外部からの遠隔操作に特化したRAT(Remote Access Trojan)、表計算ソフトのマクロ機能を悪用するマクロウイルス、通常の認証を経ずに再侵入できる裏口を作るバックドア、個人情報や操作履歴をひそかに収集するスパイウェアもマルウェアの一種です。キーロガーが「入力内容だけ」を狙うのに対し、スパイウェアは操作履歴や個人情報まで幅広く収集する点に違いがあります。ボットに感染した複数のコンピュータが指令サーバーの指示で一斉に不正な通信を行うネットワークをボットネットと呼び、DDoS攻撃などの踏み台として悪用されます。マルウェアへの基本対策として、ウイルス対策ソフトの導入と定義ファイルの更新を欠かさないことが挙げられます。
パスワードとWebアプリを狙う攻撃
システムやWebサイトの弱点を突いて不正に侵入したり、内容を改ざんしたりする攻撃には、いくつかの代表的な手口があります。
パスワードそのものを突破しようとする攻撃には、辞書に載っている単語を片っ端から試す辞書攻撃、考えられるすべての文字の組み合わせを試す総当たり(ブルートフォース)攻撃、他のサービスから漏えいしたID・パスワードの組み合わせを使い回して試すパスワードリスト攻撃(クレデンシャルスタッフィング)があります。同じパスワードを複数のサービスで使い回さないことが、最後の攻撃への有効な備えになります。
Webサイトの入力フォームを悪用する攻撃も代表的です。SQLインジェクションは、入力フォームに不正なSQL文を紛れ込ませ、データベースを不正に閲覧・改ざんさせる攻撃です。クロスサイトスクリプティング(XSS)は、不正なスクリプトを埋め込み、閲覧した他の利用者のブラウザ上で実行させる攻撃です。クロスサイトリクエストフォージェリ(CSRF)は、ログイン状態のまま別サイトを閲覧した隙に、利用者になりすまして意図しない処理を実行させる攻撃で、XSSがスクリプトを実行させるのに対し、CSRFは利用者に成り代わって処理そのものを実行させる点が異なります。このほか、別要素でリンクを覆って別の操作をクリックさせるクリックジャッキング、閲覧しただけでマルウェアが自動的にダウンロードされるドライブバイダウンロード、公開範囲外のファイルへ不正にアクセスするディレクトリトラバーサル、想定を超えるデータでプログラムを誤動作させるバッファオーバーフロー攻撃もあります。
通信そのものを狙う攻撃には、通信の間に割り込み内容を盗み見・改ざんする中間者(Man-in-the-middle)攻撃、送信元を偽装するIPスプーフィング、ログイン中の状態を乗っ取るセッションハイジャックがあります。また、大量の処理要求を送りつけサーバーを利用不能にするDoS攻撃を、多数のコンピュータから一斉に行う手法をDDoS攻撃と呼びます。
標的型攻撃と新しい脅威
不特定多数ではなく、特定の企業や組織を狙って行われる攻撃を標的型攻撃と呼びます。取引先や上司を装った巧妙なメールに不正なファイルやリンクを仕込み、業務に関係があるように見せかけて開かせる標的型攻撃メールが代表的な手口です。このほか、標的の組織がよく閲覧するWebサイトを改ざんして待ち構える水飲み場型攻撃、業務のやり取りを装って何度かメールを往復させ、油断させてから不正なファイルを送りつけるやり取り型攻撃もあります。長期間にわたって気づかれないよう潜伏し、少しずつ内部情報を盗み出し続ける執拗な攻撃をAPT(Advanced Persistent Threat)攻撃と呼びます。
フィッシングは、実在する企業を装った偽のメールやSMSで偽サイトへ誘導し、ID・パスワードやカード番号を入力させてだまし取る攻撃です。SMSを使う手口は特にスミッシングと呼ばれます。標的型攻撃メールが「特定の組織」を巧妙に狙うのに対し、フィッシングは「不特定多数」を本物そっくりの偽サイトでだます点が違いです。心当たりのない請求画面で契約成立を装って金銭を要求するワンクリック詐欺にも注意が必要です。
修正プログラムが公開される前の脆弱性を悪用するゼロデイ攻撃は、対応できる手段がないため被害が広がりやすい攻撃です。ソフトウェアの提供元が修正プログラム(パッチ)を公開したあとは、すみやかに適用する運用が有効な備えになります。
また、AIの普及にともない、AIへの指示文に不正な命令を紛れ込ませ意図しない出力をさせるプロンプトインジェクション攻撃、AIの画像認識にわずかなノイズを加えて誤認識させる敵対的サンプル(Adversarial Examples)など、AIを標的にした新しい脅威も登場しています。攻撃者が事前に組織の情報を集めるフットプリンティングや、侵入可能なポートを調べるポートスキャンは、こうした攻撃に先立つ準備段階として行われるため、不審な調査的アクセスを検知する仕組みも対策の一つになります。
この単元の確認問題
答えを見る前に、まず自分の言葉で答えてみてください。言葉にできないところが、そのまま本試験で止まるところです。
Q. 実行できる「機会」・追い込まれた事情である「動機」・自分を納得させる「正当化」の3つが揃うことで不正が起きやすくなるという考え方を何と呼びますか。
A. 不正のトライアングル
内部不正は機会・動機・正当化の3要素が揃うことで発生しやすくなるとされ、いずれか1つを取り除くことが予防につながるからです。
Q. 他のファイルに寄生せず単独で自己増殖し、ネットワークを通じて感染を広げるマルウェアを何と呼びますか。
A. ワーム
ワームは他のプログラムに寄生するウイルスとは異なり、単独のプログラムとして自己複製し、ネットワーク経由で感染を広げる点が特徴だからです。
Q. Webサイトの入力フォームに不正なSQL文を入力し、データベースを不正に操作する攻撃を何と呼びますか。
A. SQLインジェクション
入力値をそのままデータベースへの命令文に組み込んでしまう不備を突き、意図しないSQL文を実行させて不正な操作を行う攻撃がSQLインジェクションだからです。
情報セキュリティの脅威と攻撃は、読んで分かることと、本番で点になることが別です。点にするための材料はこちらにまとめてあります。
- この単元の確認問題 あと1問
- この単元の問題 32問（どこをどう間違えたかまで解説）
- この単元のひっかけ（本試験がどう引っかけてくるか）
- この単元をそのままITパスポート専用AIチューターに質問できます
- 間違えた問題だけを自動で拾い直す復習リスト
「第10章 情報セキュリティ」の他の単元
この単元を、手を動かして確かめる
ITパスポートAIチューターでは、いま読んだ単元の四択問題をその場で解いて、 どこで間違えたかまで解説付きで確かめられます。 わからないところはITパスポート専用のAIチューターに訊けます。
この単元をアプリで開く 登録は無料。メールアドレスだけで始められます。