【Iパス５問】「正解できたぁ」で終わらない学習が大事 | ソーシャルエンジニアリングは簡単だから

ITパスポートには色んな攻撃方法が出題されますが、ソーシャルエンジニアリングが一番良く出て、得点が安定します

しかもポイントはたった３点だけ。

ソーシャルエンジニアリングで正解するのは簡単なので、「正解したぁ」で学習が終わるのは勿体ない。ついでに他の攻撃用語も覚えていきましょう。

なお、このNoteは私が専門学校で教えてきた指導経験と970点合格をした実績に基づいていますので、ちょっとでも信用してくれたら嬉しいです。

＼全てのNoteへのリンク集／

基礎演習 | ３つのポイント

ソーシャルエンジニアリング：ITを使わないスパイ行為です。

出題ポイントは3つ。

• ショルダーハッキング：他人の画面を肩越しに覗き見る

• トラッシング（スキャベンジング）：ゴミ箱をあさる

• 緊急事態を装って 、関係者を装って、聞き出すなども含まれます。

ソーシャルネットワーク（SNS）って言葉を知ってるから、ソーシャルエンジニアリングもなんかスマートな感じがしちゃうんですが、違うんです。泥臭ーーーい手法です。

人の心理的な隙や不注意に付け込んで、機密情報などを不正に入手する手法はどれか
ア：DoS攻撃 
イ：SQLインジェクション 
ウ：ソーシャルエンジニアリング 
エ：バッファオーバーフロー（BoF） 

「ITパスポート試験　平成29年度65問」より

正答はウ。

ソーシャルエンジニアリングの例はどれか。
ア：社員を装った電話をかけて、社内の機密情報を聞き出す
イ：送信元IPアドレスを偽装し、通信のアクセス制限をすり抜ける
ウ：ネットワーク上のパケットを盗聴し、パスワードなどを不正入手する
エ：利用者が実行すると、不正な動作をするソフトウェアをダウンロードする

「ITパスポート試験　平成28年度春問86」より改変

正答はア。

他は特別な用語ではないですが、手口としてよくあります。

スマートフォンを利用するときに、ソーシャルエンジニアリングに分類されるショルダーハッキングの防止策はどれか。
ア：OSを常に最新の状態で利用する
イ：位置情報機能をオフにする
ウ：スクリーンにのぞき見防止フィルムを貼る
エ：落下・盗難防止用にストラップを付ける

「ITパスポート試験　平成31年度問89」より改変

正答はウ。ショルダーハッキングや、のぞき見などを防止できます。

問題演習 | ついでに攻撃を覚えよう

ソーシャルエンジニアリング自体は簡単ですが、セキュリティは攻撃・マルウェア・対策など覚える用語がたくさんあります。「正解した良かったなぁ」ではなく、「他の攻撃を覚えよう」と学習を深めましょう。

ここでは、マルウェア・パスワードクラック・DoS攻撃・Webでの入力を悪用した攻撃を学びます。攻撃のメインはほぼ網羅できます。

従業員になりすましてIDやパスワードを聞き出したり、くずかごから機密情報を入手したりするなど、技術的手法を用いない攻撃はどれか。
ア：ゼロデイ攻撃 
イ：ソーシャルエンジニアリング 
ウ：ソーシャルメディア
エ：トロイの木馬 

「ITパスポート試験　令和5年度問89」より

正答はイ。特に「くずかご」「ゴミ箱」はトラッシング（スキャベンジング）ですね。

他の攻撃用語も覚えていきましょう。

ゼロデイ攻撃は、ソフトやOSの脆弱性へのセキュリティパッチが公開される前に、その脆弱性をついた攻撃をすること。

トロイの木馬は、マルウェアの一種で、正常なプログラムの振りをして、裏で悪いことをします。

マルウェアはウイルス、ワーム、トロイの木馬から覚えましょう。

• ウイルス：感染に宿主（ホスト）必要

• ワーム：宿主不要

• トロイの木馬：正常なソフトの振りをして、裏で悪事をしている

以上3つを抑えてから、スパイウェア（キーロガー、アドウェアなど）、個別（ランサムウェア）などに広げていきます。

ソーシャルエンジニアリングに該当する事例はどれか
ア：あらゆる文字の組み合わせを総当たりで機械的に入力して、パスワードを見つけ出す
イ：肩越しに盗み見して入手したパスワードを利用して、他人になりすましてシステムを不正利用する
ウ：標的のサーバに大量のパケットを送り付けて、過負荷状態にすることでサービス停止に追い込む
エ：プログラムに想定外の長いデータを入力させることでバッファをあふれさせ、不正にプログラムを実行させる

「ITパスポート試験　令和4年度問91」より改変

正答はイ。「肩越しに盗み見して」から、ソーシャルエンジニアリングのうち、ショルダーハッキングと分かります。

アは、ブルートフォース攻撃。パスワードクラックの一種。

パスワードを、a, b, c, ・・・z, aa, ab, acのように全て試していきます。「あらゆる組み合わせ」の文言でよく出ます。

パスワードクラックは合計4つ覚えましょう。

• ブルートフォース攻撃：パスワードにあらゆる文字の組み合わせを試す

• リバースブルートフォース：IDにブルートフォース攻撃をする

• パスワードリスト攻撃：他サイトで不正入手したIDとパスワードを流用して、攻撃対象にログインできるか試す

• 辞書攻撃：良く使われる言葉を用いてパスワードを破ろうと試す。

ウは、DoS攻撃。

サーバなどの攻撃対象に大量のパケットを送り付けて、高負荷にして応答を悪くさせたりサーバをダウン（サービス不能）させたりする攻撃。

しかしDoS攻撃は送信元が1つなので、サーバ側で通信を遮断するよう設定すれば対処可能です。そこで、DDoS攻撃やDRDoS攻撃などを使います。

• DDoS攻撃：複数のPCから、攻撃対象に大量のパケットを送る。攻撃された側は、同一犯とは気づかない。

• DRDoS攻撃：問い合わせに応答するサーバ（DNSなど）に、問い合わせを行う。送信元を攻撃対象に詐称しておき、返答を攻撃対象に集中させる。攻撃された側は犯人が分からない。

エは、BoF攻撃（バッファオーバーフロー攻撃）。

「プログラムで確保している記憶領域」はバッファと云われます。BoF攻撃は、プログラムに開発者が想定していない長大なデータを入力して、開発者が予期しない動作（攻撃者のプログラムを実行するなど）をさせます。

利用者が入力できるサービスの攻撃は、XSS攻撃, XSRF攻撃, SQLインジェクションの4つ。

• XSS（クロスサイトスクリプティング）は、悪意のあるスクリプト を埋め込み、訪問者を偽サイトに誘導する

• XSRF（CSRF, クロスサイトリクエストフォージェリ）は、悪意のあるスクリプトを埋め込み、訪問者が知らないうちに他サイトへ予期せぬ操作をする

• SQLインジェクションは、入力欄にSQL文を悪用する文字列を入力し、データベースを不正利用する

• BoF（バッファオーバーフロー）攻撃は、プログラムに開発者が想定していない長大なデータを入力して、開発者が予期しない誤動作（攻撃者のプログラムを実行するなど）をさせる

まとめ | 学習コスパ悪いが常識にしよう

今回はソーシャルエンジニアリングをさくっと正解できるようになりつつ、以下の主な攻撃手段について触れてみました。

• マルウェア：ウイルス, ワーム, トロイの木馬

• パスワードクラック：ブルートフォース, リバースブルートフォース, パスワードリスト攻撃, 辞書攻撃

• DoS攻撃：DDoS攻撃, DRDoS攻撃

• 入力を悪用した攻撃：XSS、CSRF, SQLインジェクション, BoF

これらの攻撃はまとまっていますが、最近はバラバラに出題されます。攻撃手段もマルウェアも種類が多いので、学習が点数になかなか直結しないのが悩ましいところ。

とはいえ、無視していては、今後のセキュリティは正解できません。私たちが漢字を1万文字覚えるのと同じで、「いつも使うわけじゃないけど知っておかないと困る」言葉と思って常識にしていきましょうね。

＼全てのNoteへのリンク集／

p.s. 普段は >> 専門学校とIT就職のブログ << をやってます。

でわでわ（・ω・▼）ノシ