【Iパス5問】「正解できたぁ」で終わらない学習が大事 | ソーシャルエンジニアリングは簡単だから
ITパスポートには色んな攻撃方法が出題されますが、ソーシャルエンジニアリングが一番良く出て、得点が安定します
しかもポイントはたった3点だけ。
ソーシャルエンジニアリングで正解するのは簡単なので、「正解したぁ」で学習が終わるのは勿体ない。ついでに他の攻撃用語も覚えていきましょう。
なお、このNoteは私が専門学校で教えてきた指導経験と970点合格をした実績に基づいていますので、ちょっとでも信用してくれたら嬉しいです。
\全てのNoteへのリンク集/
基礎演習 | 3つのポイント
ソーシャルエンジニアリング:ITを使わないスパイ行為です。
出題ポイントは3つ。
ショルダーハッキング:他人の画面を肩越しに覗き見る
トラッシング(スキャベンジング):ゴミ箱をあさる
緊急事態を装って 、関係者を装って、聞き出すなども含まれます。
ソーシャルネットワーク(SNS)って言葉を知ってるから、ソーシャルエンジニアリングもなんかスマートな感じがしちゃうんですが、違うんです。泥臭ーーーい手法です。
正答はウ。
正答はア。
他は特別な用語ではないですが、手口としてよくあります。
正答はウ。ショルダーハッキングや、のぞき見などを防止できます。
問題演習 | ついでに攻撃を覚えよう
ソーシャルエンジニアリング自体は簡単ですが、セキュリティは攻撃・マルウェア・対策など覚える用語がたくさんあります。「正解した良かったなぁ」ではなく、「他の攻撃を覚えよう」と学習を深めましょう。
ここでは、マルウェア・パスワードクラック・DoS攻撃・Webでの入力を悪用した攻撃を学びます。攻撃のメインはほぼ網羅できます。
正答はイ。特に「くずかご」「ゴミ箱」はトラッシング(スキャベンジング)ですね。
他の攻撃用語も覚えていきましょう。
ゼロデイ攻撃は、ソフトやOSの脆弱性へのセキュリティパッチが公開される前に、その脆弱性をついた攻撃をすること。
トロイの木馬は、マルウェアの一種で、正常なプログラムの振りをして、裏で悪いことをします。
マルウェアはウイルス、ワーム、トロイの木馬から覚えましょう。
ウイルス:感染に宿主(ホスト)必要
ワーム:宿主不要
トロイの木馬:正常なソフトの振りをして、裏で悪事をしている
以上3つを抑えてから、スパイウェア(キーロガー、アドウェアなど)、個別(ランサムウェア)などに広げていきます。
正答はイ。「肩越しに盗み見して」から、ソーシャルエンジニアリングのうち、ショルダーハッキングと分かります。
アは、ブルートフォース攻撃。パスワードクラックの一種。
パスワードを、a, b, c, ・・・z, aa, ab, acのように全て試していきます。「あらゆる組み合わせ」の文言でよく出ます。
パスワードクラックは合計4つ覚えましょう。
ブルートフォース攻撃:パスワードにあらゆる文字の組み合わせを試す
リバースブルートフォース:IDにブルートフォース攻撃をする
パスワードリスト攻撃:他サイトで不正入手したIDとパスワードを流用して、攻撃対象にログインできるか試す
辞書攻撃:良く使われる言葉を用いてパスワードを破ろうと試す。
ウは、DoS攻撃。
サーバなどの攻撃対象に大量のパケットを送り付けて、高負荷にして応答を悪くさせたりサーバをダウン(サービス不能)させたりする攻撃。
しかしDoS攻撃は送信元が1つなので、サーバ側で通信を遮断するよう設定すれば対処可能です。そこで、DDoS攻撃やDRDoS攻撃などを使います。
DDoS攻撃:複数のPCから、攻撃対象に大量のパケットを送る。攻撃された側は、同一犯とは気づかない。
DRDoS攻撃:問い合わせに応答するサーバ(DNSなど)に、問い合わせを行う。送信元を攻撃対象に詐称しておき、返答を攻撃対象に集中させる。攻撃された側は犯人が分からない。
エは、BoF攻撃(バッファオーバーフロー攻撃)。
「プログラムで確保している記憶領域」はバッファと云われます。BoF攻撃は、プログラムに開発者が想定していない長大なデータを入力して、開発者が予期しない動作(攻撃者のプログラムを実行するなど)をさせます。
利用者が入力できるサービスの攻撃は、XSS攻撃, XSRF攻撃, SQLインジェクションの4つ。
XSS(クロスサイトスクリプティング)は、悪意のあるスクリプト を埋め込み、訪問者を偽サイトに誘導する
XSRF(CSRF, クロスサイトリクエストフォージェリ)は、悪意のあるスクリプトを埋め込み、訪問者が知らないうちに他サイトへ予期せぬ操作をする
SQLインジェクションは、入力欄にSQL文を悪用する文字列を入力し、データベースを不正利用する
BoF(バッファオーバーフロー)攻撃は、プログラムに開発者が想定していない長大なデータを入力して、開発者が予期しない誤動作(攻撃者のプログラムを実行するなど)をさせる
まとめ | 学習コスパ悪いが常識にしよう
今回はソーシャルエンジニアリングをさくっと正解できるようになりつつ、以下の主な攻撃手段について触れてみました。
マルウェア:ウイルス, ワーム, トロイの木馬
パスワードクラック:ブルートフォース, リバースブルートフォース, パスワードリスト攻撃, 辞書攻撃
DoS攻撃:DDoS攻撃, DRDoS攻撃
入力を悪用した攻撃:XSS、CSRF, SQLインジェクション, BoF
これらの攻撃はまとまっていますが、最近はバラバラに出題されます。攻撃手段もマルウェアも種類が多いので、学習が点数になかなか直結しないのが悩ましいところ。
とはいえ、無視していては、今後のセキュリティは正解できません。私たちが漢字を1万文字覚えるのと同じで、「いつも使うわけじゃないけど知っておかないと困る」言葉と思って常識にしていきましょうね。
\全てのNoteへのリンク集/
p.s. 普段は >> 専門学校とIT就職のブログ << をやってます。
でわでわ(・ω・▼)ノシ
学習方法・問題特集のNoteは全て無料提供を続けます▼ もしご覧になったNoteが有益だったり、私の志に共感されたりしましたら、サポート頂けますと励みになります▼ もちろんコメントでも結構です(・ω・▼)ノシ