情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問13

ゼロデイ攻撃【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「脆弱性」「パッチ」「提供される前」などがあるか確認する。
2. 「ゼロデイ」の意味を思い出す：修正が出る前に攻撃されること。
3. 各選択肢の用語を置き換えて比較する。該当するのが「修正前に悪用する」ものかどうかで判断する。
4. 分からないときは他の選択肢（DDoS、フィッシング、メール踏み台）と対比して除外する。

選択肢別の誤答解説

• ア：正解。脆弱性が公表・修正される前にそれを突く攻撃。攻撃者は「エクスプロイト（脆弱性を利用する手法やプログラム）」を使います。
• イ：誤り。日時を決めて複数台から同時に攻撃するのはDDoS（分散サービス妨害：Distributed Denial of Service）攻撃の特徴です。ゼロデイの定義とは異なります。
• ウ：誤り。フィッシングは、偽メールで利用者を騙して情報を奪う手口です（例：銀行を名乗るメールでログイン情報を入力させる）。脆弱性とパッチ提供の有無は本質ではありません。
• エ：誤り。不正中継可能なメールサーバを踏み台に大量送信するのは、オープンリレー等を悪用したメール大量送信（スパム）や踏み台攻撃です。これもゼロデイ攻撃の定義ではありません。

よくある誤解

1. 「ゼロデイ＝新しい攻撃手法そのもの」と考える誤解：ゼロデイは「修正が間に合っていない脆弱性を利用すること」を指します。手法自体は既知のエクスプロイトでもあり得ます。
2. 「パッチが出たら完全に安全」ではない：パッチ適用が遅れるシステムや、パッチ適用が難しい機器は依然リスクがあります。また、攻撃がコード化されるとパッチ適用前に急速に広がることがあります。
3. 「ゼロデイは必ず狙われた個別ターゲットだけに使われる」と思う誤り：国家レベルの標的型だけでなく、広範囲に悪用される場合もあります。

補足コラム

• 発見者が脆弱性を見つける。
• ベンダーへ報告される（責任ある公開）か、攻撃者が先に使うか分かれる。
• ベンダーが対策を作り、セキュリティパッチを公開する。
  ゼロデイは「攻撃者がパッチ公開前に利用する」段階を指します。

• パッチマネジメント（更新管理）：重要度に応じて迅速に適用する手順を定める。
• 防御の多層化（Defense in depth）：アンチウイルス、ファイアウォール、WAF（Web Application Firewall：ウェブアプリの不正を防ぐ装置）、IDS/IPS（侵入検知・防御システム）を組み合わせる。
• 権限管理：不要な管理者権限を与えない。攻撃で広がるリスクを減らす。
• バックアップとリカバリ手順：被害を最小化するための復旧計画を用意する。

FAQ