情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問23
問題文
従量課金制のクラウドサービスにおけるEDoS（Economic Denial of Service,又はEconomic Denial of Sustainability）攻撃の説明はどれか。
選択肢
ア：カード情報の取得を目的に、金融機関が利用しているクラウドサービスに侵入する攻撃
イ：課金回避を目的に、同じハードウェア上に構築された別の仮想マシンに侵入し、課金機能を利用不可にする攻撃
ウ：クラウドサービス利用者の経済的な損失を目的に、リソースを大量消費させる攻撃（正解）
エ：パスワード解析を目的に、クラウドサービス環境のリソースを悪用する攻撃
🔒 解説は解答すると表示されます
EDoS（経済的DoS）【情報セキュリティマネジメント解説】
正解の理由
選択肢ウが正解です。EDoS（Economic Denial of Service／Economic Denial of Sustainability）は、クラウドの「従量課金制（使った分だけ払う仕組み）」を悪用して、被害者に高額な請求を発生させることを目的とした攻撃です。攻撃者は大量のリクエストや処理を発生させてリソース（CPU・メモリ・ストレージ・帯域など）を大量消費させ、オートスケール（需要に応じて自動でリソースを増やす仕組み）を誘発するなどして利用者側のコストを膨らませます。したがって「リソースを大量消費させる攻撃で経済的損失を狙う」という記述が当てはまる選択肢ウが正解です。
（補足）EDoSの別名にEconomic Denial of Sustainability（持続不能にする経済的攻撃）があります。目的は「サービス停止そのもの」よりも「運用を続けられないほどの費用負担」を発生させる点に特徴があります。
解法ステップ
- 設問のキーワードに注目：「従量課金制」「経済的損失」「リソース消費」などを探す。
- 用語を思い出す：EDoS＝経済的な負担を目的とした攻撃。
- 各選択肢の目的（情報窃取か、可用性破壊か、経済的損失か）を比較して該当するものを選ぶ。
- 迷ったら「誰が得をするか／何を狙っているか」を確認する（EDoSは攻撃者の目的が被害者の費用増）。
選択肢別の誤答解説
- ア: 「カード情報の取得」を目的とする攻撃は情報窃取型の侵入やマルウェアであり、EDoSとは目的が異なります（機密データの窃取が目的）。
- イ: 同じハードウェア上の別仮想マシンに侵入して課金機能を無効にする、というのは技術的にも不自然であり（クラウド事業者側の課金機能を直接破壊するのは現実的でない）、目的も課金回避であって、被害者に負担させるEDoSとは異なります。
- ウ: 正解。リソースを大量消費させ、利用者の費用を増やすことが目的。
- エ: 「パスワード解析を目的にリソースを悪用する」は、攻撃者がクラウドを勝手に使って犯罪（パスワード破り）を行うケースであり、被害者に高額請求をさせることが主目的ではないためEDoSとは区別されます。なお、エの行為も不正利用だが目的が異なります。
よくある誤解
- 誤解1: 「EDoSはDDoSと同じ」
解説: 両者は手法や重なる点はあるものの目的が異なります。DDoS（分散サービス拒否）は可用性（サービスが使えないこと）を狙うのに対し、EDoSは経済的負担を狙います。DDoSがEDoSにつながることもありますが区別して考えます。 - 誤解2: 「リソース消費＝自動的にEDoS」
解説: リソースを消費する攻撃でも、目的が情報窃取や性能低下ならEDoSとは言いません。「経済的に被害を出す」意図があるかがポイント。
補足コラム
- 具体的な攻撃例: 攻撃者がボットネットで大量の正規API呼び出しを行い、被害者のクラウドでオートスケールが働いてサーバ数や処理を自動増強させ、結果的に月間請求が急増する。
- 職場での実践的対策（すぐできる順）:
- コストアラート（予算超過の通知）を設定する。
- APIやエンドポイントに認証・レート制限（一定時間あたりの呼び出し回数制限）をかける。
- WAF（Web Application Firewall：ウェブアプリを守る仕組み）やIPフィルタで異常トラフィックを遮断する。
- オートスケールのしきい値や最大インスタンス数に上限を設定する。
- ログとメトリクスで異常な利用パターンを監視し、異常時は速やかにクラウド事業者へ連絡する。
- 事例の覚え方（例え）: 「夜中に誰かが会社のビルの照明を点けっぱなしにして電気代を増やす」→ EDoSはクラウドの「使い続けさせて請求を増やす」攻撃。
FAQ
Q: EDoSは誰でも被害に遭う可能性がありますか？
A: 従量課金で外部に公開したサービスを持つ組織はリスクがあります。内部の認証が弱い公開APIや誤設定されたサーバは狙われやすいです。
A: 従量課金で外部に公開したサービスを持つ組織はリスクがあります。内部の認証が弱い公開APIや誤設定されたサーバは狙われやすいです。
Q: クラウド事業者は被害を補償してくれますか？
A: 事業者により対応は異なります。自動スケールや正規の利用に見えるトラフィックは対応が難しい場合があり、事前の対策と設定が重要です。被害が疑われる場合は速やかに事業者に相談・証拠保存を行ってください。
A: 事業者により対応は異なります。自動スケールや正規の利用に見えるトラフィックは対応が難しい場合があり、事前の対策と設定が重要です。被害が疑われる場合は速やかに事業者に相談・証拠保存を行ってください。
Q: 予算アラートだけで十分ですか？
A: 予算アラートは事後の検知に有効ですが、アクセス制御やレート制限などの予防策と併用することが必要です。
A: 予算アラートは事後の検知に有効ですが、アクセス制御やレート制限などの予防策と併用することが必要です。
関連キーワード: EDoS、Economic Denial of Service、従量課金、クラウドコスト、オートスケール、DDoS、レートリミット、WAF、コストアラート、不正利用検知
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！