情報セキュリティマネジメント 2018年 春期 午前（科目A） 問21

ドライブバイダウンロード攻撃【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「自動でダウンロード・感染するか」を確認する。ドライブバイは「訪問だけで発生」する点が特徴。
2. 「侵入や遠隔操作、データ抜き取りか」を区別する。これらは別の攻撃カテゴリ。
3. 全選択肢を上の観点で当てはめる。自動感染ならドライブバイ（エ）、そうでなければ別解と判断する。

選択肢別の誤答解説

• ア: PC内のマルウェアを遠隔操作してハードディスクを丸ごと暗号化する。
  • これはランサムウェア（身代金を要求するマルウェア）による被害の一例です。遠隔操作や既に感染していることが前提で、感染経路や振る舞いがドライブバイダウンロードの定義とは異なります。
• イ: ファイアウォールの設定ミスを突いて侵入し、内部サーバにルートキットを仕掛ける。
  • これは外部からの不正侵入（ネットワーク攻撃）で、攻撃者が脆弱な設定を利用して侵入しています。ドライブバイは主にウェブ閲覧時の自動配布であり、侵入手順が違います。
  • （用語補足）ルートキット（rootkit：不正な操作を隠蔽するソフト）
• ウ: 公開Webサイトでスクリプトを入力して、データベースのデータを不正にダウンロードする。
  • これはSQLインジェクション（SQL Injection：データベースに不正な命令を送る攻撃）や入力による不正取得の説明で、情報漏えい・データベース攻撃の類です。ドライブバイはマルウェアの自動配布が本質であり、データ窃取とは別カテゴリです。
• エ: 利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。
  • ここがドライブバイダウンロードの典型的な説明です。したがってエが正解です。

よくある誤解

1. 「ウェブ経由の被害＝すべてドライブバイ」ではない。
   • ウェブ経由の被害には、フィッシング（欺いてユーザーに操作させる）、SQLインジェクション（サーバ側のデータ盗取）、クロスサイトスクリプティング（XSS：サイト経由で別ユーザに悪影響）など多様な手法があります。ドライブバイは「閲覧だけで自動感染する」ことがポイントです。
2. 「ダウンロードされただけで終わる」は誤り。
   • ドライブバイは自動でダウンロードされた後に脆弱性を悪用して実行・感染することが多く、単なるファイル取得以上の被害（リモート制御、情報窃取、暗号化等）につながります。
3. 「必ずクリックが必要」と思い込むのは危険。
   • 場合によってはクリックなしで脆弱なブラウザやプラグインが自動的に悪用されます。

補足コラム

• ブラウザやOS、プラグイン（FlashやJavaなど、かつて多く使われた拡張機能）は常に最新に更新する。更新管理は総務・IT担当で定期パッチ適用のルール化が有効です。
• ブラウザのセキュリティ設定を厳しくし、不要なプラグインを無効化する。従業員には業務で使うブラウザに限定する運用を周知します。
• Webフィルタやプロキシでマルウェア配布サイトをブロックする。ファイルのダウンロードを監査・抑止する仕組み（拡張子やコンテンツ検査）を導入します。
• 権限管理：一般ユーザーに管理者権限を与えない。被害が出ても被害範囲は限定されます。
• エンドポイントのマルウェア対策（ウイルス対策ソフト、挙動検知、サンドボックス）を導入する。サンドボックス（隔離実行環境）で不審ファイルを実行し検査できます。
  これらは、実際の職場で「どう運用するか」を想像しやすい対策です。

FAQ