情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問19

リバースブルートフォース攻撃【情報セキュリティマネジメント解説】

正解の理由

• ブルートフォース攻撃（総当たり攻撃）：あり得る組み合わせを片っ端から試す攻撃手法。
• リバースブルートフォース：上の一種で、「パスワード固定 × ユーザー名多数」の組合せで試す方法。
• パスワードスプレー（password spraying）：似た手法で、少数の一般的パスワードを多数のアカウントに対して試す攻撃。実務上はリバースブルートフォースと重なる場合が多いです。

解法ステップ

1. 問題文で「何を固定して、何を変えているか」を探します。
2. 「パスワードを固定してユーザー名を変える」ならリバースブルートフォースです。
3. 各選択肢を「固定しているもの」と「総当たりしているもの」で簡潔に比較して、該当する選択肢を選びます。
   • 例：アは「事前に入手したIDとパスワードの組を使う」→クレデンシャルスタッフィング。
   • エは「ユーザーID固定でパスワードを総当たり」→通常のブルートフォース（特定アカウント狙い）。

選択肢別の誤答解説

• ア: 「事前に入手した利用者IDとパスワードの組を使って試す」
  → これはクレデンシャルスタッフィング（credential stuffing：漏えいした認証情報の組を流用してログインを試す攻撃）です。パスワードやIDの組が既にペアになっている点が特徴です。
• イ: 「パスワードを一つ選び、利用者IDを次々用意して総当たり」
  → これがリバースブルートフォースです。正答。少数の（典型的な）パスワードを多くのユーザーに当てることで成功率を上げます。
• ウ: 「利用者IDと同一の文字列をパスワードにして試す」
  → 多くの利用者が「ユーザー名＝パスワード」にしてしまう弱点を突く試みです。特定設定ミスや簡易パスワードを狙うが、典型的なリバースブルートフォースではありません。
• エ: 「利用者IDを一つ選び、パスワードを次々試す」
  → これは従来型のブルートフォース（総当たり）攻撃に相当します。特定アカウントに対して多数のパスワードを当てる手法です。

よくある誤解

• リバースブルートフォースとパスワードスプレーは同じか？
  → 実務ではしばしば同義で使われますが、厳密には「リバース＝パスワード固定で多数のユーザー名を試す」「パスワードスプレー＝少数の一般的パスワードを多数のアカウントに順次試す」と表現できます。試験では「パスワード固定でユーザー名総当たり」がリバースと覚えると安心です。
• 「多数試行＝必ずロックアウトされる」は誤り
  → 多くのシステムで試行回数制限やアカウントロックがあるため、攻撃者はロックを避けるためパスワードを固定して多数のアカウントを狙う（＝リバース）方法を使います。防御側はロックアウトとヘルプデスク運用のバランスを考える必要があります。

補足コラム（現場での対応イメージ）

• 多要素認証（MFA：Multi-Factor Authentication）を導入する。パスワードだけでは突破されても追加の要素で防げます。
• 共通パスワードや使い回しを防ぐため、パスワード規程で「一般的なパスワードの禁止」を明記し、定期的に周知する。実務では「Have I Been Pwned」などの漏えいパスワード照合サービスと連携することもあります。
• ログイン試行の異常検知（短時間に多くのユーザー名で失敗が続く等）をSIEMやログ監視で検出し、自動で警告・一時遮断する。
• アカウントロックポリシーは厳しすぎると業務停止（DoS）につながるため、段階的な遅延やCAPTCHA導入、管理者による解除フローを整備する。

FAQ