情報セキュリティマネジメント 2019年秋期午前（科目A）問21

問題文

情報セキュリティにおいてバックドアに該当するものはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：アクセスする際にパスワード認証などの正規の手続が必要なWebサイトに、当該手続きを経ないでアクセス可能なURL（正解）

イ：インターネットに公開されているサーバのTCPポートの中からアクティブになっているポートを探して、稼働中のサービスを特定するためのツール

ウ：ネットワーク上の通信パケットを取得して通信内容を見るために設けられたスイッチのLANポート

エ：プログラムが確保するメモリ領域に、領域の大きさを超える長さの文字列を入力してあふれさせ、ダウンさせる攻撃

🔒 解説は解答すると表示されます

バックドア【情報セキュリティマネジメント解説】

正解の理由

選択肢の中でバックドアに該当するのはアです。バックドアとは、正規の認証・手続きを経ずにシステムへ不正にアクセスできる「裏口」のことです。選択肢アは「本来はパスワードなどで保護されるWebサイトに、認証を回避して直接アクセスできるURL」を示しており、まさに認証を迂回する仕組み（＝バックドア）です。

※用語補足：バックドアは英語の "backdoor" で、本来の扉（正規手続）ではなく裏口を意味します。

解法ステップ

「バックドア」の定義を確認する。→ 正規手続を経ないでアクセスを可能にする仕組み。
各選択肢が「認証を迂回する仕組み」かどうかで判断する。
ツールや機器、別の攻撃手法（サービス探査、通信盗聴、バッファオーバーフロー）であればバックドアではないと除外する。

この問題では、認証を経ないでアクセスできるURLだけが定義に一致します。

選択肢別の誤答解説

ア: （正解）認証を回避して直接アクセスできるURLは、意図的・非意図的を問わず「裏口」に当たります。たとえば、開発時に残された管理用URLや、悪意あるプログラムが設置する隠しアクセス点などが該当します。
イ: ルール説明：インターネットに公開されているサーバのTCPポートのアクティブ状態を探るツールは「ポートスキャナ」です。
用語補足：TCP（Transmission Control Protocol：通信の信頼性を担保するプロトコル）、ポートは通信の出入口番号です。
理由：これは脆弱なサービスを探すためのツールであり、直接「認証を迂回する仕組み」ではありません。
ウ: ネットワーク機器のLANポートで通信を取得するものは「ミラーポート（SPANポート）」や「パケットキャプチャ用ポート」です。
理由：通信を監視・解析するための機能であり、裏口そのものではありません。悪用すれば情報を盗めますが、定義上のバックドアとは異なります。
エ: プログラムのメモリをあふれさせてダウンさせる攻撃は「バッファオーバーフロー攻撃」です。
用語補足：バッファオーバーフローは入力の長さが確保された領域を超えることで生じる不具合です。
理由：これはサービス停止や任意コード実行につながる攻撃手法であって、「認証を回避するための恒久的な裏口」とは区別されます。

よくある誤解

「バックドア＝マルウェアだけ」と考える誤解
バックドアはマルウェアで作られることもありますが、開発時に残された未保護の管理URLやハードコードされた管理者アカウントもバックドアになり得ます。要は「認証を回避できるかどうか」です。
「監視ツールやスキャナはバックドアだ」と混同する誤解
ポートスキャンやパケットキャプチャは攻撃・監視の手段であり、恒久的にアクセスを可能にする仕組み（裏口）ではありません。用途と性質を分けて考えましょう。

補足コラム

現場でのイメージ：社内システムで開発者が「テスト用に」設けた admin?debug=1 のようなURLが放置されているケースがあります。見た目は便利ですが、正規の認証を迂回できるため放置すると重大なバックドアになります。運用では定期的なコードレビューや公開URLの棚卸し、ログ監査で早めに発見・修正することが実務的対策です。
意図的なバックドアと非意図的なもの：意図的に設けられるバックドア（組織内部のデバッグ口など）と、攻撃者が設置するバックドア（マルウェアで開ける穴）があり、どちらも危険です。両者に対する検出・対応方法は似ていますが、発見時の対処（内部責任の所在確認や法的対応など）が異なります。

FAQ

Q1: バックドアと脆弱性はどう違いますか？
A1: 脆弱性は「設計や実装の弱点」で、攻撃者が利用すると侵害につながります。バックドアは「正規手続きを回避してアクセスできる具体的な方法や仕組み」です。脆弱性があって初めてバックドアを仕込める場合もありますが、開発ミスで残った管理口などは脆弱性無しにバックドアになることもあります。

Q2: 隠しURLを見つけたらすぐにどうすればよいですか？
A2: まずアクセスしないでください。発見は情報システム部門か委託先へ報告し、アクセス制御や認証の適用、不要であれば削除する対応を依頼します。ログの確認も重要です。

Q3: バックドアの検出方法は？
A3: コードレビュー、公開エンドポイントの棚卸し、認証されていないアクセスのログ検出、IDS/IPS（侵入検知/防御）や脆弱性スキャンの併用が有効です。ブラックボックスでのペネトレーションテストも有効です。

Q4: 開発時の便利機能はどう管理すればいい？
A4: テスト用の管理機能は本番環境へ残さない、機能はフラグで切り離しアクセス制御を必ず付ける、リリース前チェックリストに含める、といった運用規定を設けます。

関連キーワード: バックドア、ポートスキャナ、ミラーポート、バッファオーバーフロー、認証回避、ログ監査、脆弱性管理、アクセス制御、ペネトレーションテスト

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！