ITパスポート 2015年 秋期 問73

情報セキュリティにおけるクラッキングの説明【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：ここは「クラッキング」「情報セキュリティ」に関する説明を問う問題です。
2. 選択肢の語句で本質を比べる：「悪意」「不正侵入」「監査」「設定・メンテナンス」など、各選択肢の語を見てクラッキングに合うか判断します。
3. 「悪意」や「不正」が含まれる選択肢を優先：クラッキングは悪意ある不正行為なので、それを示す記述を選べばよいです。
4. 確認：攻撃（不正侵入）か、防御・評価・物理試験かを区別して最終決定します。

選択肢別の誤答解説

• ア: 「PCなどの機器に対して、外部からの衝撃や圧力、落下、振動などの耐久テストを行う。」
  → これはハードウェアの物理的な耐久試験・品質試験の説明です。クラッキング（不正侵入）とは無関係です。
• ウ: 「システム管理者として、ファイアウォールの設定など、情報機器の設定やメンテナンスを行う。」
  → これはシステム管理（運用・保守）の説明です。ファイアウォール（firewall：不正な通信を遮断する装置やソフト）設定は防御側の作業で、クラッキングの説明ではありません。
• エ: 「組織のセキュリティ対策が有効に働いていることを確認するために監査を行う。」
  → これは監査（audit：業務や仕組みが正しく行われているか検証する行為）の説明です。クラッキングは攻撃側の不正行為であり、監査は防御・検証の行為です。

よくある誤解

1. クラッキングとハッキングは同じ？
   → 「ハッキング（hacking）」は本来「コンピュータの仕組みを巧みに扱う行為」を指しますが、一般には「不正アクセス」を含む広い意味で使われます。クラッキングは特に「悪意ある不正侵入」を強調する言葉です。簡単に言えば「ハッキングは広義、クラッキングは悪意あるハッキング」です。
2. ペネトレーションテスト（侵入テスト）はクラッキングか？
   → 権限を得た上で行う「ペネトレーションテスト（penetration test：脆弱点を実際に突いて調べる試験）」は、目的が防御のためであり正当な作業です。意図や許可がない侵入はクラッキングです。目的と許可の有無が分かれ目になります。
3. 「設定や監査」も攻撃に含まれると思い込む誤り
   → 「設定」「監査」は防御や評価のための正当な行為です。問題文の「悪意」や「不正」があるかどうかで攻撃か否かを判断します。

補足コラム

• 代表的なクラッキング手法（簡単な説明）
  • ブルートフォース攻撃：パスワードを片っ端から試す攻撃。
  • フィッシング：だましてログイン情報などを入力させる詐欺。
  • SQLインジェクション：ウェブアプリの入力欄に悪意ある命令を入れてデータを盗む。
  • マルウェア（malware：悪意あるソフト）：ウイルスやランサムウェアなど、感染して情報を盗んだり暗号化したりする。
• 防止策（覚えやすいポイント）
  • 強いパスワード＋二要素認証（2FA：Two-Factor Authentication）を使う。
  • ソフトウェアの脆弱性を放置せず、こまめにアップデート（パッチ適用）する。
  • ファイアウォールやIDS/IPS（侵入検知・防御システム）の導入。IDS（Intrusion Detection System：侵入検知）、IPS（Intrusion Prevention System：侵入防止）。
  • 社員教育（フィッシングなどを見抜く訓練）。
• 用語の覚え方メモ
  • クラッキング＝「割る（crack）＋悪意」。覚えやすく「セキュリティを割って侵入する悪質行為」と考えるとよいです。

FAQ