ITパスポート 2018年 秋期 問77

情報セキュリティの脅威（用語の組合せ）【ITパスポート 解説】

正解の理由

• クロスサイトスクリプティング（XSS：Cross-Site Scripting）— Webサイトに利用者が入力した内容をそのまま表示する場合などに、悪意ある「スクリプト（動作を記述した小さなプログラム）」を埋め込んで他の利用者のブラウザで実行させる攻撃。
• ボット（bot：自動化されたプログラム。ここでは不正に感染したPC上で動くもの）— 多数の感染PCを遠隔操作して一斉攻撃などを行う。複数集まると「ボットネット（botnet）」と呼ぶ。
• トロイの木馬（Trojan horse）— 有用なプログラムに見せかけて利用者にインストールさせ、裏で情報漏えいや破壊を行うマルウェア。

解法ステップ

1. 文章中のキーワードを探す：
   • ①「スクリプトを埋め込み」「ブラウザ上で実行」「cookieなどのデータを盗み出す」→ Webの入力表示に起因する攻撃 → クロスサイトスクリプティング（XSS）。
   • ②「多数のPCに感染」「ネットワークを介した指示に従って不正に操作」「一斉攻撃」→ 感染PCを遠隔操作する「ボット／ボットネット」。
   • ③「有用なプログラムと見せかけてインストールさせる」「利用者が意図しない情報の破壊や漏えい」→ トロイの木馬。
2. 各選択肢の対応を確認する：上の対応と一致する組合せを選ぶと、イ の列が一致することを確認する。
3. 不一致の選択肢（例えば「標的型攻撃」など）と混同していないか確認する。

選択肢別の誤答解説

• ア：①はクロスサイトスクリプティングで合っているが、②に「トロイの木馬」、③に「ボット」としており、②と③が入れ替わっている。トロイの木馬はユーザにインストールさせるタイプ、ボットは感染して遠隔操作されるタイプで、設問の説明とは逆になっているため誤りです。
• ウ：①を「標的型攻撃」としているが、標的型攻撃（標的型メールなど）は特定の人物や組織を狙う手口であり、①の「Webページにスクリプト埋め込み」＝XSSとは別物です。さらに②をXSSにしている点も不適切。
• エ：①と②がどちらも標的型攻撃やトロイの木馬になっており、説明と一致しない。特に②の「多数のPCに感染して遠隔操作する」は明らかにボット（またはボットネット）を指すため、ここでトロイの木馬とするのは誤りです。

よくある誤解

1. 「トロイの木馬＝ウイルス」ではない：ウイルスは自己増殖して他のファイルに感染するもの、トロイの木馬は自己増殖しないが利用者を騙して実行される点が異なります。
2. XSS と CSRF を混同しやすい：どちらもWebの脆弱性に関係しますが、XSSはスクリプトを注入してブラウザ上で実行させる攻撃、CSRF（Cross-Site Request Forgery：サイト間リクエスト偽造）は利用者の権限を利用して意図しない操作をサーバにさせる攻撃です。目的や仕組みが違います。
3. 「ボット」と「ボットネット」の違いを理解していない：ボットは感染した個々のプログラム、ボットネットはその集合（遠隔操作される複数の感染PCのネットワーク）を指します。

補足コラム

• XSS の対策（簡単にできるポイント）
  • 入力値をそのまま表示せず「エスケープ」や「サニタイズ（入力の無害化）」を行う。
  • Cookieの盗難防止に HttpOnly 属性を付ける（ブラウザのスクリプトでCookieが読めなくなる）。
• ボット対策
  • OSやソフトを常に最新にして脆弱性を減らす。
  • セキュリティソフトの導入や、不審な挙動の監視（ネットワークトラフィックの異常検知）。
• トロイの木馬対策
  • 信頼できないソフトや添付ファイルを開かない。インストーラは公式サイトや正規の配布経路から取得する。
• 用語整理：マルウェア（malicious software：悪意あるソフト）のカテゴリにはウイルス、ワーム、トロイの木馬、ボットなどがあります。特徴を押さえると攻撃の説明と対応が結びつけやすくなります。

FAQ