ITパスポート 2025年 問70

脆弱性を是正するパッチが有効な脅威はどれか【ITパスポート 解説】

正解の理由

• 脆弱性（ぜいじゃくせい：ソフトウェアやシステムの弱点で、攻撃されると不正操作や情報漏えいにつながるもの）は、ソフトウェアの実装ミスや設計ミスで生じます。
• セキュリティパッチ（ソフトウェアの不具合や脆弱性を修正する更新プログラム）は、その脆弱性そのものを直すため、脆弱性を利用する攻撃手法に対して直接的かつ効果的です。
• バッファオーバーフローは「バッファ（データを一時的にためる領域）」のサイズを超えてデータを書き込ませることによるプログラムの誤動作で、実装のミス（脆弱性）を突く攻撃です。したがって、当該ソフトの修正（パッチ）が最も有効です。

解法ステップ

1. 各選択肢が「ソフトウェアの脆弱性そのものを突く攻撃か、別の要因（人や弱いパスワード）を突く攻撃か」を分類します。
2. 「脆弱性を是正するパッチ」が直接効くのは、ソフトウェアの欠陥を修正することで防げる攻撃です。
3. 各選択肢の攻撃手法の起点（ソフトのバグか、人のミスか、単純な総当たりか）を確認し、最も合致するものを選びます。
4. バッファオーバーフローは典型的なソフトウェアのバグ利用なので、パッチで修正すれば防げる、という論理でエを選びます。

選択肢別の誤答解説

• ア: 総当たり攻撃（総当たり攻撃＝Brute-force attack：パスワードなどを片っ端から試す攻撃）
  • 特定の「弱いパスワード」を狙う手法で、ソフトのバグを直すパッチでは直接防げません。対策は複雑なパスワード、アカウントロック、二要素認証などです。
• イ: ソーシャルエンジニアリング（ソーシャルエンジニアリング：人間の心理や信頼を利用して情報をだまし取る手法）
  • 人間の行動を狙う攻撃なので、ソフトウェアのパッチでは根本的に防げません。対策は教育（セキュリティ意識向上）や運用ルールの整備です。
• ウ: パスワードリスト攻撃（パスワードリスト攻撃：漏えいしたパスワードリストを使ってログインを試す攻撃）
  • 既知のパスワードを使う攻撃で、やはりソフトのバグ修正とは無関係。対策はパスワードの使い回し防止や多要素認証などです。
• エ: バッファオーバーフロー（バッファオーバーフロー：プログラムが用意した領域を超えてデータを書き込み、制御を奪われることがある脆弱性）
  • これはソフト自体の実装ミスが原因です。開発側がコードを修正してパッチを出せば、その脆弱性を潰すことができます。よってパッチが最も有効です。

よくある誤解

1. 「パッチを当てればすべての攻撃が防げる」
   • 誤りです。パッチはソフトのバグ（脆弱性）を修正しますが、人をだますソーシャルエンジニアリングや弱いパスワードを突く攻撃には効果が薄いです。対策は複数の対策（技術・運用・教育）の組合せが必要です。
2. 「パスワード関連の攻撃もパッチで解決できる」
   • パスワードが短い・使い回し・漏洩している場合、アプリのバグ修正だけでは不十分です。パスワード運用の改善や多要素認証が必要です。
3. 「バッファオーバーフローは古い技術の問題だから無視できる」
   • 古い攻撃手法でも、未修正のソフトが残っていれば今でも有効です。実際に重大な脆弱性は継続的に発見されています。

補足コラム

• プログラムは「決められたサイズの箱（バッファ）」にデータを入れる設計になっています。その箱以上にデータを無理に入れると、箱の外にある重要な情報（戻り先のアドレスなど）を書き換えてしまい、攻撃者が任意の処理を走らせることができます。
• 対策例：
  • コード側で長さチェックを厳密に行う（入力検証）
  • コンパイラや実行環境の保護機能（例：ASLR＝Address Space Layout Randomization：アドレス空間配置のランダム化、DEP/NX＝実行不可領域の設定）
  • 定期的なセキュリティパッチの適用と、脆弱性情報（CVE：Common Vulnerabilities and Exposures のような共通参照）の確認
• 企業での運用ポイント：パッチを適用する前に影響を検証する「段階的適用」や、適用漏れが無いような管理体制（パッチ管理）を整えることが重要です。

FAQ