ITパスポート 2025年 問73
問題文
Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。
a Webサービスが利用しているソフトウェアに脆弱性の存在が判明したとき、その修正プログラムが提供される前に、この脆弱性を突いて攻撃する。
b 複数のコンピュータから大量のパケットを一斉に送り付けることによって、Webサービスを正常に提供できなくさせる。
c 理論的にあり得るパスワードのパターンを順次試すことによって、正しいパスワードを見つけ、攻撃対象のWebサービスに侵入する。
選択肢
ア：
イ：
ウ：（正解）
エ：
🔒 解説は解答すると表示されます
Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せ【ITパスポート 解説】
正解の理由
設問の a〜c の記述は、それぞれ次の攻撃を説明しています。
- a：ソフトウェアの脆弱性（セキュリティ上の欠陥）を修正パッチが出る前に突く攻撃 → ゼロデイ攻撃（zero-day attack：修正前の未知の脆弱性を突く攻撃）
- b：複数のコンピュータから大量のパケットを送りサービスを停止させる → DDoS 攻撃（DDoS = Distributed Denial of Service：分散型サービス拒否攻撃）
- c：あり得るパスワードを順に試して正しいものを見つける → ブルートフォース攻撃（brute-force attack：総当たり攻撃）
以上の対応から、a＝ゼロデイ攻撃、b＝DDoS攻撃、c＝ブルートフォース攻撃の組合せになっている選択肢、すなわち ウ が正しいです。
※用語の補足
- 脆弱性：ソフトウェアやシステムの「弱点」。攻撃者はここを突くことで不正アクセスや障害を起こせます。
- ボットネット：攻撃者が遠隔操作する感染済みコンピュータ群。DDoS でよく使われます。
解法ステップ
- 各記述のキーワードを探す
- 「修正プログラムが提供される前」→ 未知の脆弱性 → ゼロデイ
- 「複数のコンピュータ」「大量のパケット」→ 分散してサービスを妨害 → DDoS
- 「順次試す」「パスワードのパターン」→ 総当たり → ブルートフォース
- キーワードと攻撃名を照合する
- 表の中から、a, b, c がそれぞれ一致する行を選ぶ
試験でのコツ：設問文中の「前に」「複数」「順次」などの語は攻撃の特徴を端的に示します。まずそこをチェックしましょう。
選択肢別の誤答解説
- ア：a に「DDoS 攻撃」とあるが、a は「修正前の脆弱性を突く」説明なので DDoS ではありません。よってアは不正解。
- イ：b に「ブルートフォース攻撃」とあるが、b は「複数のコンピュータから大量のパケットを送る」説明であり、ブルートフォース（パスワード総当たり）とは異なります。よってイは不正解。
- ウ：a＝ゼロデイ攻撃、b＝DDoS 攻撃、c＝ブルートフォース攻撃とそれぞれ一致します。したがってこの行が正しい選択です。
- エ：c に「DDoS 攻撃」が入っていますが、c の説明はパスワードを順に試す行為であり DDoS ではありません。よってエは不正解。
よくある誤解
- 「DDoS とゼロデイを混同する」
- DDoS はサービスを止める攻撃（可用性の破壊）で、ゼロデイは脆弱性を利用してデータ盗取や不正侵入を狙うことが多い点が違います。
- 「ブルートフォースと辞書攻撃（dictionary attack）を同じと考える」
- 両者は似ていますが、ブルートフォースは可能な全パターンを試す総当たり、辞書攻撃はよく使われる語やリストを試す方法です（時間効率や対象によって使い分けられます）。
補足コラム
攻撃への基本的な対策（簡潔に）
- ゼロデイ攻撃：ゼロデイは「未知の脆弱性」を突かれるため完全防御は難しいですが、侵入検知システム（IDS、Intrusion Detection System）や挙動解析、最小権限の運用で被害を減らせます。WAF（Web Application Firewall：ウェブアプリケーションの攻撃をブロックする装置）も有効です。
- DDoS：トラフィックの異常検知、負荷分散、クラウド型のDDoS対策サービスで防御します。ボットネットに対する対策（感染予防）も重要です。
- ブルートフォース：パスワードの複雑化、一度に連続した試行を制限するロックアウト、多要素認証（MFA：Multi-Factor Authentication）を導入することで防げます。
身近な例：パスワード総当たりは「自転車の鍵を片っ端から試す」イメージ、DDoS は「入口に大勢が押し寄せて店が営業できない」イメージです。
FAQ
Q1. ゼロデイ攻撃は修正パッチが出たら終わりですか？
A1. パッチが出ても、すべてのシステムが即時に更新されるわけではないため、パッチ公開後もしばらくは攻撃対象になり得ます。速やかな適用が重要です。
A1. パッチが出ても、すべてのシステムが即時に更新されるわけではないため、パッチ公開後もしばらくは攻撃対象になり得ます。速やかな適用が重要です。
Q2. DDoS と DoS の違いは何ですか？
A2. DoS（Denial of Service：サービス拒否）は単一の攻撃元から行う場合、DDoS（Distributed DoS）は複数の攻撃元（分散）から同時に行う点が異なります。分散の方が防御が難しく影響が大きくなります。
A2. DoS（Denial of Service：サービス拒否）は単一の攻撃元から行う場合、DDoS（Distributed DoS）は複数の攻撃元（分散）から同時に行う点が異なります。分散の方が防御が難しく影響が大きくなります。
Q3. ブルートフォース防止に最も効果的な対策は？
A3. 完全な対策は組合せですが、特に有効なのは多要素認証（パスワードだけでなく追加の認証要素を求める）です。
A3. 完全な対策は組合せですが、特に有効なのは多要素認証（パスワードだけでなく追加の認証要素を求める）です。
関連キーワード: ゼロデイ攻撃、DDoS、ブルートフォース攻撃、脆弱性、ボットネット、WAF、多要素認証
\ せっかくなら /
ITパスポートを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！