ホーム > 情報処理安全確保支援士試験 > 2011年 春期
情報処理安全確保支援士試験 2011年 春期 午前2 問08
サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち,適切なものはどれか。
ア：
イ：（正解）
ウ：
エ：
解説
パスワードに関する攻撃とその適切な対策についての解説
この問題では、サーバへのログイン時にパスワードを不正に取得しようとする代表的な攻撃と、それに対処するための適切な対策の組み合わせを問われています。
各攻撃の概要と有効な対策
1. 辞書攻撃（Dictionary Attack）
辞書攻撃とは、あらかじめ用意された一般的な単語や組み合わせのリスト（辞書）を使って、パスワードを短時間で次々と試す手法です。人が覚えやすい簡単なパスワードは特に狙われやすいです。
適切な対策：
- パスワードをランダムかつ複雑に設定することが重要です。
- 辞書に載っていそうな単語や推測されやすいものは避けます。
つまり、「ランダムな値でパスワードを設定する」が有効な対策です。
2. スニッフィング（Sniffing）
スニッフィングは、ネットワーク上を流れる通信パケットを盗み見する攻撃です。平文のパスワードが送られていると、容易にパスワードを取得されてしまいます。
適切な対策：
- パスワードを「平文（暗号化されていない形）」で送信しないことが最も効果的です。
- 通信を暗号化するSSL/TLSの使用や、SSHなどの安全なプロトコルを利用します。
したがって、「パスワードを平文で送信しない」ことが必須の対策です。
3. ブルートフォース攻撃（Brute-force Attack）
ブルートフォース攻撃は、可能なパスワードを片っ端から総当たりで試す攻撃です。試行回数が多いほど成功率が上がるため、防御が難しい面もあります。
適切な対策：
- ログインの試行回数に制限を設け、不正アクセスを防止します。
- 例えば、一定回数以上パスワードの入力を間違えた場合はアカウントを一時的にロックする、CAPTCHAを導入するなどです。
このため「ログインの試行回数に制限を設ける」が正しい防御策となります。
問題の選択肢「イ」が正解な理由
この組み合わせは、各攻撃に対して最も効果的かつ基本的な防御策となっています。
まとめ
- 辞書攻撃には複雑でランダムなパスワードの設定
- スニッフィングにはパスワードを暗号化し平文で送信しない（通信の保護）
- ブルートフォース攻撃にはログイン試行回数の制限
これらを的確に理解し、適切な対策が施されていれば、サーバのログインセキュリティを大きく強化できます。今回の問題では、それを正しく対応した「イ」の選択肢が正解です。