ホーム > 情報処理安全確保支援士試験 > 2016年春期

情報処理安全確保支援士試験 2016年春期午前2 問06

情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

ア：同じセキュリティ機能の製品に乗り換える場合に，CSVなど他の製品が取り込める形式でファイルを出力するプログラム

イ：コンピュータに接続されたハードディスクなどの外部記憶装置や、その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア

ウ：セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法

エ：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム（正解）

解説

情報セキュリティにおけるエクスプロイトコードに該当するものはどれか【午前2 解説】

要点まとめ

結論：エクスプロイトコードとは、脆弱性を悪用するために作成されたプログラムであり、正解は「エ」です。
根拠：エクスプロイトコードはソフトウェアやハードウェアのセキュリティホールを狙い、攻撃を実行する具体的なコードを指します。
差がつくポイント：脆弱性の利用目的とプログラムの役割を正確に理解し、単なるファイル変換や管理ソフトと混同しないことが重要です。

正解の理由

選択肢「エ」は「ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム」と明確に定義されており、これはエクスプロイトコードの本質そのものです。エクスプロイトコードは、脆弱性を突いて不正アクセスや情報漏洩を引き起こす攻撃の具体的な手段として使われます。他の選択肢は、ファイル変換や管理ソフト、開発手法などであり、攻撃コードとは異なります。

よくある誤解

エクスプロイトコードは単なるセキュリティ製品や管理ツールではなく、攻撃目的のプログラムである点を誤解しやすいです。開発手法やファイル変換プログラムと混同しないよう注意しましょう。

解法ステップ

問題文の「エクスプロイトコード」の意味を確認する。
エクスプロイトコードは「脆弱性を利用するプログラム」であることを理解する。
各選択肢の説明を読み、攻撃目的のプログラムかどうかを判別する。
脆弱性を利用するプログラムと明示されている選択肢を選ぶ。
他の選択肢が攻撃コードでないことを確認し、正解を確定する。

選択肢別の誤答解説

ア: ファイル形式の変換プログラムであり、攻撃とは無関係です。
イ: 外部記憶装置や暗号化ファイルの管理ソフトで、エクスプロイトコードではありません。
ウ: 開発手法の説明であり、攻撃コードとは全く異なります。
エ: 脆弱性を利用するためのプログラムであり、エクスプロイトコードの定義に合致します。

補足コラム

エクスプロイトコードは攻撃者が脆弱性を突くために作成するプログラムで、バッファオーバーフローやSQLインジェクションなど様々な攻撃手法に応じて作られます。セキュリティ対策では、これらのコードの検知や脆弱性の修正が重要です。また、エクスプロイトコードはしばしばマルウェアの一部として利用されることもあります。

FAQ

Q: エクスプロイトコードはどのように入手されますか？
A: 攻撃者が自作する場合もありますが、インターネット上で公開されていることもあり、悪用されるリスクがあります。

Q: エクスプロイトコードとマルウェアの違いは何ですか？
A: エクスプロイトコードは脆弱性を突くための攻撃コードで、マルウェアは感染や破壊を目的とした悪意あるソフトウェア全般を指します。

関連キーワード: エクスプロイトコード, 脆弱性, セキュリティ攻撃, バッファオーバーフロー, マルウェア

← 前の問題へ次の問題へ →

情報処理安全確保支援士試験 2016年 春期 午前2 問06

解説