ホーム > 情報処理安全確保支援士試験 > 2022年秋期

情報処理安全確保支援士試験 2022年秋期午前2 問06

パスワードスプレー攻撃に該当するものはどれか。

ア：攻撃対象とする利用者IDを一つ定め、辞書及び人名リストに掲載されている単語及び人名並びにそれらの組合せを順にパスワードとして入力して、ログインを試行する。

イ：攻撃対象とする利用者IDを一つ定め、パスワードを総当たりして、ログインを試行する。

ウ：攻撃の時刻と攻撃元IPアドレスとを変え、かつ、アカウントロックを回避しながらよく用いられるパスワードを複数の利用者IDに同時に試し、ログインを試行する。（正解）

エ：不正に取得したある他のサイトの利用者IDとパスワードとの組みの一覧表を用いて、ログインを試行する。

解説

パスワードスプレー攻撃に該当するものはどれか【午前2 解説】

要点まとめ

結論：パスワードスプレー攻撃は複数の利用者IDに対し、同じパスワードを試す攻撃手法です。
根拠：攻撃元IPや時刻を変え、アカウントロックを回避しながら広範囲にパスワードを試す点が特徴です。
差がつくポイント：単一アカウントへの総当たり攻撃と異なり、複数アカウントに対して少数のパスワードを試す点を理解しましょう。

正解の理由

選択肢ウは「攻撃の時刻と攻撃元IPアドレスを変え、アカウントロックを回避しつつ複数の利用者IDに同じパスワードを試す」と記述されています。これはパスワードスプレー攻撃の典型的な特徴であり、単一アカウントに大量のパスワードを試す総当たり攻撃とは異なります。複数アカウントに対して少数のパスワードを試すことで検知を回避しやすく、攻撃成功率を高める手法です。

よくある誤解

パスワードスプレー攻撃は「総当たり攻撃」と混同されやすいですが、総当たりは単一アカウントに大量のパスワードを試す攻撃です。複数アカウントに少数のパスワードを試す点が異なります。

解法ステップ

問題文の「パスワードスプレー攻撃」の特徴を確認する。
各選択肢の攻撃手法を比較し、単一アカウントか複数アカウントかを判別する。
アカウントロック回避やIPアドレス変更の有無を確認する。
複数アカウントに同じパスワードを試す選択肢を特定する。
それが選択肢ウであることを確認し、正解とする。

選択肢別の誤答解説

ア：単一利用者IDに対し辞書攻撃を行うため、パスワードスプレー攻撃ではなく辞書攻撃に該当します。
イ：単一利用者IDに対してパスワードを総当たりするため、総当たり攻撃（ブルートフォース攻撃）です。
ウ：複数利用者IDに同じパスワードを試し、アカウントロックを回避しながら攻撃するためパスワードスプレー攻撃です。
エ：他サイトから不正に取得したIDとパスワードの組み合わせを使うため、リスト型攻撃（クレデンシャルスタッフィング）に該当します。

補足コラム

パスワードスプレー攻撃は、アカウントロック機能を回避しつつ広範囲に攻撃を仕掛けるため、検知が難しい攻撃手法です。対策としては多要素認証の導入や、異常なログイン試行の監視が有効です。また、ユーザーパスワードの使い回しを防ぐことも重要です。

FAQ

Q: パスワードスプレー攻撃と総当たり攻撃の違いは何ですか？
A: 総当たり攻撃は単一アカウントに大量のパスワードを試すのに対し、パスワードスプレー攻撃は複数アカウントに少数のパスワードを試します。

Q: なぜ攻撃元IPアドレスを変えるのですか？
A: 攻撃元IPを変えることで、アカウントロックや検知システムの回避を狙い、攻撃を継続しやすくします。

関連キーワード: パスワードスプレー攻撃, 辞書攻撃, 総当たり攻撃, クレデンシャルスタッフィング, アカウントロック回避, 多要素認証

← 前の問題へ次の問題へ →

情報処理安全確保支援士試験 2022年 秋期 午前2 問06

解説