システム監査技術者 2017年 午前2 問20
問題文
ブルートフォース攻撃に該当するものはどれか。
選択肢
ア：WebブラウザとWebサーバの間の通信で、認証が成功してセッションが開始されているときに、Cookieなどのセッション情報を盗む。
イ：可能性がある文字のあらゆる組合せをパスワードとしてログインを試みる。（正解）
ウ：コンピュータへのキー入力を全て記録して外部に送信する。
エ：正当な利用者のログインシーケンスを盗聴者が記録してサーバに送信する。
🔒 解説は解答すると表示されます
ブルートフォース攻撃【午前2解説】
正解の理由
ブルートフォース攻撃は、パスワードなどの認証情報について、文字の組合せを総当たりで試す攻撃です。
イは、可能性のある文字のあらゆる組合せをパスワードとしてログインを試みています。これはブルートフォース攻撃の説明に該当します。
解法ステップ
- ブルートフォース攻撃の意味を確認します。
「ブルートフォース」は「力ずく」という意味で、候補を一つずつ試す攻撃です。 - 各選択肢の攻撃方法を見分けます。
- パスワードを総当たりで試しているイを選びます。
選択肢別の誤答解説
- ア：認証後のセッション情報を盗む攻撃です。セッションハイジャックに該当します。
- イ：文字の組合せを総当たりでパスワードとして試すため、ブルートフォース攻撃です。
- ウ：キー入力を記録して外部に送信する攻撃です。キーロガーによる情報窃取に該当します。
- エ：正当な利用者のログイン通信を記録し、再送して不正に利用する攻撃です。リプレイ攻撃に該当します。
よくある誤解
- パスワードを盗む攻撃はすべてブルートフォース攻撃だと思う
ブルートフォース攻撃は、パスワード候補を総当たりで試す攻撃です。盗聴や入力記録による窃取とは区別します。 - セッション情報を盗む攻撃と、ログイン情報を再送する攻撃を混同する
セッション情報を奪って利用するのはセッションハイジャック、記録した通信を再送するのはリプレイ攻撃です。 - 候補を効率よく絞る攻撃も、総当たりと同じだと思う
よく使われる単語などを候補にして試す辞書攻撃は、候補を限定する点で総当たり攻撃と異なります。
補足コラム
ブルートフォース攻撃への基本的な対策には、推測されにくい長いパスワードの使用、ログイン試行回数の制限、多要素認証の導入などがあります。試行回数を制限すると、攻撃者が候補を次々に試すことを難しくできます。
FAQ
Q. パスワードが長いほど、ブルートフォース攻撃に強くなりますか？
A. 一般に、長く複雑なパスワードほど組合せの数が増え、総当たりで突破されにくくなります。同じ文字の繰り返しや推測しやすい単語を避けることも大切です。
A. 一般に、長く複雑なパスワードほど組合せの数が増え、総当たりで突破されにくくなります。同じ文字の繰り返しや推測しやすい単語を避けることも大切です。
Q. ログイン試行回数を制限するだけで防げますか？
A. 試行回数の制限は有効な対策ですが、それだけで十分とは限りません。多要素認証などを組み合わせると、さらに安全性を高められます。
A. 試行回数の制限は有効な対策ですが、それだけで十分とは限りません。多要素認証などを組み合わせると、さらに安全性を高められます。
関連キーワード: ブルートフォース攻撃、辞書攻撃、セッションハイジャック、キーロガー、リプレイ攻撃、認証、パスワード攻撃
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！