色々あって覚えにくい！セキュリティ攻撃手法と対策【備忘録-応用情報技術者試験対策 #13】

※ 本記事では、応用情報技術者試験に向けて私が勉強したことを備忘録的にまとめておきたいと思います。基本情報技術者試験の内容と重複しているものもあります。なお、記事の投稿順に意味はないので、気にしないでもらえればと思います。

はじめに
攻撃手法と対策
最後に
おすすめの記事

はじめに

今回はセキュリティ攻撃手法とその対策についてまとめたいと思います。

情報セキュリティのニュースで、「不正アクセス」や「情報漏洩」といった言葉を目にする機会が増えています。しかし、その裏で実際にどのような“攻撃手法”が使われているのか、体系的に理解できている人は多くありません。

単なる用語暗記ではなく「どのように攻撃され、どう対策するのか」をセットで理解することが重要です。

本記事では、代表的な攻撃手法を、それぞれの仕組みと具体的な対策をわかりやすく解説していきます。

ちなみに私はこの参考書を使って勉強してました。

リンク

情報が豊富でがっつり勉強したい方向けかと思います。

攻撃手法と対策

早速ですが、攻撃手法と対策を一覧にしてまとめました。種類が多いものの、重要な内容であるため、確実に覚えておきたいですね。

攻撃手法	説明	対策
フィッシング	正規の企業やサービスを装ったメールやWebサイトに誘導し、ID・パスワードやクレジットカード情報などを入力させて盗み取る攻撃	・URLの確認・メールリンクを直接開かない・多要素認証の導入
SQLインジェクション	Webアプリの入力欄に不正なSQL文を入力し、データベースの情報を不正に取得・改ざん・削除する攻撃	・プレースホルダの使用(値を直接書かずに、あとから埋め込む仕組み) ・サニタイジング(データベースの操作等に使用される文字を取り除く)
クロスサイトスクリプティング(XSS)	Webページに悪意あるスクリプトを埋め込み、閲覧したユーザのブラウザ上で実行させてCookieなどの情報を盗む攻撃	・サニタイジング・バリデーション(入力値の検証をして条件に合わないものを取り除く)
クロスサイト・リクエスト・フォージェリ(CSRF)	利用者がログインしている状態を悪用し、意図しないリクエスト（送金・設定変更など）を強制的に実行させる攻撃	・ログアウトの徹底・CSRFトークンの使用・リクエスト時のパスワード再入力の実装
パスワードリスト攻撃	他サービスから流出したID・パスワードのリストを使い、ログインを試みる攻撃（使い回しを狙う）	・パスワード使い回し禁止・多要素認証・ログイン試行制限
ブルートフォース攻撃	可能なパスワードの組み合わせを総当たりで試し、認証を突破する攻撃	・長く複雑なパスワード、パスフレーズの利用
辞書攻撃	辞書にある単語やよく使われるパスワードを使って効率的に推測する攻撃	・長く複雑なパスワード
DoS / DDoS攻撃	大量のリクエストを送りつけてサーバやネットワークを過負荷状態にし、サービスを停止させる攻撃	・WAFの利用・攻撃元IPアドレスのアクセス制御
中間者攻撃 (Man-in-the-middle:MITM)	通信の途中に割り込み、データの盗聴や改ざんを行う攻撃	・HTTPSの利用・セッションIDの厳重管理・再認証
セッションハイジャック	セッションIDを盗み取り、正規ユーザになりすましてサービスを利用する攻撃	・HTTPSの利用・セッションIDの厳重管理・再認証
DNSキャッシュポイズニング	DNSサーバのキャッシュを書き換え、正規ドメインへのアクセスを偽サイトへ誘導する攻撃	・DNSSECの導入・キャッシュ管理の強化
SEOポイズニング	Web検索等で検索結果の上位に、悪意のあるサイトを表示させる。	・URLの確認・セキュリティソフトの導入・ブックマークの活用
マルウェア感染	悪意あるソフトウェアを実行させ、情報窃取や遠隔操作を行う攻撃の総称	・ウイルス対策ソフト・OS/ソフト更新
ランサムウェア	ファイルを暗号化し、復号と引き換えに金銭を要求するマルウェア	・バックアップ取得・メール対策・権限管理
トロイの木馬	正常なプログラムを装い、ユーザに実行させることで不正動作を行うマルウェア	・出所不明ソフトを実行しない
ワーム	ネットワークを通じて自己増殖し、他の端末にも感染を広げるマルウェア	・パッチ適用・ネットワーク監視
スパイウェア	ユーザの行動や情報を密かに収集し外部に送信するソフトウェア	・セキュリティソフト・不要なソフト削除
キーロガー	キーボード入力を記録し、IDやパスワードを盗む攻撃	・セキュリティソフト・二要素認証
ゼロデイ攻撃	公開前または未修正の脆弱性を狙う攻撃で、防御が非常に困難	・早期パッチ適用・振る舞い検知
バッファオーバーフロー	想定以上のデータを書き込み、メモリ領域を破壊して不正なコードを実行させる攻撃	・入力サイズチェック・入力データの制限
OSコマンドインジェクション	入力値にOSコマンドを混入させ、不正なコマンドを実行させる攻撃	・入力検証・コマンド実行の制限
ディレクトリトラバーサル	「../」などを使い、本来アクセスできないファイルにアクセスする攻撃	・パスの正規化・アクセス制御
リプレイ攻撃	正規の通信データを盗聴し、そのまま再送して認証を突破する攻撃	・ワンタイムトークンの活用・タイムスタンプの活用
クリックジャッキング	見えないボタンなどを重ねて、ユーザに意図しないクリックをさせる攻撃	・X-Frame-Options設定
水飲み場型攻撃	標的がよく利用するサイトを改ざんし、アクセスした際に感染させる攻撃	・不審なサイトに注意・ファイアウォールの設定
標的型攻撃	特定の企業や組織を狙い、長期間にわたって侵入・情報窃取を行う攻撃	・多層防御・ログ監視・セキュリティ教育
サプライチェーン攻撃	取引先や委託先を経由して侵入する攻撃	取引先のセキュリティ評価
ソーシャルエンジニアリング	人の心理的な隙を突いて情報を引き出す攻撃（なりすまし・だまし）	・教育・ルール整備
ショルダーハッキング	画面やキーボードを覗き見して情報を盗む攻撃	・覗き見防止フィルタ・周囲確認