攻撃手法と対策

このページでは、SQLインジェクションなどWebアプリへの攻撃、フィッシング、DoS・リフレクタ攻撃、標的型攻撃、中間者攻撃と、オフィスのセキュリティ対策の用語がわかります。

一言で言うと：
- 守るべきもの（機密性・完全性・可用性）と、それを脅かすマルウェア、パスワードの盗み方、攻撃の下調べ、いろいろな攻撃手法を、用語として押さえる話
- 試験では、攻撃名と中身・対策の組合せがよく問われる

何を守るか（CIA・脅威の種類）→ 悪いプログラム（マルウェア）→ パスワードを盗む → 下調べ（ポートスキャン）→ 攻撃する（攻撃手法）→ その他の対策と用語

覚え方の軸
攻撃手法：試験に出る攻撃と対策（★試験によく出る）
その他のセキュリティ関連用語
混同しやすいペア

覚え方の軸

攻撃手法は「どこを狙うか」でグループにする
- Webアプリの入力を狙う（SQLインジェクション、OSコマンドインジェクション、クロスサイトスクリプティング、ディレクトリトラバーサル、バッファオーバフロー）
- 偽サイトへ誘導する（フィッシング、スミッシング、DNSキャッシュポイズニング、SEOポイズニング）
- サービスを止める（DoS。踏み台に増幅させるリフレクタ攻撃、大量に送るFlood攻撃）
- 特定の相手を狙う（標的型攻撃、APT、水飲み場型、やり取り型、BEC）
- 通信に割り込む（中間者攻撃、MITB、ダウングレード攻撃、リプレイ攻撃）
- 人をだます（ソーシャルエンジニアリング）

攻撃手法：試験に出る攻撃と対策（★試験によく出る）

① Webアプリケーションや入力を狙う攻撃

攻撃	中身	対策
バッファオーバフロー	バッファの許容範囲を超えるデータを送り付けて、わざとバッファをあふれさせ、悪意の行動をとる	許容範囲を超えた大きなデータの書き込みを禁止する
ディレクトリトラバーサル	相対パスなどを使って、ディレクトリを「横断する」ことで、公開していないディレクトリにアクセスする	ユーザに入力させるパラメタのチェック
SQLインジェクション	Webアプリケーションの入力フィールドにSQL文の一部を入力して、データベースの内容を不正に削除したり、入手したりする	サニタイジング、バインド機構
OSコマンドインジェクション	Webページで入力した文字列が、Perlのsystem関数やPHPのexec関数などに渡されることを利用し、不正にシェルスクリプトを実行させる	−
クロスサイトスクリプティング	攻撃者が用意したスクリプトを、閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み、閲覧者のWebブラウザ上でスクリプトを実行させる	−

サニタイジング：
- データベースへの問合せや操作で、特別な意味を持つ文字（「’」や「;」）を取り除いたり、他の文字に置き換えたり（エスケープ処理）して、無効にする
- 例えば、手紙に「この手紙を読んだ人は金庫を開けろ」と書かれていても、ただの文章として扱うようにする
バインド機構：
- プレースホルダ（変数）を使ったSQL文（プリペアドステートメント）を準備しておき、SQL文を実行するときに、入力値をプレースホルダに埋め込んでSQL文を組み立てる
- 入力値はあくまで「値」として扱われ、SQL文の一部にはならない
- 例えば、申込書の決まった枠（プレースホルダ）にしか書き込めないので、枠の外に命令を書き足せない
ディレクトリトラバーサルの例え：
- 「../」（1つ上の階層へ）を並べて、お店の売り場から、立入禁止の事務所へ入り込む
クロスサイトスクリプティングの例え：
- 掲示板に、見た人のブラウザで勝手に動く「いたずらの仕掛け」を書き込む。被害を受けるのは、掲示板を見た人

② 偽サイトへ誘導する攻撃

攻撃	中身
フィッシング	実在企業を装ったメールで偽サイトへ誘導したり、リダイレクト機能を悪用して偽サイトに遷移させたりして、個人情報を盗み取る
スミッシング（SMSフィッシング）	携帯電話などのSMSを使って、フィッシングサイトへ誘導する
DNSキャッシュポイズニング	DNSのキャッシュ機能を悪用し、偽のドメイン情報を一時的に覚え込ませる。成功すると、DNSサーバが偽の情報を提供するので、利用者は偽サイトに誘導される
SEOポイズニング	キーワードで検索した結果の上位に、悪意のあるサイトを意図的に表示させ、誘導する

リダイレクト機能：
- Webサイトへのアクセスを、自動的にWebアプリケーション内の他ページや、外部のWebサイトに遷移させる機能
オープンリダイレクト：
- 外部から指定されたURLパラメータなどに基づいて、リダイレクト先を指定する処理
オープンリダイレクト脆弱性：
- オープンリダイレクトの処理に不備があり、指定されたURLに何も制限をかけていないと、意図しない外部のリダイレクト先を指定できてしまうこと
DNSキャッシュポイズニングの対策：
- DNSの問合せに対する応答にデジタル署名を付けて、正当性を確かめるDNSSECの導入
- DNS問合せに使う、DNSヘッダ内のIDやソースポート（送信元ポート）のランダム化
- 再帰的な問合せには、内部からのものだけに応答するよう設定する
オープンリゾルバ：
- 外部の不特定のDNSクライアントからの再帰的な問合せを許可しているDNSサーバ
DNSキャッシュポイズニングの例え：
- 電話番号案内のメモ帳に、偽の番号を書き込んでおく。問い合わせた人は、偽の店に電話をかけてしまう
SEO：
- Search Engine Optimization（検索エンジン最適化）の略
- 検索結果の一覧で、自分のサイトがより上位に出るように、Webページの書き方を見直すなどいろいろ試みること

③ サービスを止める攻撃（DoS攻撃）

DoS攻撃：
- 攻撃対象のサーバへ大量のデータや不正データを送り付け、サーバを過負荷でダウンさせたり、正当な利用者へのサービスを妨げたりするサービス妨害攻撃
DDoS攻撃（分散型サービス妨害攻撃）：
- 複数のコンピュータから一斉にDoS攻撃をするもの
マルチベクトル型DDoS攻撃：
- 複数のDDoS攻撃手法を組み合わせた攻撃

攻撃	中身
リフレクタ攻撃（リフレクション攻撃）	リフレクタと呼ばれる、反射的に応答を返すサーバを踏み台にした、分散反射型DoS攻撃（DRDoS攻撃）。代表的なものにDNSリフレクション攻撃がある
NTP増幅攻撃	インターネットから問合せできるNTPサーバを踏み台にする。送信元を攻撃対象に偽装したmonlist（状態確認）要求をNTPサーバに送り、NTPサーバからとても大きな応答を攻撃対象に送らせる
Smurf攻撃（スマーフ攻撃）	送信元を攻撃対象に偽装したICMPエコー要求パケット（ping）を相手のネットワークにブロードキャストし、ネットワーク上のコンピュータからICMPエコー応答パケットを攻撃対象に大量に送らせる
ICMP Flood攻撃（Ping Flood攻撃）	ボットなどを使って、ICMPエコー要求パケットを大量に送り付ける
SYN Flood攻撃	TCPコネクションを確立するためのSYNパケットを、送信元を偽装して大量に送り付ける。サーバはSYN/ACKを送るがACKが返らず待機状態になり、TCP接続のリソースを使い果たして、新しいTCP接続ができなくなる

DNSリフレクション攻撃：
- オープンリゾルバを悪用した攻撃
- 送信元IPアドレスを攻撃対象のIPアドレスに偽装したDNS問合せを、ボットネットなどから多数のDNSサーバに送る
- すると、攻撃対象のサーバに大量のDNS応答が送り付けられる
DNS amp攻撃：
- 踏み台にするDNSサーバに、データサイズの大きな偽のリソースレコードを事前に覚え込ませておく
- そうすると、DNS問合せの何十倍、何百倍もの大きさのDNS応答を、攻撃対象に送り付けられる
- amp（amplification）は「増幅」「拡張」の意味
リフレクタ攻撃の仲間：
- NTP増幅攻撃やSmurf攻撃も、リフレクタ攻撃の一種
リフレクタ攻撃で狙われるポート：
- コネクションレス型のUDPが狙われる
- 攻撃者は、DNSのUDP 53番ポートや、NTPのUDP 123番ポートなど、悪用できるUDPポートを探して攻撃する
リフレクタ攻撃の例え：
- 相手の住所を書いた返信用はがきを付けて、大勢の店に「カタログを送って」と頼む。相手の家に、分厚いカタログ（増幅された応答）が山のように届く
SYN Flood攻撃の例え：
- レストランに偽名で大量の予約電話を入れ、誰も来ない。本当のお客さんの予約が取れなくなる

④ 特定の相手を狙う攻撃

攻撃	中身
標的型攻撃	特定の組織や個人に対して行われる攻撃
APT（Advanced Persistent Threat）	標的型攻撃のうち、標的に合わせてカスタマイズされた手段で、密かにかつ執拗に行われる継続的な攻撃
水飲み場型攻撃	標的が頻繁に利用するWebサイトに罠を仕掛けて、アクセスしたときだけ攻撃コードを実行させる
やり取り型攻撃	問合せなどを装った無害な「偵察」メールを送り、複数回のメールのやりとりで担当者を信頼させた後、ウイルス付きメールを送る
ビジネスメール詐欺（BEC）	BECはBusiness E-mail Compromiseの略。巧妙なだましの手口を使った偽のメールを企業・組織に送り、従業員をだまして、攻撃者の用意した口座へ送金させるなど、金銭的な被害をもたらす

水飲み場型攻撃の例え：
- ライオンが、獲物が必ず来る水飲み場で待ち伏せする
やり取り型攻撃の例え：
- 何度か普通の問合せをして顔なじみになってから、毒入りの差し入れを渡す
BECの例え：
- 取引先の担当者になりすまして「振込先の口座が変わりました」とメールを送る

⑤ 通信に割り込む攻撃

攻撃	中身
中間者攻撃（Man-in-the-middle攻撃）	通信者どうしの間に、勝手に、気付かれないように割り込み、通信内容を盗み見たり改ざんしたりした後、改めて正しい通信相手に転送するバケツリレー型の攻撃
MITB攻撃（Man-in-the-browser攻撃）	攻撃対象のコンピュータに侵入させたマルウェアを使って、Webブラウザからの通信を監視し、通信内容を改ざんしたり、セッションを乗っ取ったりする
SSL/TLSのダウングレード攻撃	SSL/TLSで暗号化通信を確立するとき、通信経路に入り込み、脆弱性が見つかっている弱い暗号スイート（鍵交換、署名、暗号化、ハッシュ関数）の使用を強制して、解読しやすい暗号化通信をさせる
リプレイ攻撃	通信データを盗聴して得た認証情報を、そのまま再利用して不正にログインする

ダウングレード攻撃の発生：
- TLS 1.2より前のプロトコルバージョンで発生する（現在の最新バージョンはTLS 1.3）
中間者攻撃とMITB攻撃の違い：
- 中間者攻撃は、通信経路の途中に割り込む
- MITB攻撃は、利用者のブラウザの中（マルウェア）で割り込む。だから、TLSで通信路を暗号化しても防げない
- 例えば、中間者攻撃は郵便配達の途中で手紙をすり替える。MITB攻撃は、手紙を書いている人の手元で、こっそり振込先を書き換える
リプレイ攻撃の対策：
- チャレンジレスポンス認証やワンタイムパスワードのように、毎回変わる値を使えば、盗んだ認証情報を使い回せない

⑥ その他の攻撃

攻撃	中身
ドライブバイダウンロード攻撃	Webサイトを閲覧しただけで、利用者が気付かないうちに、利用者のPCに不正プログラムを転送させる
クリックジャッキング	リンクやボタンを置いた透明なページを、iframeタグで重ね合わせ、利用者を視覚的にだまして特定の操作をさせる
クリプトジャッキング	PCにマルウェアを感染させ、CPU資源を不正に利用する。攻撃を受けたPCは、暗号資産（仮想通貨）を手に入れるためのマイニングなどに使われる
スパムメール	無断で送られてくる迷惑メール
Adversarial Examples攻撃	画像データの中に、人間には知覚できないささいなノイズや変化を加えて、AIモデルに誤認識させる
ソーシャルエンジニアリング	盗み聞き、盗み見、話術といった非電子的な方法で、機密情報を不正に手に入れる方法の総称
サイドチャネル攻撃	暗号装置から得られる物理量（処理時間、消費電流、電磁波など）やエラーメッセージから、機密情報を取り出す
RLTrap	文字の並び順を変えるUnicodeの制御文字RLO（Right-to-Left Override）を悪用して、ファイル名を偽装する不正プログラム

iframe：
- 指定したURLのページの内容を、今表示しているページの一部分であるかのように表示できるタグ
クリックジャッキングの対策：
- HTTPレスポンスヘッダに「X-Frame-Options: DENY（表示禁止）」などを設定し、フレーム内の表示を制限する
クリックジャッキングの例え：
- 「プレゼントを受け取る」ボタンの上に、透明な「退会する」ボタンを重ねておく
OP25B（Outbound Port 25 Blocking）：
- スパムメール対策の1つ
- ISP管理下の利用者から、ISPのメールサーバを経由せずに直接送られる、外部のメールサーバへのSMTP通信（TCP 25番ポート）を遮断する
送信ドメイン認証：
- スパムメール対策に有効な技術
- SPFは、送信元IPアドレスを基になりすましを検知する
- DKIMは、デジタル署名を使う
ベイジアンフィルタ：
- 迷惑メールの検知手法
- ベイズ統計理論を応用し、利用者が振り分けた迷惑メールと正規のメールから特徴を学習して、迷惑メールかどうかを統計的に判定する
ダンプスターダイビング（スキャベンジング）：
- 有益な情報を探すために、ごみ箱の中を漁ること
- ソーシャルエンジニアリングの1つ
ソーシャルエンジニアリングとフットプリンティング：
- ソーシャルエンジニアリングで機密情報の入手を試みることは、積極的なフットプリンティングの代表例
ソーシャルエンジニアリングの例：
- システム管理者を装って電話し、「緊急なのでパスワードを教えてください」と聞き出す
- 後ろからパスワードの入力をのぞき見る（ショルダーハッキング）
タイミング攻撃：
- サイドチャネル攻撃の1つ
- 暗号化や復号の処理時間から、使われた鍵を推測する
サイドチャネル攻撃の対策：
- 暗号アルゴリズムに対策をして、暗号内容による処理時間の差が出ないようにする
サイドチャネル攻撃の例え：
- 金庫のダイヤルを回すときの「カチッ」という音や手ごたえから、番号を当てる
テンペスト技術：
- ディスプレイやケーブルから漏えいする微弱な電磁波を傍受し、情報を取り出す技術
- 電磁波が漏えいしないシールドなどで対策する
RLTrapの例：
- ファイル名「請求書fdp.exe」の「f」の前にRLOを入れると（RLO自体は見えない）、RLOより後ろが右から左に表示され、「請求書exe.pdf」に見える
- 見た目はPDFなのに、中身は実行ファイル

その他のセキュリティ関連用語

① 技術的セキュリティ対策

用語	中身
ペネトレーションテスト	ファイアウォールや公開サーバなどに対して行う擬似攻撃テスト。実際に侵入を試みることで、セキュリティ上の脆弱性を検証する
デジタルフォレンジックス	不正アクセスなど、コンピュータに関する犯罪が起きたとき、その法的な証拠性を明らかにするため、証拠となり得るデータを保全、収集、分析する技法
耐タンパ性	機器やシステムの内部の機密情報や動作などを、外部から解析されたり改変されたりすることを防ぐ能力

ペネトレーションテストの例え：
- 防犯のプロに頼んで、本当に家に忍び込めるか試してもらう
カオスエンジニアリング：
- ペネトレーションテストの考え方を、システム運用に応用したもの
- ステージング環境や本番環境で意図的に障害を起こして、システムの挙動を観察し、見つけた問題を直すことを継続的に行う
- これで、システムの耐障害性と、システム運用の信頼性を高めていく
- 例えば、消防訓練で、本当に一部の電源を落として、ちゃんと避難や復旧ができるか確かめる
デジタルフォレンジックスの例え：
- 事件現場の鑑識。指紋や足跡を、法廷で使える形で集める
耐タンパ性の例：
- 「チップ内部を物理的に解析しようとすると、内部回路が破壊されるようにする」ことで、耐タンパ性を高められる
- 例えば、ICカードを無理に分解すると、中の情報が消える

② オフィスのセキュリティ対策

用語	中身
ゾーニング	扱う情報の重要性に応じて、オフィスなどの空間を「オープンエリア、セキュリティエリア、受渡しエリア」などに区切って分ける
クリアデスク	離席するとき、書類や印刷物などを机の上に放置しない
クリアスクリーン	PCの画面を、他人がのぞき見たり操作したりできる状態のまま離席しない
アンチパスバック	入室側と退室側にカードリーダを置き、「入室記録がない人の退出」や「入室記録がある人の再入室」を許可しないように制御する
インターロックゲート	共連れを防止するための二重扉。2つの扉がある小部屋には、1人ずつしか通れないように制御する
TPMOR	Two Person Minimum Occupancy Ruleの略。「最初の入室と最後の退室は2人同時でないと許可しない」ルール。セキュリティエリア内に最低2人以上いる状態にする

共連れ：
- 認証を受けた人の後ろについて、認証を受けずに一緒に入ること（ピギーバック、テールゲーティングともいう）
アンチパスバックの効果：
- 共連れで入った人は入室記録がないので、出られない。だから共連れを防げる
- 1枚のカードを、中から外の人に渡して入らせる（パスバック）ことも防げる
TPMORの効果：
- 1人きりで重要な部屋にいる状態をなくすので、1人での不正がしにくくなる

③ 人的脆弱性と不正のメカニズム

用語	中身
シャドーIT	企業・組織のIT部門（情報システム部門）の公式な許可を得ずに、従業員や部門が勝手に使っているIT機器やITサービス
不正のトライアングル	人が不正行為をしてしまう仕組みを理論化したもの。企業・組織で内部不正などが起きるときは、「機会、動機、正当化」の3つすべてがそろっているとしている

シャドーITの例：
- IT部門の許可を得ずに、業務に使っているデバイスやクラウドサービス
- データ量が大きい業務ファイルを送るため、IT部門の許可を得ずに使っているオンラインストレージサービス
正当化：
- 不正行為を自分に納得させるための、自分勝手な理由付け
- 例えば、「給料が安いのだから、これくらいは許される」
不正のトライアングルの例え：
- 機会は「レジに誰も見ていない時間がある」、動機は「借金に困っている」、正当化は「あとで返せばいい」
- 対策は、どれか1つでも崩すこと（例えば、監視カメラで機会をなくす）

混同しやすいペア

SQLインジェクション／ OSコマンドインジェクション
- SQLインジェクションは、SQL文の一部を入力して、データベースを不正に操作する
- OSコマンドインジェクションは、system関数やexec関数に渡る文字列で、シェルスクリプトを実行させる
サニタイジング／バインド機構
- サニタイジングは、特別な意味を持つ文字を取り除いたり、置き換えたり（エスケープ）する
- バインド機構は、プレースホルダを使ったSQL文（プリペアドステートメント）に入力値を埋め込む
SQLインジェクション／クロスサイトスクリプティング
- SQLインジェクションは、サーバのデータベースが被害を受ける
- クロスサイトスクリプティングは、閲覧者のWebブラウザ上でスクリプトが実行される
フィッシング／スミッシング
- フィッシングは、メールやリダイレクトで偽サイトに誘導する
- スミッシングは、SMSで偽サイトに誘導する
DNSキャッシュポイズニング／ SEOポイズニング
- DNSキャッシュポイズニングは、DNSサーバに偽の情報を覚え込ませる（対策はDNSSECなど）
- SEOポイズニングは、検索結果の上位に悪意のあるサイトを表示させる
オープンリダイレクト／オープンリゾルバ
- オープンリダイレクトは、外部から指定されたURLへリダイレクトする処理（制限がないと脆弱性になる）
- オープンリゾルバは、外部の不特定のクライアントからの再帰的な問合せを許可しているDNSサーバ
DoS攻撃／ DDoS攻撃
- DoS攻撃は、大量のデータなどでサービスを妨害する
- DDoS攻撃は、複数のコンピュータから一斉にDoS攻撃をする
DNSリフレクション攻撃／ DNS amp攻撃
- DNSリフレクション攻撃は、送信元を偽装したDNS問合せで、攻撃対象に大量のDNS応答を送らせる
- DNS amp攻撃は、大きな偽のリソースレコードを覚え込ませて、応答を何十倍、何百倍にも増幅させる
NTP増幅攻撃／ Smurf攻撃
- NTP増幅攻撃は、NTPサーバのmonlist要求を悪用する（UDP 123番）
- Smurf攻撃は、ICMPエコー要求をブロードキャストして、エコー応答を攻撃対象に送らせる
Smurf攻撃／ ICMP Flood攻撃
- Smurf攻撃は、踏み台のネットワークに応答させる（リフレクタ攻撃の一種）
- ICMP Flood攻撃は、ボットなどからICMPエコー要求を直接大量に送り付ける
標的型攻撃／ APT
- 標的型攻撃は、特定の組織や個人を狙う攻撃全般
- APTは、そのうち、カスタマイズした手段で密かに執拗に続ける攻撃
水飲み場型攻撃／ドライブバイダウンロード攻撃
- 水飲み場型攻撃は、標的がよく使うサイトに罠を仕掛け、標的だけを狙う
- ドライブバイダウンロード攻撃は、サイトを閲覧しただけで不正プログラムを送り込む（仕組みの名前）
やり取り型攻撃／ビジネスメール詐欺（BEC）
- やり取り型攻撃は、何度かやりとりして信頼させてから、ウイルス付きメールを送る
- BECは、偽のメールで従業員をだまして送金させる
中間者攻撃／ MITB攻撃
- 中間者攻撃は、通信経路の途中に割り込む
- MITB攻撃は、マルウェアでブラウザの中から通信を監視・改ざんする
ダウングレード攻撃／リプレイ攻撃
- ダウングレード攻撃は、弱い暗号スイートを強制する
- リプレイ攻撃は、盗聴した認証情報をそのまま使い回す
クリックジャッキング／クリプトジャッキング
- クリックジャッキングは、透明なページを重ねて、だましてクリックさせる（対策はX-Frame-Options）
- クリプトジャッキングは、PCのCPUを勝手に暗号資産のマイニングに使う
OP25B ／送信ドメイン認証（SPF、DKIM）
- OP25Bは、ISPのメールサーバを通らない25番ポートへの通信を遮断する
- SPFは送信元IPアドレス、DKIMはデジタル署名で、なりすましを検知する
SPF ／ DKIM
- SPFは、送信元IPアドレスを基に検知する
- DKIMは、デジタル署名を使って検知する
ソーシャルエンジニアリング／ダンプスターダイビング
- ソーシャルエンジニアリングは、盗み聞き、盗み見、話術などの非電子的な手口の総称
- ダンプスターダイビング（スキャベンジング）は、そのうち、ごみ箱を漁る手口
サイドチャネル攻撃／テンペスト技術
- サイドチャネル攻撃は、処理時間、消費電流、電磁波、エラーメッセージなどから機密情報を得る（タイミング攻撃など）
- テンペスト技術は、ディスプレイやケーブルから漏れる電磁波を傍受する（対策はシールド）
Adversarial Examples攻撃／ RLTrap
- Adversarial Examples攻撃は、画像にノイズを加えてAIを誤認識させる
- RLTrapは、RLO制御文字でファイル名を偽装する
ペネトレーションテスト／カオスエンジニアリング
- ペネトレーションテストは、実際に侵入を試みて脆弱性を検証する
- カオスエンジニアリングは、本番環境などで意図的に障害を起こし、耐障害性と運用の信頼性を高める
デジタルフォレンジックス／耐タンパ性
- デジタルフォレンジックスは、犯罪の証拠となるデータを保全、収集、分析する
- 耐タンパ性は、外部から解析・改変されるのを防ぐ能力
クリアデスク／クリアスクリーン
- クリアデスクは、机の上に書類を放置しない
- クリアスクリーンは、PCの画面をのぞき見・操作できる状態で離席しない
アンチパスバック／インターロックゲート／ TPMOR
- アンチパスバックは、入退室の記録の整合性で、共連れなどを防ぐ
- インターロックゲートは、二重扉で1人ずつしか通れなくして、共連れを防ぐ
- TPMORは、最初の入室と最後の退室を2人同時にし、中に最低2人いる状態にする
シャドーIT ／不正のトライアングル
- シャドーITは、IT部門の許可なく使われているIT機器やサービス
- 不正のトライアングルは、機会、動機、正当化の3つがそろうと不正が起きるという理論

← 08 セキュリティの目次に戻る