IPA サイバー攻撃手法 — 頻出論点と過去問

頻出論点

1. この分野は何か

攻撃者がどのような手順で標的に近づき、どのような仕掛けでサービスを止めたり情報を盗んだりするのかを、攻撃ごとの手口と固有の対策とともに扱います。大量の通信でサービスを妨害するDoS/DDoS攻撃や脆弱性を突く攻撃と、特定の組織を長期間ねらう標的型攻撃とでは、着目すべき仕組みや対策が異なります。

2. 実際の出題のされ方

代表的な攻撃手口の名称と基本的な対策は、ITパスポートで問われます。複数の手法で長期間継続的に狙うAPT攻撃、修正プログラム提供前のゼロデイ攻撃、複数の端末から一斉に通信を送るDDoS攻撃、非技術的なソーシャルエンジニアリング（ショルダーハッキングやトラッシング、廃棄時の記憶装置の物理破壊による対策）、セキュリティパッチの適用が最も有効なバッファオーバーフローが出題されています。また、ネットワークカメラの初期パスワード変更による不正侵入対策、匿名性の高いダークウェブ、サイバーキルチェーンの概要も問われています。

攻撃の段階モデルや事前調査、AIを悪用した手口は、応用情報技術者の午前と高度試験の午前Iで出題されます。サイバーキルチェーンの7段階における偵察（SNS上の経歴や肩書から関連組織・人物を洗い出す行為）やエクスプロイト（OSの脆弱性を悪用して攻撃ツールを実行させる行為）の判別、攻撃前の事前調査であるフットプリンティング、攻撃および検証に用いられるエクスプロイトコードの定義、ディープラーニング等で加工したCEOの音声で送金を指示するディープフェイク攻撃が出題されています。

反射・増幅を伴うサービス妨害攻撃の仕組みやパケット観測からの推定、AIモデル自体への攻撃は、高度試験の午前IIで詳しく問われます。ICMPエコー要求をブロードキャストアドレス宛てに送るSmurf攻撃、オープンリゾルバやNTP・Memcachedを踏み台にするDRDoS（分散反射型DoS）攻撃とNTPサーバのmonlist無効化、複数手法を同時に仕掛けるマルチベクトル型DDoS攻撃、CDNによるDDoS緩和、未使用IPアドレス宛てのSYN/ACKパケット大量観測からの被害推定が出題されています。また、MITB攻撃に対するトランザクション署名、IoT機器のTCP 23番ポート（Telnet）が狙われる理由、クリプトジャッキング、AIに対するAdversarial Examples攻撃とモデルインバージョン攻撃の識別も問われています。

3. 学習のポイント

第一に、DoS/DDoS攻撃のメカニズムと踏み台対策を整理します。DRDoS（リフレクション／アンプ）攻撃では、攻撃者が送信元IPアドレスを標的のIPアドレスに偽装し、要求より応答サイズが大きくなるUDPベースのサービス（DNS、NTP、Memcachedなど）へ多数のリクエストを送ります。特にNTPリフレクション攻撃では状態確認機能（monlist）が悪用されるため、NTPサーバ側でmonlistを無効化することが踏み台防止策になります。また、送信元を偽ったSYNフラッド攻撃を受けたサーバは、偽の送信元へSYN/ACKを返します。偽の送信元に使われた未使用のアドレス空間を観測すると、こうした応答（バックスキャッタ）が届くため、その送信元のサーバが攻撃を受けている側だと推定できます。

第二に、標的型攻撃の段階モデルと不正送金対策を押さえます。サイバーキルチェーンは偵察→武器化→配送→エクスプロイト（攻撃）→インストール→遠隔操作（C2）→目的の実行の7段階で構成され、公開情報やSNSを調べるのが偵察、ファイルにマルウェアを仕込むのが武器化、メール送付が配送、脆弱性を突いて実行させるのがエクスプロイトです。また、インターネットバンキングでブラウザを乗っ取りログイン後の送金先や金額を裏で書き換えるMITB攻撃には、別デバイスに振込先口座番号などの取引情報を入力して署名値を生成・検証するトランザクション署名が有効です。

第三に、新しい攻撃手法の定義を正確に切り分けます。他人のPCのリソースで暗号資産のマイニングを行うクリプトジャッキング、画像に人間が知覚できない微小なノイズを加えてAIに誤認識させるAdversarial Examples（敵対的サンプル）攻撃、AIモデルに入出力を繰り返して学習に使われた元のデータを推測するモデルインバージョン攻撃、入出力の観察から同等の模倣モデルを作るモデル抽出攻撃、学習データに悪意あるデータを混ぜるデータポイズニング攻撃を区別できるようにしておきます。

4. 間違えやすいところ

観測パケットや攻撃方向の読み違いとして、未使用のアドレス空間へ大量のSYN/ACKを送っているサーバを攻撃元とみなす誤答肢があります。また、NTPを踏み台にさせない対策を問う問題では、Smurf攻撃向けの対策（ブロードキャストアドレス宛ての通信の遮断）が誤答肢に置かれています。NTPで悪用されるのはサーバの状態確認機能であり、効くのはmonlistの無効化です。

さらに、MITB攻撃の対策として、EV SSL証明書やTLSによる暗号化、ログイン時のワンタイムパスワードを選ばせる誤答肢もあります。MITB攻撃は正規サイトへログインした後のブラウザ内部（TLSで通信が暗号化される前）で取引内容を改ざんするため、フィッシング対策やログイン認証強化では防げません。このほか、クリプトジャッキングをランサムウェア（制限解除と引き換えに暗号資産を要求）やビジネスメール詐欺と混同させる選択肢、インターネットに公開されていない社内ポータルサイトから情報を取得する行為をサイバーキルチェーンの偵察段階とする選択肢にも注意してください。