情報処理安全確保支援士試験 令和4年度 秋期 午前II 問6

【正解】ウ

パスワードスプレー攻撃は、攻撃者が「Password123」などのよく使われる少数のパスワードを、多数の利用者IDに対して試す攻撃です。一つのIDに対する試行回数を抑え、時間帯や攻撃元IPアドレスも分散させることで、一定回数の認証失敗によるアカウントロックや監視システムによる検知を回避しようとします。したがって、複数の利用者IDに共通のパスワードを試すウが正解です。

アの一つの利用者IDに辞書や人名リストの単語を順次試す方法は誤りです。これは、推測されやすい文字列を候補として使う辞書攻撃の説明です。

イの一つの利用者IDに全てのパスワード候補を試す方法は誤りです。これは、文字の組合せを網羅的に試すブルートフォース攻撃、すなわち総当たり攻撃の説明です。

エの他サイトから取得した利用者IDとパスワードの組を流用する方法は誤りです。これは、パスワードを使い回す利用者を狙ったパスワードリスト攻撃、又はクレデンシャルスタッフィングの説明です。

【ポイント】 パスワードスプレー攻撃は、「一つのIDに多数のパスワード」ではなく、「多数のIDに少数の定番パスワード」を試します。 対策には、多要素認証、弱いパスワードの禁止、送信元や組織全体を横断した認証失敗の監視が有効です。 アカウント単位のロックだけでは、分散した試行を十分に検知できない場合があります。