サイバー攻撃手法(マルウェア・標的型攻撃・ソーシャルエンジニアリング)

本章では、情報セキュリティマネジメント試験(SG)の科目A・科目B双方で最頻出のサイバー攻撃手法を体系的に整理する。まずマルウェア(悪意のあるソフトウェアの総称)の分類である。経済産業省「コンピュータウイルス対策基準」は、ウイルスを第三者のプログラムやデータベースに対して意図的に何らかの被害を及ぼすように作られたプログラムであって、自己伝染機能・潜伏機能・発病機能のいずれか一つ以上を有するものと定義しており、この三機能の名称は選択肢の言い換えとして出題実績がある。狭義のウイルスが他のプログラムに寄生して増殖するのに対し、ワームは宿主を必要とせず単独で自己増殖しネットワーク経由で拡散する。トロイの木馬は有用なソフトウェアを装って利用者自身に実行させるが、自己増殖機能を持たない。この三者の増殖形態の違いは、SG試験で繰り返し問われる基本論点である。

近年の出題の中心はランサムウェアである。ランサムウェアは感染端末や共有フォルダのファイルを暗号化し、復号と引換えに金銭(身代金)を要求するマルウェアで、暗号化に加えて窃取したデータの公開で脅す二重恐喝(ダブルエクストーション)型が主流となっている。IPA「情報セキュリティ10大脅威」の組織編で長年上位を占め、公式シラバスにも明記された重要用語である。このほか、利用者の情報を収集して外部へ送信するスパイウェア、キー入力を記録するキーロガー、攻撃者がC&C(コマンド&コントロール)サーバから遠隔操作するボットとその集合体であるボットネット、侵入の痕跡を隠蔽するルートキット、正規の認証を迂回する侵入口を残すバックドア、実行ファイルをディスクに残さずメモリ上やOS標準ツールで動作するファイルレスマルウェアが問われる。それぞれ「何をするマルウェアか」を一言で説明できるようにしておくことが肝要である。

標的型攻撃は、不特定多数を狙うばらまき型と異なり、特定の組織・個人を狙って長期間執拗に行われる攻撃であり、特に高度で持続的なものはAPT(Advanced Persistent Threat)と呼ばれる。典型的な侵入口は標的型攻撃メールで、業務に関係がありそうな件名・本文を用い、実在の取引先や官公庁の名をかたって添付ファイルの開封やリンクのクリックを誘う。何度かの自然なメール往復で警戒を解いてから攻撃するやり取り型、標的組織の利用者が頻繁に閲覧するWebサイトを改ざんして待ち伏せる水飲み場型攻撃もシラバス掲載用語である。攻撃の進行は偵察・武器化・配送・攻撃・インストール・遠隔制御(C&C)・目的実行の7段階で示すサイバーキルチェーンで整理され、どの段階で断ち切るかという観点から、入口対策・内部対策・出口対策を組み合わせる多層防御の考え方が科目Bの事例問題でも問われる。

ソーシャルエンジニアリングとは、技術的手段によらず、人の心理的な隙や行動のミスにつけ込んで秘密情報を入手する手法の総称である。具体例として、システム管理者や上司になりすまして電話でパスワードを聞き出すなりすまし、入力中の画面や手元を背後からのぞき見るショルダーハッキング、ごみ箱に捨てられた書類や記憶媒体から情報を拾い出すトラッシング(スキャベンジング)、入退室時に正規の従業員の後ろに続いて認証なしで入り込む共連れ(ピギーバック)がある。金融機関等をかたる偽メール・偽サイトで認証情報を入力させるフィッシング、SMSを用いるスミッシング、取引先や経営者になりすまして偽の送金指示を行うビジネスメール詐欺(BEC)も、人をだます点でこの系統に位置付けられる。対策は、クリアデスク・クリアスクリーンの徹底、パスワードを口頭で伝えない運用ルールの整備、従業員教育と訓練である。

認証を破る攻撃も頻出である。ブルートフォース攻撃(総当たり攻撃)は一つの利用者IDに対して考えられるすべてのパスワードを試す攻撃で、逆にパスワードを固定して多数のIDを試すものをリバースブルートフォース攻撃という。辞書攻撃は辞書に載っている単語やよく使われる文字列を優先して試す。パスワードリスト攻撃(リスト型攻撃)は、他のサイトから漏えいしたIDとパスワードの組をそのまま使い回す攻撃で、利用者のパスワード使い回しが被害を拡大させる点が特徴であり、辞書攻撃との区別が繰り返し出題されている。ハッシュ値から元のパスワードを逆引きするレインボーテーブル攻撃への対策にはソルトの付加が有効である。防御側は、アカウントロック、使い回し禁止の周知、多要素認証、ソルト付きハッシュによる保存を組み合わせる。なおアカウントロックはブルートフォースには有効だが、IDを次々に変えるリバースブルートフォースやパスワードスプレー攻撃には効きにくい点も問われる。

Webアプリケーションやネットワークを狙う攻撃では、入力欄に不正なSQL文の断片を注入してデータベースを不正操作するSQLインジェクション(対策はプレースホルダ=バインド機構)、悪意のあるスクリプトを標的サイト経由で利用者のブラウザに実行させるクロスサイトスクリプティング(XSS、対策は出力時のエスケープ処理)、ログイン中の利用者に意図しないリクエストを送信させるクロスサイトリクエストフォージェリ(CSRF)、パス名を操作して非公開ファイルにアクセスするディレクトリトラバーサルが代表例である。改ざんされたWebサイトを閲覧しただけで感染させるドライブバイダウンロード、通信経路上で盗聴・改ざんする中間者(MITM)攻撃、DNSの応答を偽装して偽サイトへ誘導するDNSキャッシュポイズニング、大量の通信でサービスを停止させるDoS攻撃と多数の踏み台から行うDDoS攻撃、修正プログラム提供前の脆弱性を突くゼロデイ攻撃も、名称と手口の対応を問う形で出題される。

攻撃行為を規律する法制度も科目Aの定番である。不正アクセス行為の禁止等に関する法律(不正アクセス禁止法)は、他人の識別符号(ID・パスワード等)を無断で入力する行為や、セキュリティホールを突いてアクセス制御機能を回避する行為を不正アクセス行為として禁止し(第2条第4項・第3条)、さらに他人の識別符号の不正取得(第4条)、無断で第三者に提供する不正助長行為(第5条)、不正取得した識別符号の保管(第6条)、識別符号の入力を不正に要求するフィッシング行為(第7条)まで処罰対象を広げている。マルウェアの作成・提供・供用は刑法第168条の2(不正指令電磁的記録に関する罪、いわゆるウイルス作成罪)、取得・保管は第168条の3で処罰され、DoS攻撃等でシステムを停止させれば電子計算機損壊等業務妨害罪(刑法第234条の2)に問われ得る。「どの行為がどの法律に当たるか」の対応付けが法規分野の得点に直結する。