脅威と攻撃手法

攻撃手法は名前が多く、丸暗記しようとすると必ず混乱します。試験で問われるのは「何を狙った攻撃か」「人をだますのか、仕組みの弱点を突くのか」という分類です。先に分類の軸を持ってから個々の名前を覚えてください。

情報セキュリティの3要素

情報セキュリティは、次の3つを守ることだと定義されています。頭文字をとってCIAと呼ばれます。

この3つに、真正性・責任追跡性・否認防止・信頼性の4つを加えて7要素と呼ぶこともあります。試験では、事例を示して「主に何が損なわれたか」を答えさせる形が定番です。情報漏えいなら機密性、改ざんなら完全性、サービス停止なら可用性と対応させてください。バックアップの取得は可用性を守る対策であって機密性の対策ではない、といった引っかけも出ます。

脅威・脆弱性・リスクの関係

用語の関係を取り違える問題が頻出します。守るべき対象が情報資産、それを脅かす原因が脅威、こちら側の弱点が脆弱性、そして被害が起きる可能性がリスクです。脆弱性がなければ脅威があっても被害にはつながりにくい、という関係で覚えると混同しません。

• 脅威は外側からやってくる原因（攻撃者、マルウェア、地震）
• 脆弱性は自分側にある弱点（修正プログラム未適用、鍵のかからない書庫）
• リスクは、その組み合わせで損害が生じる可能性

「ソフトウェアの修正プログラムを当てていない状態」を脅威と書いた選択肢は誤りです。これは脆弱性です。

人的脅威と技術的脅威

脅威は原因によって3つに分けられます。この区別そのものが出題されます。

ソーシャルエンジニアリングは技術的脅威ではなく人的脅威です。 これは特に狙われます。電話で担当者になりすましてパスワードを聞き出す、肩越しに画面をのぞき見る（ショルダーハッキング）、ごみ箱の書類をあさる（スキャベンジング、トラッシング）などがこれにあたり、いずれも技術ではなく人の心理や不注意につけ込む手口です。したがって対策も、ウイルス対策ソフトではなく教育や運用ルールになります。

代表的な攻撃手法

引っかけの典型は次のとおりです。DoS攻撃を「情報を盗む攻撃」と書いた選択肢は誤りで、狙いは可用性です。SQLインジェクションとクロスサイトスクリプティングは、被害を受けるのがサーバ側のデータベースか、閲覧者のブラウザかで区別します。ゼロデイ攻撃は「修正プログラムが公開されていない期間を突く」ものなので、「修正プログラムを適用すれば必ず防げる」という説明は誤りです。標的型攻撃は不特定多数への無差別攻撃ではなく、特定の相手を調べ上げて仕掛ける点が定義の核心になります。