問題
情報システムに対するセキュリティ攻撃は、クライアント PC を標的にしたものとサーバコンピュータを標的にしたものがある。セキュリティ攻撃に関する記述として最も適切なものはどれか。
選択肢
- 1ガンブラーは詐取した ID やパスワードを使って信用のあるウェブサイトを書き換え、ここにアクセスしたユーザのクライアント PC を、このウェブサイトでウィルスに感染させる。
- 2クロスサイトスクリプティングは、不正なスクリプトを埋め込んだウェブページにアクセスしたクライアント PC が、動的に生成される標的ウェブページにアクセスしたときに、その PC の Cookie を詐取することがある。
- 3バッファオーバーフローは、偽装したウェブページにアクセスしたクライアント PC に、多量のデータを送りつけ、バッファ溢れを生じさせて管理者権限を奪取するものである。
- 4ワンクリック詐欺は、だますことを目的にしたウェブページにアクセスしたクライアント PC に不正に侵入し、記録されている重要情報を流出させて、それで詐欺を行うものである。
正解
2. クロスサイトスクリプティングは、不正なスクリプトを埋め込んだウェブページにアクセスしたクライアント PC が、動的に生成される標的ウェブページにアクセスしたときに、その PC の Cookie を詐取することがある。
詳しい解説を見る解説を閉じる
解説
クロスサイトスクリプティング（XSS）は、攻撃者が掲示板やフォーム等に不正なスクリプトを埋め込み、被害者のブラウザでスクリプトを実行させる攻撃。これによりセッションクッキー（Cookie）や認証情報を窃取し、なりすましや情報漏洩が可能になる。よってイが正解。ア：ガンブラー攻撃はサイト管理者の FTP アカウント等を窃取して正規サイトを改ざんし、訪問者を別の悪性サイトに誘導してマルウェア感染させる攻撃で、「このウェブサイトでウィルスに感染させる」よりも「リダイレクト経由で別の悪性サイト経由で感染させる」のがガンブラーの典型である。ウ：バッファオーバーフローは主にサーバ側プログラムの境界チェック不備を突いて、多量データの送信でメモリ領域を破壊し権限を奪取する攻撃で、クライアントPCに多量データを送りつけるという説明は誤り。エ：ワンクリック詐欺は実害（不正侵入や情報窃取）が伴わず、利用者を心理的に脅して支払いを迫る詐欺手法であり、不正侵入や情報流出は通常起こらない。（出典: 一般社団法人 中小企業診断協会 平成23年度 中小企業診断士1次試験 経営情報システム 第22問）
中小企業診断士トップ
一問一答・予想問題・まとめノート