情報セキュリティの脅威

問題

1. ソーシャルエンジニアリングA社では、システム部門を名乗る人物から社員に電話があり、障害調査を理由にIDとパスワードを尋ねられた。ほかにも、入力中…
2. ボット社内のPCがマルウェアに感染し、利用者が操作していない間に外部の特定のサーバへ接続して指示を受け取り、他社のWebサイ…
3. シャドーIT企業が抱える情報セキュリティ上の弱点の一つに、シャドーITがある。シャドーITに該当する事例として、最も適切なものはど…
4. 不正のトライアングル（1）A社では、顧客情報を扱うシステムの操作履歴が記録されておらず、誰がいつデータを持ち出したのかを後から確かめられない状態…
5. パスワードリスト攻撃あるWebサービスで、十分に長く複雑なパスワードを設定していた複数の利用者が、正しいIDとパスワードでログインされる不…
6. クロスサイトスクリプティング会員が投稿した文章を、内容を確かめないまま他の会員のページにそのまま表示してしまうWebサイトがある。この不備を突かれ…
7. MITB（Man-in-the-browser）攻撃インターネットバンキングで振込をしたところ、接続先は正規のサイトで、画面にも自分が入力したとおりの振込先と金額が表示さ…
8. DDoS攻撃DDoS攻撃の説明として、最も適切なものはどれか。
9. ディープフェイク経理担当者のもとに、取引先の役員を名乗る人物から至急の送金を求める電話があった。声は本人そっくりだったが、実際にはAI…
10. ゼロデイ攻撃ゼロデイ攻撃の説明として、最も適切なものはどれか。
11. 内部不正B社の営業担当者は、業務のために顧客データベースの参照権限を与えられている。この担当者が退職の直前に、自分のIDでデー…
12. ビジネスメール詐欺C社の経理担当者あてに、取引先の担当者名で「振込先の銀行口座を変更した」というメールが届いた。文面は進行中の取引の内容…
13. 盗聴暗号化されていない公衆無線LANを使って業務メールを送受信したときに、盗聴によって生じる被害の説明として、最も適切なも…
14. SNSの悪用（1）D社の社員が、社内で撮影した休憩時間の写真を個人のSNSに投稿したところ、背景のホワイトボードに書かれた未発表の新製品…
15. セキュリティホールE社が業務で使っているソフトウェアについて、提供元から修正プログラム（セキュリティパッチ）が公開された。この修正プログ…
16. ファイルレスマルウェアファイルレスマルウェアが、端末内のファイルを既知のマルウェアの特徴と照合する従来型のマルウェア対策ソフトでは検知されに…
17. トロイの木馬無料の動画変換ソフトとして配布されていたプログラムを社員が自分で導入した。宣伝どおりの変換機能は動作するが、裏では利用…
18. バックドアサーバへの侵入に成功した攻撃者が、利用された脆弱性が修正された後も同じサーバへ入り込めるようにするために仕掛けるものは…
19. 不正のトライアングル（2）社員による顧客データの持ち出しが発覚し、原因を不正のトライアングルで整理した。3要素のうち「正当化」に当たるのはどれか…
20. リークサイトランサムウェアの攻撃者が、データを暗号化する前に社内から持ち出し、身代金を支払わなければ公開すると脅してきた。このとき…
21. 標的型攻撃A社の調達部門の担当者3名にだけ、進行中の案件名を件名に用い、取引先の実在する担当者名をかたったメールが届いた。添付さ…
22. 第三者中継A社のメールサーバは、社外の第三者から依頼された宛先へのメールも制限なく受け付けて配送する設定になっていた。これが悪用…
23. SQLインジェクション会員制Webサイトの検索欄に細工した文字列を入力されたところ、その文字列がデータベースへの問合せ文の一部として実行され…
24. ドライブバイダウンロード社員が業務でいつも見ている企業のWebサイトを開いたところ、ファイルの入手やインストールの操作は一切していないのに、P…
25. 脆弱性情報セキュリティでは、脅威・脆弱性・リスクを区別して扱う。このうち脆弱性の説明として、最も適切なものはどれか。
26. DoS攻撃攻撃者から「指定した日時に貴社のWebサイトを攻撃する」という予告が届き、DoS攻撃への備えを検討することになった。D…
27. DDoS攻撃の踏み台社内には、インターネットに接続したネットワークカメラやルータが多数ある。これらがDDoS攻撃の踏み台として悪用されるこ…
28. 総当たり攻撃（ブルートフォース攻撃）（1）あるWebサービスで、同じ利用者IDのログインが続けて一定回数失敗したら、そのIDを一時的に使えなくする仕組みを導入し…
29. AIを悪用した攻撃以前は日本語の不自然さで気付けたフィッシングメールが、近年は自然な文面で届くようになった。生成AIの悪用がフィッシング…
30. プロンプトインジェクション社内の問合せ対応に生成AIのチャットボットを導入した。利用者が入力する質問文に細工をして、開発者があらかじめ与えた指示…
31. 不正アクセス情報セキュリティの脅威のうち、不正アクセスにあたる行為として、最も適切なものはどれか。
32. なりすまし取引先の担当者の氏名とメールアドレスが差出人欄に表示されたメールが届いたが、本人は送信していなかった。このようなメール…
33. 改ざんある企業が公開しているWebサイトに関して発生した事象のうち、改ざんにあたるものとして、最も適切なものはどれか。
34. 迷惑メール迷惑メール（スパム）の説明として、最も適切なものはどれか。
35. SNSの悪用（2）ある従業員が、勤務先と所属部署、上司の氏名、出張の予定を、誰でも閲覧できる設定で個人のSNSに投稿している。攻撃者がこ…
36. ランサムウェア金銭を要求する攻撃の手口にはいくつかの種類がある。このうち、ランサムウェアによる被害の説明として最も適切なものはどれか。
37. キーロガーキーロガーに感染したPCで、通信がHTTPSで暗号化された正規のWebサイトにログインしたところ、後日パスワードが第三…
38. スパイウェアある社員のPCは普段どおりに動いており、本人も異常を感じていなかった。しかし調査の結果、Webの閲覧履歴やPC内の個人…
39. C&Cサーバ攻撃者は、目的に応じてインターネット上にさまざまなサーバやWebサイトを用意する。このうち、C&Cサーバの役割として最…
40. 中間者攻撃利用者がWebサイトと通信しているときに、中間者（Man-in-the-middle）攻撃を仕掛けられた。このとき攻撃…
41. フィッシング利用している銀行を名乗るメールが届き、「口座を一時停止しました。下のリンクから本人確認をしてください」と書かれていた。…
42. 総当たり攻撃（ブルートフォース攻撃）（2）あるサービスが、パスワードの条件を「数字4桁」から「英字・数字・記号を混ぜた12文字以上」に変更した。この変更が総当た…
43. マルウェアの亜種生成AIを悪用し、既存のマルウェアのプログラムを少しずつ書き換えた亜種（バリアント）が、短時間に大量に作られるようにな…
44. フットプリンティング攻撃者は侵入を試みる前に、標的とする組織の公開Webサイトや検索で得られる情報から、使われているドメイン名やサーバ、社…
45. バッファオーバーフローあるサーバのプログラムが、外部から送られたデータを受け取った直後に異常終了し、データに紛れ込んでいた攻撃者の命令が実行…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

脅威と脆弱性

• 脅威の種類10問
• マルウェア・不正プログラム8問
• 脆弱性3問
• 不正の動機・メカニズム3問

攻撃手法

• 資格情報・セッション管理の不備を狙った攻撃3問
• アプリケーションの不備を狙った攻撃4問
• 信頼を悪用した攻撃5問
• サービスの妨害を狙った攻撃3問
• AIを悪用した攻撃3問
• その他・特殊・高度な攻撃3問