ゼロデイ攻撃の説明として、最も適切なものはどれか。
正解：イ
ア修正プログラムが既に公開されている弱点を、更新していない端末を狙って突く。
誤り。これは既知の弱点を狙う攻撃です。攻撃を受ける原因が弱点であることは 同じですが、こちらは直す手段が既にあるのに当てていない状態が問題であり、 ゼロデイ攻撃は当てたくても修正がまだ存在しない点が違います。
イ弱点が見つかってから修正プログラムが提供されるまでの間に、その弱点を突く。
正解。修正が用意されていない期間を狙うため、利用者が更新を怠っていなくても 被害を受け得ます。開発元と攻撃者の時間の競争になる、という点が特徴です。
ウあらかじめ仕込んだプログラムが、決められた日時になると動いて被害を起こす。
誤り。これは論理爆弾と呼ばれる仕掛けです。「ゼロデイ」の「デイ（日）」から 発動日を決める攻撃だと誤解されがちですが、ゼロデイが指すのは発動する日付では なく、対策が間に合っていない期間のことです。
エ取引先や委託先など守りの手薄な組織を先に侵入し、そこを経由して本命を狙う。
誤り。これはサプライチェーン攻撃です。正面から入りにくい相手に対し、 入口を変える発想の攻撃で、狙われるのは弱い組織という「関係」です。 ゼロデイ攻撃が突くのは、ソフトウェアそのものに残る弱点です。
「まだ薬がない病気」に近い
ソフトウェアに弱点（セキュリティホール）が見つかっても、開発元がそれを確かめ、 修正プログラムを作り、利用者へ配るまでには時間がかかります。その空白の期間に 弱点を突くのがゼロデイ攻撃です。病気は判明したのに治療薬がまだ出回っていない、 という状況にあたります。
なぜ厄介なのか
- 利用者側の基本である「常に最新の状態にしておく」が効きません。当てるべき 修正がまだ存在しないためです
- 弱点の存在自体が公表されていないこともあり、被害に遭っていることに気づく 手掛かりが乏しくなります
- 修正が公開された後も危険が消えるわけではありません。公開をきっかけに弱点の 中身が広く知られ、今度は更新していない端末が既知の弱点として狙われます
つまり弱点は、「修正が出るまで」と「修正が出た後」で狙われ方が変わります。 ゼロデイ攻撃が指すのは前半の期間です。
混同しやすいものとの違い
| 用語 | 突くもの |
|---|---|
| ゼロデイ攻撃 | 修正がまだ提供されていない期間の弱点 |
| 既知の弱点を狙う攻撃 | 修正は出ているが適用されていない端末 |
| 論理爆弾 | 仕込んだ条件（日時など）で動き出す仕掛け |
| サプライチェーン攻撃 | 取引先や委託先を経由するという関係の弱さ |
試験では「修正プログラムが提供される前」「対策が公表される前」という言い回しが 出てきたらゼロデイ攻撃です。日付を決めて発動する攻撃ではない、という点を 押さえておくと取り違えません。