平成29年度春期 ITパスポート試験問81

テクノロジ／セキュリティ

Web サーバの認証において，同じ利用者 ID に対してパスワードの誤りがあらかじめ定められた回数連続して発生した場合に，その利用者 ID を自動的に一定期間利用停止にするセキュリティ対策を行った。この対策によって，最も防御の効果が期待できる攻撃はどれか。

出典：平成29年度春期 ITパスポート試験問81

正解：エ

解説

同じ利用者 ID に対してパスワードを何度も変えて試行する攻撃では，一定回数の失敗でアカウントを停止（ロックアウト）すると，それ以上の試行ができなくなります。この攻撃は，可能な組合せを総当たりで試すブルートフォース攻撃（総当たり攻撃）です。

下線の用語は用語集で意味を確認できます。

ア誤り。ゼロデイ攻撃は，修正プログラムが出る前の脆弱性を突く攻撃で，ロックアウトでは防げません。
イ誤り。パスワードリスト攻撃は，他サイトから流出した ID とパスワードの組を使う攻撃で，一つの ID に何度も失敗するわけではないので，ロックアウトでは防ぎにくいです。
ウ誤り。バッファオーバフロー攻撃は，ソフトウェアの脆弱性を突く攻撃で，ロックアウトでは防げません。
エ正しい。同じ ID に何度もパスワードを試すブルートフォース攻撃に対し，ロックアウトは効果的です。