平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4
テクノロジ／セキュリティエクスプロイトコードの説明はどれか。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4
- ア攻撃コードとも呼ばれ，脆弱性を悪用するソフトウェアのコードのことであるが，使い方によっては脆弱性の検証に役立つこともある。
- イマルウェアのプログラムを解析して得られる，マルウェアを特定するための特徴的なコードのことであり，マルウェア対策ソフトの定義ファイルとしてマルウェアの検知に用いられる。
- ウメッセージとシークレットデータから計算されるハッシュコードのことであり，メッセージの改ざんの検知に用いられる。
- エログインの度に変化する認証コードのことであり，窃取されても再利用できないので不正アクセスを防ぐ。
正解：ア
解説
エクスプロイトコード（攻撃コード）とは，ソフトウェアやシステムに存在する脆弱性を実際に悪用して，不正な操作の実行や権限の奪取などを行うためのプログラムやスクリプトのことです。攻撃者が悪用すれば不正アクセスの手段となりますが，脆弱性診断の担当者やセキュリティ研究者が，公開されている脆弱性が実際に悪用可能かどうかを検証する目的で利用することもあります。
選択肢ごとの解説
- ア正しい。攻撃コードとも呼ばれ，脆弱性を悪用するソフトウェアのコードであり，使い方によっては脆弱性の検証に役立つこともあるのが，エクスプロイトコードです。
- イ誤り。マルウェアを解析して得られる，マルウェアを特定するための特徴的なコード（シグネチャ）は，マルウェア対策ソフトの定義ファイルに用いられるものであり，エクスプロイトコードの説明ではありません。
- ウ誤り。メッセージとシークレットデータから計算されるハッシュコードで改ざんを検知する仕組みは，メッセージ認証符号（MAC）の説明であり，エクスプロイトコードの説明ではありません。
- エ誤り。ログインの度に変化し，窃取されても再利用できない認証コードは，ワンタイムパスワードの説明であり，エクスプロイトコードの説明ではありません。