令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問3
テクノロジ／セキュリティエクスプロイトコードの説明はどれか。
出典：令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問3
- ア攻撃コードとも呼ばれ，ソフトウェアの脆弱性を悪用するコードのことであり，使い方によっては脆弱性の検証に役立つこともある。
- イマルウェア定義ファイルとも呼ばれ，マルウェアを特定するための特徴的なコードのことであり，マルウェア対策ソフトによるマルウェアの検知に用いられる。
- ウメッセージとシークレットデータから計算されるハッシュコードのことであり，メッセージの改ざん検知に用いられる。
- エログインのたびに変化する認証コードのことであり，窃取されても再利用できないので不正アクセスを防ぐ。
正解：ア
解説
エクスプロイトコード（攻撃コード）とは，ソフトウェアに存在する脆弱性を実際に悪用して，権限の奪取や不正な処理の実行などを引き起こすために作られたコードのことです。攻撃者が悪用するために使われる一方で，セキュリティ研究者やペネトレーションテスト実施者が，脆弱性の影響範囲や深刻度を検証するために利用することもあります。
選択肢ごとの解説
- ア正しい。攻撃コードとも呼ばれ，ソフトウェアの脆弱性を悪用するコードのことであり，使い方によっては脆弱性の検証に役立つこともあるというのが，エクスプロイトコードの説明です。
- イ誤り。マルウェアを特定するための特徴的なコード（マルウェア定義ファイル）は，マルウェア対策ソフトが用いるシグネチャの説明であり，エクスプロイトコードの説明ではありません。
- ウ誤り。メッセージとシークレットデータから計算されるハッシュコードは，メッセージ認証コード（MAC）の説明であり，エクスプロイトコードの説明ではありません。
- エ誤り。ログインのたびに変化し再利用できない認証コードは，ワンタイムパスワードの説明であり，エクスプロイトコードの説明ではありません。