令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティパスワードスプレー攻撃に該当するものはどれか。
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6
- ア攻撃対象とする利用者 ID を一つ定め，辞書及び人名リストに掲載されている単語及び人名並びにそれらの組合せを順にパスワードとして入力して，ログインを試行する。
- イ攻撃対象とする利用者 ID を一つ定め，パスワードを総当たりして，ログインを試行する。
- ウ攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログインを試行する。
- エ不正に取得したある他のサイトの利用者 ID とパスワードとの組みの一覧表を用いて，ログインを試行する。
正解：ウ
解説
パスワードスプレー攻撃は，アカウントロックのしきい値を回避するために，一つの利用者 ID に対して多数のパスワードを試すのではなく，よく使われる少数のパスワードを多数の利用者 ID に対して低頻度で試行する攻撃です。攻撃元 IP アドレスや時刻を変えることで検知や防御をすり抜けようとする点も特徴です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。特定の利用者 ID に対して辞書やリストの語句を順に試すのは辞書攻撃の説明です。
- イ誤り。特定の利用者 ID に対してパスワードを総当たりするのはブルートフォース攻撃の説明です。
- ウ正しい。攻撃元やタイミングを変え，アカウントロックを回避しながら，よく使われるパスワードを複数の利用者 ID に試すのがパスワードスプレー攻撃です。
- エ誤り。他サイトから漏えいした ID とパスワードの組みを利用するのはパスワードリスト攻撃の説明です。