令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
テクノロジ／セキュリティ標的型攻撃における攻撃者の行動をモデル化したものの一つにサイバーキルチェーンがあり，攻撃者の行動を 7 段階に分類している。標的とした会社に対する攻撃者の行動のうち，偵察の段階に分類されるものはどれか。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
- ア攻撃者が，インターネットに公開されていない社内ポータルサイトから，会社の組織図，従業員情報，メールアドレスなどを入手する。
- イ攻撃者が，会社の役員が登録している SNS サイトから，攻撃対象の人間関係，趣味などを推定する。
- ウ攻撃者が，取引先になりすまして，標的とした会社にマルウェアを添付した攻撃メールを送付する。
- エ攻撃者が，ボットに感染した PC を遠隔操作して社内ネットワーク上の PC を次々にマルウェア感染させて，利用者 ID とパスワードを入手する。
正解：イ
解説
サイバーキルチェーンにおける「偵察（Reconnaissance）」の段階は，攻撃者が標的に関する情報を外部から収集する段階です。役員の SNS の公開情報から人間関係や趣味などを推定する行為は，一般公開されている情報源から標的の情報を集める偵察活動に該当します。一方，非公開の社内情報を直接入手する行為や，マルウェア送付・侵入拡大は，偵察よりも後の段階（武器化，配送，侵入拡大など）に分類されます。
選択肢ごとの解説
- ア誤り。インターネットに公開されていない社内ポータルサイトから情報を入手する行為は，既に社内システムへの侵入に成功した後の内部情報収集であり，偵察段階ではなく侵入拡大などの後段の行動です。
- イ正しい。SNS など一般に公開されている情報源から攻撃対象の人間関係や趣味などを推定する行為は，外部からの情報収集である偵察の段階に分類されます。
- ウ誤り。取引先になりすましてマルウェアを添付した攻撃メールを送付する行為は，武器化した攻撃を配送する段階（デリバリ）に分類されます。
- エ誤り。ボット感染 PC を遠隔操作して社内の PC に次々マルウェア感染させ ID とパスワードを入手する行為は，侵入後の内部での拡散・情報搾取の段階に分類されます。