サイバー攻撃とは

サイバー攻撃

YouTube動画

サイバー攻撃! 技術的脅威とマルウェア/ITパスポート・基本情報技術者・高校情報

情報セキュリティの3要素を脅かすリスクのひとつ、技術的脅威について学びましょう!

情報セキュリティの3要素

技術的脅威、セキュリティホールを狙った不正アクセスやコンピューターウィルスによるデータ破壊・盗聴・改ざんについて、ITパスポートによく取り上げられる内容を学びます。

クロスサイトスクリプティング

クロスサイトスクリプティング

ユーザーが悪意あるWebサイトを閲覧したときに、悪意あるスクリプトが効果を発揮し被害にあわせる仕組みのことです。

脅かされる情報セキュリティの要素は、完全性です。

悪意あるWebサイトに入り込んでしまう経路としては、yahoo知恵袋や2ちゃんねる等の掲示板サイトや、迷惑メールなどを経由したURLが大半を占めています。

 

またアンケートサイトなど、ユーザからの入力内容をウェブページに表示するウェブサイトで、きちんとセキュリティ対策がされていない場合は悪意を持ったスクリプト(命令)を埋め込まれてしまい、偽ページの表示などが可能になってしまいます。

 

メールでのフィッシング、スパムも同様の手口に該当します。

クロスサイトスクリプティングの被害の流れ

クロスサイトスクリプティングの例

ユーザが掲示板やメールに貼られた悪意あるWebサイトを閲覧したときに,出力されるWebページに悪意あるスクリプトが埋め込まれており,この時点では効果を発揮せずに標的Webサイトへ転送されてしまいます。

脆弱性のあるWebサイトに飛んでしまうことで、悪意あるスクリプトが効果を発揮し、ユーザーやWebサイトの運営者が被害にあってしまうという仕組みです。

クロスサイトスクリプティングとは、この一連の流れ・トラップへのかかり方のことを指します。

セッションハイジャック

セッションハイジャック

セッションハイジャックとは、セッションをログインID・パスワードを持っている当事者以外が乗っ取る攻撃手法のことです。

セッションについては、キャッシュとクッキーの回で紹介しました。)

乗っ取るとは、他人のセッションIDを予測・盗聴したりして、なりすますことを指します。

 

クロスサイトスクリプティングを利用して、クッキー情報を盗聴し、セッションハイジャックを行うケースも指します。

セッションハイジャックによる具体的な被害は、ECサイトでの不正な購入取引や、気密情報の漏洩、SNSサイトでのなりすまし投稿などが該当します。

ハイジャックされているときは気づかないことが多く、情報セキュリティの3要素のうち、完全性と機密性が脅かされる被害となっています。

DOS攻撃

DOS攻撃

DOS攻撃とは、Denial of Service attack の略で、Denialとは否定という意味です。

具体的にはトラフィックを増やして、負荷に耐えられなくなったサーバやサイトをダウンさせる攻撃のことで、目的はWEBサービスの運用者を困らせるための嫌がらせです。

複数の種類があります。

DDOS攻撃

DDOS攻撃とは、Distributed Denial of Service attack の略です。
distributeは分散するという意味を指し、攻撃元を分散し、複数人で攻撃することを意味しています。

EDOS攻撃

EDOS攻撃とは、Economic Denial oServices attack の略です。
WEBサイト運営者の経済的な面に攻撃を与えるという意味になります。

サーバーのトラフィックごとに料金が発生する際に、課金額を増額させ、WEBサイト運営者に損をさせるものです。

さらに、サーバーをダウンさせ、サービスまで止めてしまうという嫌がらせになります。

SQLインジェクション

SQLインジェクション

SQLとは、Structured English Query Language、データベースから情報を取り出すときに使われる言語です。

ログインが生じるwebサービスでは、IDとパスワードはデータベース上で管理されていますが、SQLインジェクションは、ログイン操作時にSQLの構造・脆弱性を狙って、データベースに対する命令文の改ざんをおこない、意図しない操作を行うことです。

具体的には、データの盗難・改ざんだけでなく、ログイン認証の回避、ファイル操作等も行われます。

コーディングレベルで詳しく知りたい!という人は、「SQLインジェクション 1=1」で検索すると、構造まで知ることができますよ。

マルウェア

マルウェア

マルウェアとは、不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称です。

ウイルス

ウイルスとは、プログラムやソフトウェアに寄生し、コンピューターに入り込んで悪さをするプログラムのことです。

ウイルスにはいろんな種類がありますが、代表的なランサムウェアはITパスポートによく出ます。

ランサムとは身代金のことで、「このウイルスを解除して欲しかったら、お金を払え!」というウイルスの特性を付いた悪意あるソフトウェアになっています。

ウイルス

ワーム

ワームは自己増殖し、ウイルスのようにソフトウェアに寄生せず単独で存在し、情報を盗難したり、端末を遠隔操作するなどの被害をユーザーに与えます。

ワームが侵入してくる主な経路としては、ネットワークを介してIPアドレスをランダム生成し、そこから侵入してきたり、メールや共有ドライブ・USBなども一般的な侵入経路になっています。

ワーム

 

トロイの木馬

トロイの木馬は自己増殖せずに、単体でソフトウェアのように存在します。

見かけ上は良いソフトとして存在しますが、感染先に長く滞在し情報を取得することを重視しています。
一見悪意のないソフトウェアが、DLした直後に悪意ある振る舞いをするのです。

有名なソフトウェアとしては、mackeeperが挙げられます。
macPCのセキュリティソフトの振る舞いをし、過剰な警告を促して不安感を煽り、課金させるなどの悪さをします。

トロイの木馬 Mac Keeper

技術的脅威の内容は、知識があることで見抜き回避できるので、試験に向けてだけでなく、ぜひ覚えてください!



 

今日も最後までブログを見てくださり、ありがとうございました!

次のITすきま教室でお会いしましょう👋

あなたのIT知識を
もっと深めませんか?

ITすきま教室では、IT関連の資格取得や教養を身につけるための記事講座・動画講座を数多く取り揃えています!

ITパスポートの他の記事

企業研修や情報授業、イベント司会まで講師・講演を依頼してみませんか?

ITすきま教室では講師や講演のご依頼もお受けしております。
YouTubeチャンネル運営のほか、ナレーターや司会業としても活動してきた経験から、分かりやすく満足度の高い講義をご提供します!

講師ご依頼特設ページへ

チャンネル登録者数8万人突破!YouTube好評運用中!

解説が分かりやすいと沢山の方からご好評をいただいており、IT資格勉強コンテンツで日本トップの登録者数を集めています。すきま時間を使って勉強して資格合格や成績アップを目指しましょう!

Youtubeチャンネルはこちら

単語帳BOT

X(旧Twitter)で関連用語を3時間に1度つぶやきます!
すきま時間の学習にお役立てください!

ITすきま教室のLINEスタンプができました!

ITすきま教室の公式LINEスタンプができました!
ポップなTechnologyをテーマに、
ボケたり、ツッコんだり、使い勝手を意識して
プログラミングの世界を表現しています!

LINEストアへ
アプリで効率良く学習!
ITすきま教室が本になりました!