攻撃手法・脅威
情報セキュリティマネジメント試験｜ログイン中の利用者のブラウザを悪用し、本人の意図しない要求をWebサイトへ送らせる攻撃はどれか
ログイン中の利用者のブラウザを悪用し、本人の意図しない要求をWebサイトへ送らせる攻撃はどれか。
ア入力欄にデータベースへの命令を巧みに埋め込み不正に情報を取得したり改ざんしたりする手口である。
イWebページに不正なスクリプトを埋め込み閲覧した利用者のブラウザ上で実行させてしまう。
ウ利用者のキーボードの入力内容を逐一記録し認証情報などを窃取して外部へ送信する。
エ認証済み利用者のブラウザを悪用し本人が意図しない更新要求を勝手にサイトへ送らせる。
正解
エ．認証済み利用者のブラウザを悪用し本人が意図しない更新要求を勝手にサイトへ送らせる。
CSRF(クロスサイトリクエストフォージェリ)は、利用者がログイン状態のセッションを保持しているのを悪用し、罠サイト経由で本人の意図しない更新要求などを正規サイトへ送信させ、本人が行ったかのように処理させる攻撃である。
?選択肢ごとの解説
ア ×SQLインジェクションの説明で、DB操作命令の注入が本質でありセッション悪用とは異なる。
イ ×クロスサイトスクリプティングの説明で、スクリプト実行が主眼で要求の偽造とは別概念である。
ウ ×キーロガーの説明で、入力記録が目的でありブラウザの要求悪用とは無関係である。
エ ○CSRF(クロスサイトリクエストフォージェリ)は、利用者がログイン状態のセッションを保持しているのを悪用し、罠サイト経由で本人の意図しない更新要求などを正規サイトへ送信させ、本人が行ったかのように処理させる攻撃である。
攻撃手法・脅威の他の問題
DNSサーバに偽の名前解決情報を覚え込ませ、利用者を不正なサイトへ誘導する攻撃はどれかLAN内で偽のMACアドレス情報を流し、通信を自端末に引き込んで盗聴する攻撃はどれかハッシュ値と元の文字列の対応表をあらかじめ用意し、パスワードを高速に逆算する攻撃はどれかよく使われる少数のパスワードを、多数のアカウントに広く試してロックアウトを避ける攻撃はどれか標的を直接狙わず、取引先や利用ソフトの提供元を経由して侵入する攻撃はどれか有名サイトの綴り間違いに似たドメインを取得し、誤入力した利用者を誘い込む手口はどれか宅配の不在通知などを装ったSMSで偽サイトへ誘導し情報を盗む手口はどれか電話で公的機関や金融機関の職員を装い、口頭で暗証番号などを聞き出す手口はどれか
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
情報セキュリティマネジメント試験は全3,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 情報セキュリティマネジメント試験 過去問 · sg-a1-w2-0004