情報資産を脅かすサイバー攻撃〜SG試験対策〜 | プログラマーになった「中卒」男のブログ

情報資産を脅かす様々な脅威のうち、今回はサイバー攻撃の代表的なものをまとめていく。

技術的脅威（サイバー攻撃）

パスワードとして使われそうな単語を集めた辞書を用意し、片っ端からその中の単語を使ってログインを試みる攻撃。

考えられる全ての組み合わせで、総当たり試行により暗号を解読する攻撃。

暗号装置から漏れる電磁波を取得し、暗号を解析する攻撃。

流出したID・パスワードを、別のサービスなどに用いてログインを試みる攻撃。

例えばGoogleのログインパスワードを知られてしまった場合、Amazonにも同じパスワードを使用していると、この攻撃によりアカウントを乗っ取られてしまうことになる。

ソフトウェアなどに脆弱性が発見された場合、修復プログラムが配布されるまでの期間にその脆弱性を突く攻撃。

ブラウザのセッションIDを盗み、別の利用者になりすますこと。

攻撃元を隠蔽するために、IPアドレスを偽ったパケットを送信する攻撃。

偽りの情報をDNSサーバーへ記憶させ、意図しないドメインに誘導させたりする攻撃。

プログラムで確保しているバッファを超えるデータを送り、バッファをオーバーさせて不正な処理を実行すること。

C言語やC++で作られたプログラムにおいて狙われる。

サーバーに高負荷をかけ、機能を停止させる攻撃。
大量の端末からDos攻撃を行うことをDDoSと言う。

Advanced Persistent Threatsの略で、特定の企業や個人を標的として行う攻撃。

標的とした組織の個人が普段からよく閲覧しているWebサイトを改ざんし、そこへアクセスしてきた者のPCにマルウェアを感染させること。

Man in the middleの略で、通信を行う二人のユーザー間に介入して情報を盗聴し、改変した情報を送信する攻撃。

悪意のあるWebサイトを閲覧した時、埋め込まれたスクリプトを閲覧者のブラウザで実行し、個人情報を盗みだしたり、ファイルを破壊したりする攻撃。

利用者がWebサイトにログインしている状態で、悪意のあるスクリプトを実行させ、利用者が意図していない操作を実行する攻撃。

Webページの入力フォームなどから不正なSQL文を送信し、データベースのデータを改ざんしたり破壊したりする攻撃。

管理者が意図しないURLパスを指定し、本来は許可されないファイルの情報を不正に取得する攻撃。

Webページにアクセスした時に、利用者が気づかないうちに不正プログラムをダウンロードさせる攻撃。

Webページ上に悪意のある透明なページやボタンなどを重ね、利用者に意図しない操作をさせる攻撃。

第三者が不正にメールサーバーを中継して、身元を偽ってメールを送信すること。

情報資産を管理するシステムやコンピュータを脅かす脅威には、マルウェアのほか、悪意のある攻撃者による様々なサイバー攻撃が存在する。

大切な情報資産を守るためにも、あらゆる攻撃手法を知っておくことも大事なことだ。