令和3年度 III-28

解説

この問題で問われていること

脆弱性を突く攻撃と、脆弱性がなくても被害が出る攻撃(大量の正規通信で資源を枯渇させる攻撃)を区別する問題。

解き方

① 攻撃が弱点(脆弱性)を突くかどうかで分ける。DDoSは大量の通信で処理能力・帯域を使い切らせるので、脆弱性がなくても被害が出る
② バッファオーバーフロー・SQLインジェクション・ドライブバイダウンロード・LAND攻撃は、どれも実装の不備を突く攻撃
③ ⑤

正解が正しい理由

DDoS攻撃は、多数の端末から、大量の正規の通信やリクエストを送り付けて、サーバやネットワークの処理能力・帯域を使い切らせ、サービスを停止させる攻撃で、対象に脆弱性がなくても、資源の限界を超えれば被害が発生する。したがって⑤が最も適切である。

各選択肢について

• ① バッファオーバーフロー攻撃は、プログラムの、境界チェックの不備という脆弱性を突く攻撃。
• ② SQLインジェクション攻撃は、入力値の処理の不備(脆弱性)を突いて、不正なSQL文を実行させる攻撃。
• ③ ドライブバイダウンロード攻撃は、Webブラウザやプラグインの脆弱性を突いて、閲覧しただけでマルウェアをダウンロードさせる攻撃。
• ④ LAND攻撃は、送信元と宛先が同じ、細工したパケットを送り、TCP/IPの実装上の脆弱性を突く攻撃。
• ⑤ DDoS攻撃は、大量の通信で資源を枯渇させる攻撃で、脆弱性がなくても被害が発生する。これが正答。

覚えるべきポイント

DoS/DDoS攻撃は、脆弱性の有無に関わらず、処理能力・帯域を超える負荷で可用性を損なう。対策は、負荷分散、帯域制限、CDN、DDoS対策サービスなど。