ITパスポート 平成29年度 秋期 特別措置試験 問65

✓ これが正解ウ ソーシャルエンジニアリング

解説

技術ではなく、人の油断や親切心につけ込んで聞き出します。

ソーシャルエンジニアリングは、仕組みの弱点ではなく人の弱点を突いて情報を得る手口の総称です。技術を使わないので、どれだけ機器を固めても防ぎ切れません。よくある形はいくつもあります。管理者を装って電話をかけ、急いでいる様子で合言葉を聞き出す。背後から画面や手元をのぞき見る。社員に続いて、扉が閉まる前に一緒に入る。捨てられた書類をあさって手がかりを拾う。いずれも、人が持っている親切心や、急かされたときの判断の甘さを利用しています。だから備えも人の側に置きます。名乗りを必ず確かめる、書類は細かく裁断する、扉は一人ずつ通る、といった決まりを作って習慣にします。技術の備えをどれだけ積んでも、人が自分から教えてしまえば通り抜けられます。だから、機器の設定と同じだけ、決まりの徹底に手をかけます。

ほかの選択肢の解説

• ア DoS攻撃：大量の通信を送りつけて、サービスを使えなくする攻撃です。狙いは止めることにあり、情報を聞き出すことではありません。仕組みに負荷をかける技術的な攻撃なので、人の心理につけ込む手口とは種類が違います。
• イ SQLインジェクション：入力欄に細工した文字列を送り込み、データベースを不正に操作する攻撃です。作りの甘さという技術的な弱点を突いており、相手は人ではなくプログラムなので、本問の手口にはあたりません。
• エ バッファオーバフロー：あらかじめ用意された領域より大きなデータを送り込み、あふれさせて誤動作を起こす攻撃です。これもプログラムの作りの甘さを突く技術的な攻撃で、人の隙をつくものではありません。