ITパスポート 平成30年度 秋期 特別措置試験 問77

✓ これが正解イ クロスサイトスクリプティング ボット トロイの木馬

解説

埋め込み、一斉操作、偽装、の順に三つの語が当てはまります。

一つ目は、入力した文字がそのまま画面に出る作りを突いて、悪意のあるスクリプトを埋め込み、訪れた人のブラウザで動かして cookie などを盗み出す攻撃で、これがクロスサイトスクリプティングです。二つ目は、多くの PC に住み着いて、外からの指示で一斉に動くプログラムで、操られる様子からボットと呼ばれます。三つ目は、役に立つ道具のふりをして入り込み、中で害を働くプログラムで、トロイの木馬です。二つ目と三つ目はどちらもマルウェアなので、入れ替えても文が成り立ってしまいますが、分かれ目は、外から指示を受けて一斉に動くかどうかです。三つとも利用者の側で起きる被害で、一つ目は他人のサイトを踏み台にし、二つ目と三つ目は端末そのものに住み着きます。踏み台にする攻撃は、サイトを作った側の直し方で防げます。

ほかの選択肢の解説

• ア …トロイの木馬 ボット：一つ目は正しいものの、二つ目と三つ目を取り替えた、最も惜しい組です。二つ目の説明は一斉に動くプログラムなのでボット、三つ目の説明はふりをして入り込むプログラムなのでトロイの木馬になります。
• ウ 標的型攻撃 クロスサイトスクリプティング トロイの木馬：一つ目を標的型攻撃とした組です。標的型攻撃は、特定の相手に狙いを定めて、業務のメールを装って送りつける攻撃で、相手を絞るので見分けにくくなります。一つ目の説明はスクリプトを埋め込む話なので、当てはまりません。
• エ 標的型攻撃 トロイの木馬 クロスサイトスクリプティング：一つ目を標的型攻撃、三つ目をクロスサイトスクリプティングとした組で、三つとも外れており、二つ目にはボットが入るはずです。三つ目の説明は有用に見せかけて入れさせる話で、ブラウザ上でスクリプトを動かす攻撃ではありません。