情報セキュリティマネジメント 平成30年度 秋期 午前 問13

✓ これが正解ア 脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃する。

解説

セキュリティパッチの提供前に脆弱性を突く攻撃です。

ゼロデイ攻撃は、ソフトウェアに脆弱性が見つかってから、それを修正するセキュリティパッチが提供されるまでの間に、当該脆弱性を悪用して仕掛けられる攻撃です。対策が配布される前に攻撃が始まるため、パッチを当てるという基本の防御が間に合いません。対策側に1日の猶予も無いことが名前の由来です。防ぐ側は、パッチ以外の設定変更などの緩和策や、侵入されることを前提にした検知の仕組みを組み合わせて、被害を抑えることになります。

ほかの選択肢の解説

• イ 特定のWebサイトに対し，日時を決めて，複数台のPCから同時に攻撃する。：日時を決めて複数台のPCから同時に仕掛けるという説明は、DDoS攻撃のような一斉型の攻撃の特徴です。セキュリティパッチの提供前を狙うという時間の要素がありません。
• ウ 特定のターゲットに対し，フィッシングメールを送信して不正サイトに誘導する。：フィッシングメールで特定のターゲットを不正サイトへ誘導する手口は、標的型攻撃やフィッシングの説明です。脆弱性への対策が世に出る前を突くという特徴とは別の話です。
• エ 不正中継が可能なメールサーバを見つけて，それを踏み台にチェーンメールを大量に送信する。：不正中継が可能なメールサーバを踏み台にしてチェーンメールを大量に送るのは、迷惑メールの送信手口です。脆弱性の悪用やパッチ提供までの時間差とは関係がありません。