情報セキュリティマネジメント 令和元年度 秋期 午前 問21

✓ これが正解ア アクセスする際にパスワード認証などの正規の手続が必要なWebサイトに，当該手続を経ないでアクセス可能なURL

解説

正規の認証手続を経ずに入れる隠れた入口のことです。

バックドアは、正規の認証や手続を経ずにシステムへ入れるように仕込まれた、隠れた入口のことです。設問の例では、本来はパスワード認証などの手続が必要なWebサイトに、その手続を経ないでアクセスできるURLが存在すれば、認証を素通りできる裏口として機能してしまいます。攻撃者が侵入に成功した後、再び入りやすくするために仕掛ける場合もあれば、開発時のテスト用の抜け道が消し忘れられてそのまま残ってしまう場合もあります。いずれの場合も、表側の認証をどれだけ固めても素通りされてしまう点が危険です。

ほかの選択肢の解説

• イ インターネットに公開されているサーバのTCPポートの中からアクティブになっているポートを探して，稼働中のサービスを特定するためのツール：アクティブになっているTCPポートを探して稼働中のサービスを特定するツールは、ポートスキャンを行うためのツールの説明です。攻撃の下調べの道具であり、隠れた入口そのものではありません。
• ウ ネットワーク上の通信パケットを取得して通信内容を見るために設けられたスイッチのLANポート：通信パケットを取得して内容を見るために設けられたスイッチのLANポートは、ネットワーク監視用に通信の写しを取り出す正規の機能の説明です。管理目的の仕組みであり、不正な裏口ではありません。
• エ プログラムが確保するメモリ領域に，領域の大きさを超える長さの文字列を入力してあふれさせ，ダウンさせる攻撃：メモリ領域に大きさを超える文字列を入力してあふれさせ、ダウンさせるのは、バッファオーバフロー攻撃という攻撃手法の説明です。認証を素通りする入口の話ではありません。