分野 S｜セキュリティ 重点分野
アプリの不備を狙う攻撃とDoS攻撃
今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 攻撃手法／アプリケーションの不備を狙った攻撃』『2 攻撃手法／サービスの妨害を狙った攻撃』
最終更新
問われ方
- ランダムサブドメイン攻撃で起きることを選ぶ形（6回分で1問）
- 問われるとしたら：事例で、被害の出方から攻撃の種類を見分ける形
- 問われるとしたら：XSS、CSRF、クリックジャッキングなどの a〜c の組合せの形
- 問われるとしたら：DoS 攻撃と DDoS 攻撃の説明を選ぶ形
覚えること
- SQLインジェクション：入力値の扱いの不備を突き、データベースを不正に操作する
- SQLインジェクションの被害：非公開情報の閲覧や改ざん、認証の回避
- OSコマンドインジェクション：入力値の不備を突き、サーバー上で OS のコマンドを実行させる
- クロスサイトスクリプティング（XSS）：出力処理の不備を突き、ページにスクリプトを埋め込む
- XSS の被害：偽ページの表示、Cookie の窃取によるなりすまし
- クロスサイトリクエストフォージェリ（CSRF）：ログイン中の利用者に、意図しない要求をサイトへ送らせる
- CSRF の被害：不正な送金や購入、設定やパスワードの変更
- ディレクトリトラバーサル：パス名の入力値を悪用し、公開していないファイルを閲覧・改ざんする
- バッファオーバーフロー：プログラムが確保した領域を超えるデータを送り、不正な処理を実行させる
- クリックジャッキング：外部サイトで利用者を視覚的にだまし、意図しない操作をさせる
- ドライブバイダウンロード：Web サイトを閲覧しただけで、マルウェアを入れられる
- DoS 攻撃：大量の要求を送り、サービスを利用できない状態にする。1台の機器から行う
- DDoS 攻撃：ボットネットなど多数の機器から、一斉に大量のアクセスを行う
- DDoS 攻撃の手口：大量のパケットを送るフラッド攻撃、送信元を偽って応答を集中させるリフレクション攻撃
- ランダムサブドメイン攻撃：実在しないサブドメインを大量に問い合わせ、DNS サーバーに高負荷をかける
- ランダムサブドメイン攻撃で負荷が掛かるのは、そのドメインを管理する権威 DNS サーバー
ひっかけ
- XSS で被害を受けるのは、運営者ではなく、そのページを閲覧する利用者
- CSRF は利用者の意図しない要求、XSS はページへのスクリプトの埋め込み
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが疑うべき攻撃として、最も適切なものはどれか。
A 社のオンラインショップを運営する情報システム部の B さんは、会員から「外部サイトのリンクを開いたあとで、登録している配送先が変えられていた」との連絡を受けた。ログを調べると、配送先の変更の要求は、その会員がログインした状態のまま、会員のブラウザから、正規の変更画面と同じ形式で送られていた。会員は、変更画面を操作していない。
正解：イ 外部サイトを経由して、会員の意図しない要求をサイトへ送らせ、設定を変更させる攻撃
ポイント
被害の出方から、攻撃の種類を見分ける問題です。
考え方と解き方
ログインしたままの会員のブラウザから、本人の操作なしに要求が届いた点が手がかりです。攻撃を受けているのが、サイトのデータベースか、ファイルか、会員の操作かを分けて考えます。運営側の立場では、まず、要求がだれの意思で送られたかを確かめます。
- 本人が操作していないのに、ログイン状態のまま、正規の画面と同じ形式の要求が送られています。これは、ログイン中の利用者に意図しない要求を送らせる、CSRF の特徴です。
- SQL 文の送り込みやファイルの読み出し、マルウェアの感染は、会員のログイン状態を使って設定を変えさせる事象と合いません。したがって、最も適切なのは イ です。
ほかの選択肢
- ア SQL インジェクションは、データベースを不正に操作する攻撃です。会員のブラウザから、ログイン状態のまま要求が送られた事象とは合いません。
- ウ ディレクトリトラバーサルは、公開していないファイルを読み出す攻撃です。配送先を変える要求の事象とは合いません。
- エ ドライブバイダウンロードは、閲覧しただけでマルウェアを入れる攻撃です。設定を変える要求が送られた事象とは合いません。
覚えておくこと
- クロスサイトリクエストフォージェリ（CSRF）：ログイン中の利用者に、意図しない要求をサイトへ送らせる
- CSRF の被害：不正な送金や購入、設定やパスワードの変更
（テーマ・覚えること）
次の a〜c のうち、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、新入社員向けの資料に、Web を使った攻撃について、次の a〜c の説明を載せた。
- a OS コマンドインジェクションは、ページの出力処理の不備を突いて、閲覧者のブラウザでスクリプトを実行させる攻撃である。
- b クリックジャッキングは、細工した外部サイトで利用者を誤誘導し、利用者の意図しない操作を実行させる攻撃である。
- c ドライブバイダウンロードは、利用者が細工された Web サイトを閲覧しただけで、端末にマルウェアを入れられる攻撃である。
正解：エ b、c
ポイント
Web を使った攻撃の説明の適切さを、a〜c で見分ける問題です。
考え方と解き方
攻撃の名前と中身が入れかわっていないかを、一つずつ確かめます。a は、スクリプトを実行させる別の攻撃の説明になっています。a〜c は互いに独立なので、適切かどうかを決めてから組合せを探します。
- a は不適切です。ブラウザでスクリプトを実行させるのは XSS の説明で、OS コマンドインジェクションは、サーバー上で OS のコマンドを実行させる攻撃です。b は適切です。細工した外部サイトで利用者を誤誘導する攻撃です。c は適切です。閲覧しただけでマルウェアが入るのが特徴です。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切なので、含められません。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切です。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- OSコマンドインジェクション：入力値の不備を突き、サーバー上で OS のコマンドを実行させる
- クロスサイトスクリプティング（XSS）：出力処理の不備を突き、ページにスクリプトを埋め込む
- クリックジャッキング：外部サイトで利用者を視覚的にだまし、意図しない操作をさせる
（テーマ・覚えること）
B さんがまず行う判断として、最も適切なものはどれか。
A 社の情報システム部の B さんは、夜間に自社の Web サイトの応答が極端に遅くなったとの連絡を受けた。アクセスログには、国内外の多数の IP アドレスから、同じページへの大量の要求が一斉に届いた記録がある。アクセスが増える心当たりはなく、情報の持ち出しの形跡もない。
正解：ア 同じページへ多数の発信元から一斉に大量の要求が届いているので DDoS 攻撃と判断し、特定の 1 つの IP アドレスの遮断では止まらないとして対応する
ポイント
ログの状況から、DDoS 攻撃と判断し、対応の見立てを選ぶ問題です。
考え方と解き方
被害は、サービスが利用しにくくなる形で出ています。管理者の立場では、攻撃かどうかと、発信元の数から DoS 攻撃か DDoS 攻撃かを決め、それに合う対応の見立てを先に考えます。
- 同じページへの大量の要求が、多数の発信元から一斉に届き、増える心当たりもありません。これは、DoS 攻撃を多数の機器から同時に行う、DDoS 攻撃の特徴です。
- 発信元が多数なので、1 つの IP アドレスを遮断しても止まりません。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 発信元が多数の IP アドレスなので、DoS 攻撃とは言えず、1 つの遮断では止まりません。
- ウ 心当たりのない一斉の大量の要求を、利用者の増加とみなすと、攻撃への対応が遅れます。処理能力を増やすだけでは、攻撃は止まりません。
- エ 情報の持ち出しがなくても、サービスを使えなくする攻撃はあります。応答の遅れを不具合とみなして様子を見るのは適切ではありません。
覚えておくこと
- DoS 攻撃：大量の要求を送り、サービスを利用できない状態にする。1台の機器から行う
- DDoS 攻撃：ボットネットなど多数の機器から、一斉に大量のアクセスを行う
（テーマ・覚えること）
ディレクトリトラバーサル攻撃の説明として、最も適切なものはどれか。
正解：ウ パス名を指定する入力値を細工して、公開を想定していないディレクトリのファイルを読み出す
ポイント
ディレクトリトラバーサルの意味を、似た攻撃と取りちがえずに選ぶ問題です。
考え方と解き方
Web アプリケーションへの攻撃は、何を突くかで区別します。ディレクトリトラバーサルは、ファイルの場所を指定する入力値を突きます。
- ディレクトリトラバーサルは、パス名を指定する入力値を細工し、公開していないディレクトリのファイルを読み出す攻撃です。
- 他の選択肢は、別の攻撃の説明です。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 領域を超えるデータで不正な処理をさせるのは、バッファオーバーフローの説明です。
- イ 入力値で OS のコマンドを実行させるのは、OS コマンドインジェクションの説明です。
- エ ブラウザでスクリプトを実行させるのは、XSS の説明です。
覚えておくこと
- ディレクトリトラバーサル：パス名の入力値を悪用し、公開していないファイルを閲覧・改ざんする
- バッファオーバーフロー：プログラムが確保した領域を超えるデータを送り、不正な処理を実行させる
- OSコマンドインジェクション：入力値の不備を突き、サーバー上で OS のコマンドを実行させる
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。