分野 S｜セキュリティ 重点分野
攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）
今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 攻撃手法／攻撃のライフサイクルとフレームワーク』『2 攻撃手法／資格情報・セッション管理の不備を狙った攻撃』
最終更新
問われ方
- サイバーキルチェーンの説明を選ぶ形（6回分で1問）
- 流出した認証情報を別のサービスで試す攻撃（パスワードリスト攻撃）を選ぶ形（6回分で1問）
- 問われるとしたら：ログの特徴から、攻撃の名前を選ぶ形
- 問われるとしたら：リプレイ攻撃とセッションハイジャックを見分ける形
- 問われるとしたら：偵察、ラテラルムーブメントなどの a〜c の組合せの形
覚えること
- サイバーキルチェーン：攻撃者の視点から、攻撃の手口を偵察から目的の実行までの段階に分けたもの
- 偵察：攻撃の前に標的の情報を集める。フットプリンティング、ポートスキャンなど
- フットプリンティング：公開情報などから、標的の組織やシステムの情報を集める
- ポートスキャン：標的の開いている通信ポートを外部から調べ、動くサービスを探る
- ラテラルムーブメント：侵入後、ネットワーク内の別のシステムへ移動し、制御を広げる
- 辞書攻撃：辞書にある語などを候補にして、パスワードを次々に試す
- 総当たり攻撃（ブルートフォース攻撃）：パスワードの候補を全ての組合せで試す
- リバースブルートフォース攻撃：パスワードを固定し、ID の候補を総当たりで試す
- 同じパスワードを多数の ID に試すと、ID ごとの失敗が少なく、回数制限にかかりにくい
- クレデンシャルスタッフィング：流出した ID とパスワードの組を、別のサービスで試す
- パスワードを使い回していると、流出した組で、別のサービスにも入られる
- セッションハイジャック：ログイン中のセッションの識別情報を奪い、利用者になりすます
- リプレイ攻撃：盗聴した認証の通信を、内容を変えずに再送して、認証を通る
- クレデンシャルスタッフィングは、パスワードリスト攻撃と同じ手口
ひっかけ
- 総当たり（1つの ID に候補を試す）とリバースブルートフォース（1つのパスワードを多数の ID に試す）の取りちがえ
- リプレイ攻撃（再送）とセッションハイジャック（ログイン中の乗っ取り）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが疑うべき攻撃として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、社外向けの Web サービスのログを調べた。1 台の端末から、約 300 件の異なる ID に対し、同じ 1 種類のパスワードでのログインが試されていた。どの ID も失敗は 1 回だけで、連続 5 回で ID をロックする仕組みには、1 件もかかっていなかった。
正解：イ リバースブルートフォース攻撃：1 つのパスワードを固定し、多数の ID に対して試している。
ポイント
ログの特徴から、認証情報を狙う攻撃の名前を見分ける問題です。
考え方と解き方
まず、何を固定し、何を変えているかを見ます。ID が多数で、パスワードが 1 種類なら、パスワードを固定した攻撃です。管理者の立場なら、ID ごとの回数制限にかからない点も、手口の特徴として押さえます。
- ログでは、パスワードは同じ 1 種類で、試された ID が約 300 件に及びます。パスワードを固定して ID の候補を試す手口です。
- ID ごとの失敗は 1 回で、ロックの基準に届かないのも、この手口の特徴です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア ブルートフォース攻撃は、特定の ID に候補を全ての組合せで試す手口です。今回は ID が多数で、パスワードが 1 種類なので、合いません。
- ウ クレデンシャルスタッフィングは、流出した ID とパスワードの組を試す手口です。組ごとにパスワードが異なるはずで、同じ 1 種類のパスワードという観測と合いません。
- エ 辞書攻撃は、辞書にある語などを候補にしてパスワードを試す手口です。今回は特定の ID ではなく、パスワードが固定されているので、合いません。
覚えておくこと
- リバースブルートフォース攻撃：パスワードを固定し、ID の候補を総当たりで試す
- 同じパスワードを多数の ID に試すと、ID ごとの失敗が少なく、回数制限にかかりにくい
- 総当たり攻撃（ブルートフォース攻撃）：パスワードの候補を全ての組合せで試す
（テーマ・覚えること）
攻撃の手口に関する記述のうち、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の B さんは、部門の勉強会の資料に、攻撃の手口の説明を次の a〜c にまとめた。
- a サイバーキルチェーンは、防御側の視点から、対策の手順を並べたものである。
- b ラテラルムーブメントは、侵入後に、ネットワーク内の別のシステムへ移動し、制御を広げることである。
- c ポートスキャンは、標的の開いている通信ポートを外部から調べ、動くサービスを探ることである。
正解：エ b、c
ポイント
攻撃のライフサイクルの用語を、取りちがえずに選ぶ問題です。
考え方と解き方
サイバーキルチェーンは、攻撃者の視点で段階を並べたものです。防御側の手順と取りちがえないようにします。偵察やラテラルムーブメントは、その段階で行われる行為です。
- a は不適切です。サイバーキルチェーンは、攻撃者の視点から、攻撃の手口を段階に分けたものです。b は適切です。侵入後に別のシステムへ移動して、制御を広げる行為です。c は適切です。ポートスキャンは偵察の一つで、開いている通信ポートを調べます。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切です。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切です。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- サイバーキルチェーン：攻撃者の視点から、攻撃の手口を偵察から目的の実行までの段階に分けたもの
- ラテラルムーブメント：侵入後、ネットワーク内の別のシステムへ移動し、制御を広げる
- ポートスキャン：標的の開いている通信ポートを外部から調べ、動くサービスを探る
（テーマ・覚えること）
この攻撃として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、社内の業務システムに、従業員のアカウントで外部の者がログインした事案を調べた。ログイン時に社外で取得された通信が、数日後に、同じ内容のまま業務システムへ送られていた。従業員は、通信が取得された日のうちにログアウトしていた。通信は暗号化されていて、攻撃者はパスワードを解読していなかった。
正解：ア リプレイ攻撃：盗聴した認証の通信を、内容を変えずに再送して、認証を通る。
ポイント
リプレイ攻撃とセッションハイジャックを、事例から見分ける問題です。
考え方と解き方
リプレイ攻撃は、取得した通信をあとから再送します。ログイン中に乗っ取るセッションハイジャックとは、時点がちがいます。管理者の立場なら、ログアウト済みの時点と、通信の内容が同じである点を先に確かめます。
- 通信は、ログアウトのあとに、内容が同じまま再送されました。パスワードは解読されていません。
- 盗聴した認証の通信を、内容を変えずに再送する手口は、リプレイ攻撃です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ セッションハイジャックは、ログイン中のセッションの識別情報を奪う手口です。従業員はすでにログアウトしており、合いません。
- ウ 辞書攻撃は、パスワードを次々に試す手口です。今回は、取得した通信がそのまま再送されており、パスワードを試した形跡がありません。
- エ ブルートフォース攻撃も、パスワードを試す手口です。パスワードは解読されておらず、取得した通信が再送されたという観測と合いません。
覚えておくこと
- リプレイ攻撃：盗聴した認証の通信を、内容を変えずに再送して、認証を通る
- セッションハイジャック：ログイン中のセッションの識別情報を奪い、利用者になりすます
（テーマ・覚えること）
B さんが考える、不正ログインが成功した主な理由として、最も適切なものはどれか。
会員制サイトを運営する A 社の情報セキュリティ管理者の B さんは、不正ログインを調べた。短時間に多数の異なる ID へのログインが試みられ、1 つの ID への試行は 1 回ずつだった。試行の約 2％が成功した。A 社の会員情報の流出は確認されておらず、成功した ID の多くは、他社のサービスから流出した情報に載っていた。
正解：ウ 会員の一部が、他社のサービスと同じ ID とパスワードの組を使い回しており、流出した組を試されたため。
ポイント
流出した認証情報が使い回しから悪用される流れを、事例から選ぶ問題です。
考え方と解き方
1 つの ID への試行が 1 回ずつで、成功した ID が他社の流出情報に載っている点が決め手です。総当たりなら、同じ ID に多数の試行が出ます。管理者の立場なら、自社の流出がない点と、利用者側の使い回しの両方を見ます。
- A 社の会員情報は流出しておらず、成功した ID の多くは他社の流出情報に載っていました。流出した ID とパスワードの組を、別のサービスで試された形です。
- この手口が成立するのは、会員がパスワードを使い回している場合です。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 総当たりなら、同じ ID に多数の試行が出ます。今回は 1 つの ID への試行が 1 回ずつで、合いません。
- イ 偽のサイトへ誘導して入力させるのは、フィッシングです。ログの試行が多数の ID に及んでいる観測と、他社の流出情報に載っていた点とは合いません。
- エ A 社の会員情報の流出は確認されていないので、サーバーへの侵入から持ち出された、という説明は合いません。
覚えておくこと
- クレデンシャルスタッフィング：流出した ID とパスワードの組を、別のサービスで試す
- パスワードを使い回していると、流出した組で、別のサービスにも入られる
- クレデンシャルスタッフィングは、パスワードリスト攻撃と同じ手口
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。