情報セキュリティ
基本情報技術者試験｜B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部か…
B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事象が発生した。パスワードは推測困難な文字列であり、入力ミスによる失敗はほとんど記録されていない。攻撃手口に対して最も有効な対策はどれか。
ア記号と数字と大文字を必ず含める文字種ポリシーを全利用者に一律で課す。
イ知識要素に加え所持要素による確認を求め、未知の端末からのログインを検知する。
ウ同一IDで規定回数連続して失敗したアカウントを一定時間ロックする。
エログイン画面に画像認証（CAPTCHA）を追加し、機械的な入力試行を抑止する。
正解
イ．知識要素に加え所持要素による確認を求め、未知の端末からのログインを検知する。
本事象は『正しい組合せでログイン成立』『失敗が少ない』ことから、他所で漏えいした認証情報を流用するパスワードリスト攻撃である。知識要素（パスワード）に所持要素を重ねる多要素認証は、パスワードを知っていても第二要素がなければ突破できず、使い回しの問題を根本から無効化する。
?選択肢ごとの解説
ア ×文字種ポリシーは自社のパスワード強度を高めるだけで、既に他サービスから漏れた正しい組合せの流用は防げない。
イ ○本事象は『正しい組合せでログイン成立』『失敗が少ない』ことから、他所で漏えいした認証情報を流用するパスワードリスト攻撃である。知識要素（パスワード）に所持要素を重ねる多要素認証は、パスワードを知っていても第二要素がなければ突破できず、使い回しの問題を根本から無効化する。
ウ ×アカウントロックは多数回の失敗を伴う総当たり攻撃に有効だが、本事象は失敗がほぼなく一発で成立しているため発動しない。
エ ×CAPTCHAは機械的試行の抑止になり一定の効果はあるが、正しい認証情報を持つ攻撃の成立自体は防げず、根本対策にならない。
情報セキュリティの他の問題
L社のヘルプデスクに、社員を名乗る人物から『出張先でパスワードを忘れた。急ぎなので電話で仮パスワードを教えてほしい』という連…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…G社では情報セキュリティインシデントが発生した際、各部署が個別に対応し、被害状況の集約や対外的な情報発信が混乱した経緯がある…H社では、めったに発生しないが発生すれば極めて大きな損害となる災害リスクについて検討している。自社で対策設備を整えるには多額…I社のサーバ室はICカードによる入退室管理を行っているが、社員が認証した後に開いた扉から、認証していない者が一緒に入室する事…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0002