重要度：B
問6：脆弱性の修正プログラム(パッチ)が提供される前に、その脆弱性を突いて行われる攻撃はどれか。
- A：ゼロデイ攻撃
- B：フィッシング攻撃
- C：リプレイ攻撃
【第6問：正解と解説】
正解：A
【解説】
・A：正解はAです。対策が未整備の期間を狙うため防御が難しく、多層防御や迅速なパッチ適用が重要。【試験対策】パッチ提供前を突く=ゼロデイ攻撃。
・B：フィッシング攻撃は偽サイト等で情報をだまし取る攻撃で、パッチ提供前の脆弱性を突くゼロデイ攻撃とは異なる。
・C：リプレイ攻撃は盗んだ通信データを再送してなりすます攻撃で、未修正の脆弱性を突くゼロデイ攻撃とは異なる。
関連過去問：R6,問18
重要度：B
問7：大量の通信や要求を送りつけ、サーバやネットワークを過負荷で機能停止に追い込む攻撃はどれか。
- A：SQLインジェクション
- B：中間者攻撃
- C：DoS攻撃(多数機器からはDDoS)
【第7問：正解と解説】
正解：C
【解説】
・A：SQLインジェクションは不正なSQL文でDBを操作する攻撃で、過負荷で停止させるDoS攻撃とは異なる。
・B：中間者攻撃は通信の間に割り込んで盗聴・改ざんする攻撃で、過負荷で停止させるDoS攻撃とは異なる。
・C：正解はCです。多数の機器から一斉に行うのがDDoS攻撃で、踏み台にされた端末が悪用される。【試験対策】過負荷で機能停止=DoS/DDoS。
関連過去問：基礎知識
重要度：C
問8：入力欄に不正なSQL文を紛れ込ませ、データベースを不正操作する攻撃はどれか。
- A：バッファオーバフロー
- B：クロスサイトスクリプティング
- C：SQLインジェクション
【第8問：正解と解説】
正解：C
【解説】
・A：バッファオーバフローはメモリ領域をあふれさせて不正コードを実行させる攻撃で、SQL文を悪用するものとは異なる。
・B：クロスサイトスクリプティングはブラウザ上で不正スクリプトを実行させる攻撃で、DBを操作するSQLインジェクションとは異なる。
・C：正解はCです。対策は入力値の検証に加え、プリペアドステートメント(バインド機構)の利用が有効。【試験対策】不正SQLでDB操作=SQLインジェクション。
関連過去問：基礎知識
重要度：C
問9：AIの学習データに不正なデータを混入させ、モデルの判断を狂わせる攻撃はどれか。
- A：プロンプトインジェクション
- B：データポイズニング
- C：敵対的サンプル(回避攻撃)
【第9問：正解と解説】
正解：B
【解説】
・A：プロンプトインジェクションは指示文を悪用してAIの挙動を操る攻撃で、学習データを汚染するデータポイズニングとは異なる。
・B：正解はBです。指示文を悪用するプロンプトインジェクション、誤認識させる敵対的サンプルもある。【試験対策】学習データを汚染=データポイズニング。
・C：敵対的サンプルは入力に微小な細工をして誤認識させる攻撃で、学習データを汚染するデータポイズニングとは段階が異なる。
関連過去問：R7,問20
重要度：B
問10：情報資産の脅威と脆弱性を洗い出し、リスクの大きさを分析・評価する一連の活動はどれか。
- A：リスク移転
- B：リスクアセスメント
- C：インシデント対応
【第10問：正解と解説】
正解：B
【解説】
・A：リスク移転はリスク対応の一手法で、リスクの大きさを分析・評価するアセスメントとは段階が異なる。
・B：正解はBです。リスク特定・分析・評価を経て、対応方針を決定する。【試験対策】リスクの特定・分析・評価=リスクアセスメント。
・C：インシデント対応は実際に発生した事案への対処で、事前にリスクを分析・評価するアセスメントとは異なる。
関連過去問：R4,問17
コメント