平成30年度 秋期 （特別措置試験） 問77

✓ これが正解イクロスサイトスクリプティング ボット トロイの木馬

解説

埋め込み、一斉操作、偽装、の順に三つの語が当てはまります。

一つ目は、入力した文字がそのまま画面に出る作りを突いて、悪意のあるスクリプトを埋め込み、訪れた人のブラウザで動かす攻撃です。cookie などを盗み出します。これがクロスサイトスクリプティングです。二つ目は、多くの PC に住み着いて、外からの指示で一斉に動くプログラムです。操られる様子からボットと呼ばれます。三つ目は、役に立つ道具のふりをして入り込み、中で害を働くプログラムで、トロイの木馬です。二つ目と三つ目はどちらもマルウェアなので、入れ替えても文が成り立ってしまいます。三つとも、利用者の側で起きる被害です。一つ目は他人のサイトを踏み台にし、二つ目と三つ目は端末そのものに住み着きます。踏み台にする攻撃は、サイトを作った側の直し方で防げます。分かれ目は、外から指示を受けて一斉に動くかどうかです。

ほかの選択肢はなぜ違うのか

• アクロスサイトスクリプティング トロイの木…：一つ目を正しく当てていますが、二つ目と三つ目を取り替えた組です。二つ目の説明は一斉に動くプログラムなので、ボットです。最も惜しい組です。三つ目の説明はふりをして入り込むプログラムなので、トロイの木馬になります。
• ウ標的型攻撃 クロスサイトスクリプティング…：一つ目を標的型攻撃とした組です。標的型攻撃は、特定の相手に狙いを定めて、業務のメールを装って送りつける攻撃です。相手を絞るので、見分けにくくなります。一つ目の説明はスクリプトを埋め込む話なので、当てはまりません。
• エ標的型攻撃 トロイの木馬 クロスサイトス…：一つ目を標的型攻撃、三つ目をクロスサイトスクリプティングとした組です。三つとも外れています。二つ目にはボットが入るはずです。三つ目の説明は有用に見せかけて入れさせる話で、ブラウザ上でスクリプトを動かす攻撃ではありません。