平成24年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13

✓ これが正解アセキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃する。

解説

パッチが提供される前に、その脆弱性を突くのがゼロデイ攻撃です。

ソフトウェアに脆弱性が見つかると、開発元は修正のためのセキュリティパッチを提供します。ゼロデイ攻撃は、このパッチが提供される前の、対策がまだ存在しない期間に、その脆弱性を攻撃するものです。修正が出た日を1日目と数えると、それより前に攻撃が行われることから、ゼロデイと呼ばれます。利用者はパッチを当てて防ぐことができないため、侵入の検知や被害を広げない工夫など、何重もの対策が大切になります。

ほかの選択肢はなぜ違うのか

• イ特定のサイトに対し，日時を決めて，複数台…：日時を決めて複数台の PC から特定のサイトへ一斉に攻撃を仕掛けるのは、DDoS 攻撃の説明です。日時という語が出てきますが、修正前の弱点を狙うことはどこにも述べられていません。
• ウ特定のターゲットに対し，フィッシングメー…：特定のターゲットにフィッシングメールを送り、不正サイトへ誘導するのは、標的型の攻撃やスピアフィッシングの手口です。人をだますことが中心で、未修正の脆弱性を突く攻撃ではありません。
• エ不正中継が可能なメールサーバを見つけた後…：不正中継ができるメールサーバを見つけて踏み台にし、チェーンメールを大量に送るのは、第三者中継を悪用した迷惑メールの送信です。修正前の弱点を狙うゼロデイ攻撃とは関係がありません。