のんびりやろう!情報処理試験!-1問1問コツコツと-

J Question vol.3170


カテゴリー: 2017年06月28日
 ▲ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ┏┓
┃┃  のんびりやろう!情報処理試験! ~1問1問コツコツと~  ┃┃
┃┃                               ┃┃
┃┃     2017.6.28 vol.3170     http://www.shunzei.com/    ┃┃
┗┛ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ ▼

--PR------------------------------------------------------------------

 C言語&擬似言語対策の決定版!アルゴリズム力を身に付けるための1冊!

      【改訂3版 基本情報技術者試験 C言語の切り札】
◇          http://www.shunzei.com/r/c4           ◇
◇◆                               ◆◇
◇◆◇   ロングセラーが待望の大改訂! C言語選択者必携!   ◇◆◇

----------------------------------------------------------------------

  \\\ ライザップが英語力にコミット!RIZAP ENGLISH ///
     ----------------------------------------------
       2ヵ月でTOEICスコア200点UPを目指す!
     ----------------------------------------------
       >>> ライザップイングリッシュ <<<

      まずは弱点分析!無料カウンセリング受付中!
    https://px.a8.net/svt/ejp?a8mat=2TC942+1WGVCI+CW6+BQQENN

------------------------------------------------------------------PR--

>/******************** 今日の問題はお休みします。********************/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
★これ、おしえてっ!(回答編)★vol.3167(2017.6.21)の質問に対する回答
----------------------------------------------------------------------

 今回の質問はこちらでした。(出典:H29.春 登録セキスペ 午前2 問6)
----------------------------------------------------------------------

 DNS水責め攻撃(ランダムサブドメイン攻撃)の手口と目的に関する
 記述のうち、適切なものはどれか。


 ア ISPが管理するDNSキャッシュサーバに対して、送信元を攻撃対象の
   サーバのIPアドレスに詐称してランダムかつ大量に生成した
   サブドメイン名の問合せを送り、その応答が攻撃対象のサーバに
   送信されるようにする。

 イ オープンリゾルバとなっているDNSキャッシュサーバに対して、
   攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して
   問い合わせ、攻撃対象の権威DNSサーバを過負荷にさせる。

 ウ 攻撃対象のDNSサーバに対して、攻撃者が管理するドメインの
   サブドメイン名をランダムかつ大量に生成してキャッシュさせ、
   正規のDNSリソースレコードを強制的に上書きする。

 エ 攻撃対象のWebサイトに対して、当該ドメインのサブドメイン名を
   ランダムかつ大量に生成してアクセスし、非公開のWebページの参照を
   試みる。

----------------------------------------------------------------------

 登録セキスペ(情報処理安全確保支援士)の問題でした。
 それでは、みなさんの回答を紹介します。


 ○飯泉さん

> ランダムサブドメイン攻撃とは、オープンリゾルバとなっている
> DNSキャッシュサーバに対して,攻撃対象のドメインの
> サブドメイン名をランダムかつ大量に生成して問い合わせ,
> 攻撃対象の権威DNSサーバを過負荷にさせる。
> http://sc.seeeko.com/archives/5381571.html
> 
> 上記より、ランダムかつ大量に生成してから
> 解答はイしかないです。
> 
> 参考
> http://dnssec-unsigned.jp/glossary/index.php?ID=0137
> 
> 今日も、大変勉強になりました。
> ありがとうございました。
> ----------------------------------------------------------------------
> ひとこと
> 
> 最近、仕事で失敗続きで信頼を失っています。
> どうすればリカバリーできるでしょうか?
> わらにもすがる思いです。

 どうもありがとうございました。正解は「イ」で良いでしょう。

 ランダムサブドメイン攻撃は、キャッシュを使わせないっていうのが
 ポイントですね。

 信頼を回復するには、成功を積み重ねるしかないかな。。。



 ○さちさん

> [DNS水責め攻撃とは]
> 1.DNS水責め攻撃では、ウイルスは感染機器が接続するISPなどの
>  キャッシュDNSサーバーに対して、攻撃対象のドメインに
>  ランダムなサブドメインを追加したドメイン名を問い合わせる。
>  具体的には、ドメイン名が「example.com」といった場合には、
> 「123456abc.example.com」など。
> 2.実在しないドメイン名なので、キャッシュDNSサーバーには保存されて
>  いない。そこでキャッシュDNSサーバーは、攻撃対象ドメインの
>  権威DNSサーバーに問い合わせる。
> 3.ISPのキャッシュDNSサーバーには、ウイルスに感染した
>  大量のIoT機器から、名前解決要求が次々と送られてくるので、
>  通信回線やサーバーの処理能力といったリソースが枯渇する。
> 4.それ以上に影響が深刻なのは権威DNSサーバーだ。
>  世界各地のキャッシュDNSサーバーからの問い合わせが集中し、
>  応答が遅延。最悪の場合、サーバーがダウンする。
> 
> 参考URL:
> http://itpro.nikkeibp.co.jp/atclact/active/17/011900002/012000006/
> http://news.mynavi.jp/articles/2017/05/25/akamai20171/
> 
> 以上より、正解は、
> 
>  イ オープンリゾルバとなっているDNSキャッシュサーバに対して、
>    攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して
>    問い合わせ、攻撃対象の権威DNSサーバを過負荷にさせる。
> 
> と考えます。
> 
> ----------------------------------------------------------------------
> (ひとこと)
> 
> 登録セキスぺ試験、予想通り未合格でした。午後が出来ていません。
> まだまだ実力不足です。秋に向けてがんばります!!

 どうもありがとうございました。
 わかりやすい回答ありがとうございます。
 元ネタが日経NETWORKのようですが、雑誌の記事ってほんとわかりやすいので
 オススメです。今の時代は、ネットで調べがちではありますが。

 僕も秋は登録セキスペ受けようかなって思っています。
 一緒にがんばりましょう!



 ○トレッキーさん

> DNSへの水責め攻撃とは、DNSサーバのDDoS攻撃の手法の1つ
> ●水責め攻撃では、
> 攻撃者はBotnetと◆オープンリゾルバを踏み台にし、
> DNSサーバへの妨害を行う。
> 
> Botnetとはウィルス感染などにより、
> 攻撃者が遠隔操作できるPCで、
> BotnetPCは攻撃者が遠隔操作できる分だけ存在している。
> 
> ◆ オープンリゾルバとは、
> 必要なアクセス制限がされていないDNSサーバで、
> 外部からの不正使用が可能な状態となっている機器を指す。
> そのなかには、欠陥を持つホームルータも含まれている。
> 受け付けてはならないDNS問い合わせを受け付け、
> 処理をしてしまうという。
> 
>  攻撃者は、
> まずBotnetに対し攻撃対象のドメイン名を
> ランダムなサブドメインでDNS問い合わせするように指令を出す。
> 
> 攻撃者はオープンリゾルバのリストを持っており、
> 遠隔操作された不特定多数のBotnetPCは、
> そのリストに掲載されたオープンリゾルバへ問い合わせを送る。
> 
>  ◆オープンリゾルバは、
> 自らのネットワークのキャッシュDNSサーバへ問い合わせを行うが、
> ランダムなサブドメインはキャッシュに存在しないため、
> 毎回外部への問い合わせが必要となる。
> 
> ● また、攻撃対象ドメインの権威DNSサーバには、
> 大量の問い合わせが殺到し、問い合わせが集中する
> 攻撃対象ドメインの権威DNSサーバやISPや
> 一般企業などのキャッシュDNSサーバが過負荷となり、
> サービスが継続できなくなる。
> 
>  ブロードバンドルータの利用がない組織内であっても、
> 攻撃者によりウィルス感染させられたPCに
> より大量のクエリが送信される。
> 
> 
> 参照サイト 
> EZ Security Online EZニュース さまより
> 
> https://enterprisezine.jp/article/detail/7413
> 対策について記述あり
> 
> ● ◆ の記述より 回答は
> 
> イ オープンリゾルバとなっているDNSキャッシュサーバに対して、
>   攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して
>   問い合わせ、攻撃対象の権威DNSサーバを過負荷にさせる。
> 
> ....................................................................
> しゅんぜいさん 
> お誕生日 おめでとうございま した♪ 
> 
> 誕生記念に? 新しいWebサイト 期待しています(*^_^*)

 どうもありがとうございました。
 なるほど。ホームルータにもDNS機能がありますもんね。

 気が向いたらやるんですが、なかなか気が向かず・・・
 (今年はせっかく本も出版したのに)



 ○まっしぃさん

> > DNS水責め攻撃(ランダムサブドメイン攻撃)
> 「ランダム」な「サブドメイン」を使用して、権威DNSに負荷を掛ける
> 攻撃手法です。
> 
> 参考)
> DNS水責め(Water Torture)攻撃対策と動向について 2016 [PDF]
> https://dnsops.jp/event/20160624/DNS_Summer_Days_2016_suematsu.pdf
> 攻撃の特徴
> ・ランダムなサブドメインを含むクエリで攻撃
> ・オープンリゾルバを踏み台として攻撃
> ・1クライアントあたりのクエリ数は低レート
> 
> DNSリフレクション攻撃/DNS増幅攻撃/DNS水責め攻撃とは
> https://www.nic.ad.jp/ja/basics/terms/dns-dos.html
> DNSにランダムなサブドメインを含む問い合わせを行い、 帯域をあまり
> 消費せずに攻撃対象の権威サーバに負荷をかける、Water Torture(水責め)
> と呼ばれる攻撃も近年観測されています。
> 
> ○イ オープンリゾルバとなっているDNSキャッシュサーバに対して、
>    攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して
>    問い合わせ、攻撃対象の権威DNSサーバを過負荷にさせる。
> 
> DNS水責め攻撃のこと。現時点では、根本的な対策は難しいようです。
> 
> ×ア ISPが管理するDNSキャッシュサーバに対して、送信元を攻撃対象の
>    サーバのIPアドレスに詐称してランダムかつ大量に生成した
>    サブドメイン名の問合せを送り、その応答が攻撃対象のサーバに
>    送信されるようにする。
> 
> DNSリフレクション攻撃(DNS reflection attack)、又は
> DNS増幅(アンプ)攻撃(DNS Amplification Attack)と呼ばれる。
> 
> ×ウ 攻撃対象のDNSサーバに対して、攻撃者が管理するドメインの
>    サブドメイン名をランダムかつ大量に生成してキャッシュさせ、
>    正規のDNSリソースレコードを強制的に上書きする。
> 
> DNSキャッシュポイズニングの手法の一種。
> 
> 参考) https://www.nic.ad.jp/ja/newsletter/No40/0800.html
> DNSでは、前述の通りキャッシュという仕組みによって、負荷の軽減や
> 高速化を図っています。この機能を悪用し、キャッシュサーバに偽の
> DNS情報をキャッシュとして蓄積させる「DNSキャッシュポイズニング」
> と呼ばれる攻撃があります。
> 
> ×エ 攻撃対象のWebサイトに対して、当該ドメインのサブドメイン名を
>    ランダムかつ大量に生成してアクセスし、非公開のWebページの参照を
>    試みる。
> 
> 手法は一致していますが、DNS水攻め攻撃の目的はサービスの妨害
> (DoS攻撃: Denial of Service attack)であり、本選択枝と異なります。

 どうもありがとうございました。
 Water Tortureと言うんですね。勉強になりました。
 他の選択肢についても補足ありがとうございます。

 それにしても、DNS Summer Day 2016っていうイベントがあったんですね。
 確かに、DNSはインターネットの根幹だし、
 いろんな攻撃手法があるからなぁ。。。




━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
★これ、おしえてっ!(質問編)★ 回答期限:7月3日(月)の夜まで
----------------------------------------------------------------------
 「この問題がわからないっ!!」という、
 読者からの質問をみなさんに回答してもらおう!というコーナーです。


 今回の質問はこちらです。(出典:H29.春 応用情報 問40)
----------------------------------------------------------------------

 水飲み場型攻撃(Watering Hole Attack)の手口はどれか。

 ア アイコンを文書ファイルのものに偽装した上で、短いスクリプトを
   埋め込んだショートカットファイル(LNKファイル)を電子メールに
   添付して標的組織の従業員に送信する。

 イ 事務連絡などのやり取りを何度か行うことによって、標的組織の
   従業員の気を緩めさせ、信用させた後、攻撃コードを含む
   実行ファイルを電子メールに添付して送信する。

 ウ 標的組織の従業員が頻繁にアクセスするWebサイトに攻撃コードを
   埋め込み、標的組織の従業員がアクセスしたときだけ
   攻撃が行われるようにする。

 エ ミニブログのメッセージにおいて、ドメイン名を短縮して
   リンク先のURLを分かりにくくすることによって、
   攻撃コードを埋め込んだWebサイトに標的組織の従業員を誘導する。


--[回答のめやす(横幅:全角34文字)]--------------------------------
> 1234567890123456789012345678901234
----------------------------------------------------------------------

 水攻め攻撃に続き、水飲み場型攻撃です。


 これに対する回答(解説)を7月3日(月)の夜までにお願いします。

 このコーナーで取り上げてほしい問題のリクエストも募集中です。
 回答&お便りはこちらからでもOKです。
 http://www.shunzei.com/about/mail.html



━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▼選択肢で勉強しよっ!▼(答えはこのメールの一番下にあります)
----------------------------------------------------------------------

> ブルートフォース攻撃(Brute Force Attack) って?



━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
> *********************** 投稿募集中のテーマ *********************** <
----------------------------------------------------------------------

 ●「これ、おしえてっ!」で扱ってほしい問題のリクエストやその回答
 ●「選択肢で勉強しよっ!」で扱ってほしい用語のリクエスト
 ●「その他、試験などに関するお便り(テーマフリー)」

 ハンドル名を添えて、このメールマガジンに返信して頂ければ届きます。
 WebからでもOK! http://www.shunzei.com/about/mail.html

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
 のんびりやろう!情報処理試験! ~1問1問コツコツと~(週3日発行)
----------------------------------------------------------------------

 編集・発行:しゅんぜい mail_at_shunzei.com (_at_は @ に)
     発送:melma!   http://www.melma.com/  (ID:189)
      :まぐまぐ  http://www.mag2.com/   (ID:24856)

 登録・解除:http://www.shunzei.com/mm/

 ○バックナンバー
 立ち読み  : http://www.melma.com/backnumber_189/
 ダウンロード: http://www.shunzei.com/mm/backnumber.html

 転載について: http://www.shunzei.com/about/disclaimer.html
 広告掲載は mail_at_shunzei.com (_at_は @ に)までお願いします。

----------------------------------------------------------------------
 ○メールマガジンの購読の登録・解除は個人の責任で行ってください。
  しゅんぜいは一切代行しません!

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
▼選択肢で勉強しよっ!の答え▼
----------------------------------------------------------------------

 (基本情報平成29年春問38ア)
 (セキュリティ平成25年秋午前2問9ア)の選択肢より

> 一組みの平文と暗号文が与えられたとき、 全ての鍵候補を一つずつ試して
> 鍵を見つけ出す。

 (基本情報平成27年秋問37ア)の選択肢より

> 与えられた 1 組の平文と暗号文に対し、総当たりで鍵を割り出す。

 (応用情報平成27年秋問44イ)
 (応用情報平成23年秋問42ア)
 (セキュリティ平成21年秋午前2問12ア)の選択肢より

> 可能性のある文字のあらゆる組合せのパスワードでログインを試みる。

 (ITパスポート平成25年春問52エ)の選択肢より

> 文字の組合せを順に試すことによって、パスワードを解読しようとすること

 (セキュリティ平成23年特午前2問8イ)
 (セキュリティ平成20年問46イ)の選択肢より

>   ┌─────────┬─────────┬──────────┐
>   │   辞書攻撃   │ スニッフィング │ブルートフォース攻撃│
> ┌─┼─────────┼─────────┼──────────┤
> │イ│ランダムな値でパス│パスワードを平文で│ログインの試行回数 │
> │ │ワードを設定する。│送信しない。   │に制限を設ける。  │
> └─┴─────────┴─────────┴──────────┘

 (システム監査平成20年問12ア)
 (システム管理平成20年問45ア)
 (ソフトウェア平成20年春問72ア)の選択肢より

> 与えられた 1 組の平文と暗号文の鍵候補を総当たりで解読を試みる。

 (セキュリティ平成19年問44エ)の選択肢より

> 文字を組み合わせてあらゆるパスワードでログインを何度も試みる。

 (セキュリティ平成18年問37ア)の選択肢より

> 与えられた平文と暗号文の組に対して鍵を総当たりで探索して
> 解読を試みる。

 ブルートフォース攻撃(Brute Force Attack)とは、
 パスワードや暗号化データの解読のために、全てのパターンのキーを
 入力して、力づくで突破しようとする攻撃方法です。

 いわゆる総当たり攻撃で、Brute Forceは「力づく」という意味があります。

 この攻撃への対策としては、ユーザに対して、簡単な英単語や数字列などの
 推測されやすいパスワードを使わないように促すことはもちろん、
 ID/Passwordの入力に数回失敗した場合は、アカウントロックをかける
 などの対策が必要ですね。



=-=[あとがき]=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

 昨日、話題になっていましたが、ファミコンに続いて、
 スーパーファミコンが小さくなって発売されるようですね!

 ミニスーパーファミコン国内発表
 ――幻の「スターフォックス2」や「FE紋章の謎」などソフト21本内蔵
 http://jp.techcrunch.com/2017/06/27/engadget-mini-sfc/


 いやー、欲しい(笑)
 ミニファミコンはすっかりやっていませんが、とりあえずこれも欲しい。
 2017年10月5日、7,980円(税別)で発売予定だそうです。



----------------------------------------------------------------------
◆のんびりやろう!情報処理試験!はこちらから http://www.shunzei.com/ 
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

のんびりやろう!情報処理試験!-1問1問コツコツと-

RSSを登録する
発行周期 週3日(月水金)
最新号 2017/06/28
部数 5,827部

このメルマガを購読する

ついでに読みたい

のんびりやろう!情報処理試験!-1問1問コツコツと-

RSSを登録する
発行周期 週3日(月水金)
最新号 2017/06/28
部数 5,827部

このメルマガを購読する

今週のおすすめ!メルマガ3選

一緒に歩もう!小富豪への道
富裕層むけ、富裕層入りを目指す方むけの究極の資産防衛メルマガ!一国だけに資産を集めておくのは危険な時代がやってきました。海外ヘッジファンド、貴金属、不動産からアンティーク・コインまで、金融不安に負けない世界分散ポートフォリオを、経験豊富なファイナンシャル・プランナーが誠意をもってご案内します。
  • メールアドレスを入力

  • 規約に同意して

楽しく幸せな会社組織づくりのすすめ
組織変革コンサルタントが語る楽しく幸せな会社組織づくり・社員育成実践テクニックをご紹介。社員数名~100名前後の中堅・中小企業オーナー社長や経営層・人事部・管理職・仕事の幅を広げたいフリーランス・士業の方は必見! 社員の主体性や部門間の連携力を高める効果的なコーチング・研修・ワークショップなど具体的な打ち手も解説します。また自社で取り組んでいる管理・評価・指示命令が不要な新世代型の組織運営法「びりかん式経営」についてもご紹介していきます。
  • メールアドレスを入力

  • 規約に同意して

生きる意味は仏教に学びなさい
仏教メルマガ読者数日本一。今この瞬間に幸せを感じ、後悔のない人生にする方法とは?なぜどんなにお金があっても幸せになれないのか。むなしい人生になってしまう原因とは?あなたの人生を背後で支配する運命の法則と99%の人が自覚なく不幸を引き寄せている6つの行いとは…?仏教史上初のウェブ通信講座を開設、仏教の歴史を変え続ける中村僚が、葬式法事仏教となった現代日本の仏教界では失われた本当の仏教の秘密を公開。発行者サイトでも隠された仏教の秘密を無料プレゼント中。
  • メールアドレスを入力

  • 規約に同意して

今週のおすすめ!メルマガ3選

相馬一進の、1億稼ぐビジネスの本質|マーケティングと心理学
・天職で1億稼いだ相馬一進が、お金、自己啓発、仕事について、 心理学とマーケティングの側面から語る本格派メールマガジン。 ・著者の相馬一進は、ダライ・ラマ14世や、『7つの習慣』の スティーブン・コヴィーや、リチャード・ブランソンなどの、 海外セミナーへの日本人ツアーを企画、集客した実績を持つ。 ・最先端の起業・副業のノウハウや、マーケティングの原理原則、 生活の中からストレスを減らす方法、モチベーションの心理学、 複数の収入源を持つ方法、働く時間を減らす秘密などを配信中。
  • メールアドレスを入力

  • 規約に同意して

水戸市のサラリーマン大家さん
総発行部数15万部。購読者日本一の不動産メルマガ。 2017年5月現在8900人以上の投資家さんとお会いしてきました。 年間取引額300億円以上、累計取引額1000億以上の不動産会社社長が、不動産投資について真剣に書いています。 今ならメルマガ内で10万円相当の「不動産投資大百科」を無料配布中。 メルマガ登録で非公開の物件情報も入ってきます。 不動産仲介業 宅地建物取引業免許 国土交通大臣(1)第8944号
  • メールアドレスを入力

  • 規約に同意して

『資金調達など経営者の悩みを真に解決するマガジン』
経営コンサルタントが実践から得た経験や知恵を基に、経営に役立つ「本日の経営者への一言」と、実際にあった話を基に実名を出さずに「実話風読物(カードローン取立との戦い等)」に仕立てた読物との2部構成で綴られたメルマガです。
  • メールアドレスを入力

  • 規約に同意して

アーカイブ

他のメルマガを読む

ウィークリーランキング