エクスプロイト｜科目A-1 令和7年 秋期午前試験 問36
出典：令和7年秋期 午前 問36
分野：セキュリティ ／ 情報セキュリティ
サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて，"エクスプロイト"に該当する行為はどれか。
- ア：公開情報の閲覧，顧客を装った電子メールでの問合せなどを行い，標的とする組織を調査する。
- イ：標的とする組織のPCでOSの脆弱性を悪用し，攻撃ツールを実行させる。
- ウ：標的とする組織のサーバから秘密情報を窃取し，攻撃者が用意したサーバに送信する。
- エ：標的とする組織の従業員にマルウェアを添付した電子メールを送りつける。
TSUNAGARU-ADVICE
まず押さえたいこと
サイバーキルチェーンのエクスプロイトは、標的環境の脆弱性を悪用して、攻撃コードや攻撃ツールを実行させる段階です。単に調査する段階でも、マルウェアを送り届ける段階でもなく、脆弱性を突いて実行に移す段階と押さえましょう。
迷ったときの判断軸
公開情報の調査は偵察、マルウェア添付メールの送付は配送、秘密情報の窃取と送信は目的の実行に近い行為です。「OSの脆弱性を悪用」「攻撃ツールを実行」という表現があれば、エクスプロイトに該当すると判断しやすくなります。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、攻撃を単発の事象ではなく、偵察・配送・エクスプロイト・侵入後の活動という流れで捉えることが重要です。ログ分析やインシデント対応では、今どの段階の攻撃が起きているのかを切り分ける力につながります。
サイバーキルチェーンは、サイバー攻撃がどのような流れで進むのかを、攻撃者の視点で7段階に分けたモデルです。
攻撃の流れを段階ごとに整理することで、「どの段階で攻撃を止められるか」「どのような対策を取るべきか」を考えやすくなります。
たとえば、偵察段階では公開情報の管理、配送段階では不審メール対策、遠隔操作段階では外部への不審な通信の検知が有効です。
つまりサイバーキルチェーンは、「攻撃者が準備から目的達成までに行う流れ」を整理し、各段階で防御策を考えるためのモデルです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：公開情報の閲覧，顧客を装った電子メールでの問合せなどを行い，標的とする組織を調査する。
⇒これは、攻撃前に標的の情報を集める偵察の段階です。公開情報や問い合わせを通じて、組織構成、利用技術、担当者情報などを調べる行為であり、脆弱性を悪用して攻撃を実行するエクスプロイトとは異なります。
ウ：標的とする組織のサーバから秘密情報を窃取し，攻撃者が用意したサーバに送信する。
⇒これは、攻撃の目的を達成する行動に当たります。情報の窃取や外部送信は、侵入後の活動であり、脆弱性を悪用して攻撃コードを実行させるエクスプロイトの段階ではありません。
エ：標的とする組織の従業員にマルウェアを添付した電子メールを送りつける。
⇒これは、攻撃手段を標的へ届けるデリバリの段階です。メール添付や悪意あるURLなどによって攻撃コードを送り込む行為であり、実際に脆弱性を悪用して実行させるエクスプロイトとは区別されます。