水飲み場型攻撃の手口｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問8
出典：平成27年秋期 午前Ⅱ 問8
分野：セキュリティ ／ 情報セキュリティ
水飲み場型攻撃（Watering Hole Attack）の手口はどれか。
- ア：アイコンを文書ファイルのものに偽装した上で，短いスクリプトを埋め込んだショートカットファイル（LNKファイル）を電子メールに添付して標的組織の従業員に送信する。
- イ：事務連絡などのやり取りを行うことで，標的組織の従業員の気を緩めさせ，信用させた後，攻撃コードを含む実行ファイルを電子メールに添付して送信する。
- ウ：標的組織の従業員が頻繁にアクセスするWebサイトに攻撃コードを埋め込み，標的組織の従業員がアクセスしたときだけ攻撃が行われるようにする。
- エ：ミニブログのメッセージにおいて，ドメイン名を短縮してリンク先のURLを分かりにくくすることによって，攻撃コードを埋め込んだWebサイトに標的組織の従業員を誘導する。
TSUNAGARU-ADVICE
まず押さえたいこと
水飲み場型攻撃は、標的組織の従業員が普段よく利用するWebサイトをあらかじめ侵害し、そこに攻撃コードを仕込んでおく手口です。標的側が自らそのサイトへアクセスするのを待つため、標的がよく使うWebサイトを攻撃の入口にする点が特徴です。
迷ったときの判断軸
メール添付ファイルを使う手口は標的型メール攻撃、短縮URLなどで不正サイトへ誘導する手口はフィッシングや誘導型攻撃に近い考え方です。水飲み場型攻撃では、攻撃者が標的の行動を予測し、頻繁に訪れる正規Webサイトを先に侵害するという流れを手掛かりに判断しましょう。
科目Bにつなげるために
科目Bでは、標的型攻撃・Webサイト改ざん・ドライブバイダウンロード・マルウェア感染経路などと組み合わせて問われることがあります。攻撃手口を読むときは、攻撃者が直接標的へ送っているのか、それとも標的が日常的に利用する第三者サイトを経由して感染させているのかを切り分けましょう。
水飲み場型攻撃（Watering Hole Attack）は、標的となる組織の従業員が普段からよく利用するWebサイトを攻撃者が改ざんし、そのサイトを閲覧した標的だけを感染させる手口です。
動物が水飲み場に集まるのを待ち伏せするように、攻撃者は標的の従業員がアクセスするWebサイトを事前に調査し、そこへ攻撃コードを埋め込みます。その後、標的の従業員が通常どおりWebサイトへアクセスすると、脆弱性の悪用やマルウェアのダウンロードなどが行われます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：アイコンを文書ファイルのものに偽装した上で，短いスクリプトを埋め込んだショートカットファイル（LNKファイル）を電子メールに添付して標的組織の従業員に送信する。
⇒標的型メール攻撃などに関する手口です。添付ファイルを開かせることで不正な処理を実行させます。水飲み場型攻撃は、標的が頻繁に利用するWebサイトを改ざんして待ち伏せする点が特徴です。
イ：事務連絡などのやり取りを行うことで，標的組織の従業員の気を緩めさせ，信用させた後，攻撃コードを含む実行ファイルを電子メールに添付して送信する。
⇒ソーシャルエンジニアリングを利用した標的型メール攻撃に関する説明です。相手の信用を得て不正な添付ファイルを開かせる手口であり、水飲み場型攻撃ではありません。
エ：ミニブログのメッセージにおいて，ドメイン名を短縮してリンク先のURLを分かりにくくすることによって，攻撃コードを埋め込んだWebサイトに標的組織の従業員を誘導する。
⇒不正なURLへ誘導するフィッシングやソーシャルエンジニアリングに近い手口です。水飲み場型攻撃では、攻撃者がリンクを送り付けて誘導するのではなく、標的が普段から利用しているWebサイトを改ざんしてアクセスを待ちます。