エクスプロイトコードに該当するもの｜情報処理安全確保支援士平成28年春期午前Ⅱ試験問6

出典：平成28年春期午前Ⅱ 問6 分野：セキュリティ／情報セキュリティ

情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

この問題を解く

解説

エクスプロイトコードは、ソフトウェアやハードウェアに存在する脆弱性を実際に利用するために作成されたプログラムやコードです。

例えば、特定の脆弱性を突いて本来実行できない処理を実行したり、権限を取得したりする目的で利用されます。脆弱性の検証やセキュリティ研究で使われることもありますが、攻撃目的で悪用されることもあります。

したがって、エが適切です。

❌他選択肢が誤りの理由
ア：同じセキュリティ機能の製品に乗り換える場合に，CSVなど他の製品が取り込める形式でファイルを出力するプログラム
⇒データのエクスポート機能に関する説明です。エクスプロイトコードとは関係ありません。

イ：コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア
⇒ストレージやファイルを閲覧・管理するソフトウェアに関する説明であり、脆弱性を利用するためのコードではありません。

ウ：セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法
⇒プロトタイピングなどの開発手法に関する説明です。エクスプロイトコードは開発手法ではなく、脆弱性を利用するために作成されたプログラムやコードです。

TSUNAGARU-ADVICE

エクスプロイトコードは、ソフトウェアやハードウェアに存在する脆弱性を実際に悪用するために作成されたプログラムです。脆弱性が存在するだけでは攻撃は成立せず、その弱点を突いて不正な処理を実行させるためのコードがエクスプロイトコードです。

データ移行用の出力プログラム・外部記憶装置の管理ソフト・試作品を使って開発を進める手法は、いずれも脆弱性を悪用するためのものではありません。エクスプロイトコードは、脆弱性・悪用・攻撃コードという組合せで判断しましょう。

科目Bでは、脆弱性情報・CVE・攻撃コード・侵入経路・パッチ適用などと組み合わせて問われることがあります。用語だけで覚えるのではなく、脆弱性が存在し、それを悪用するコードがあり、実際の攻撃につながるという流れで理解すると、インシデント分析や対策判断につなげやすくなります。

参考

エクスプロイトコードに該当するもの｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問6