エクスプロイトコードの説明｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問5
出典：平成29年秋期 午前Ⅱ 問5
分野：セキュリティ ／ 情報セキュリティ
情報セキュリティにおけるエクスプロイトコードの説明はどれか。
- ア：同じセキュリティ機能をもつ製品に乗り換える場合に，CSVなど他の製品に取り込むことができる形式でファイルを出力するプログラム
- イ：コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア
- ウ：セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法
- エ：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム
TSUNAGARU-ADVICE
まず押さえたいこと
エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を悪用するために作成されたプログラムです。攻撃者が不正侵入や権限昇格などに使うことがありますが、防御側が脆弱性の有無を検証する目的で使う場合もあります。ポイントは、脆弱性を実際に利用するためのコードであることです。
迷ったときの判断軸
CSV形式でファイルを出力する説明はデータ移行、外部記憶装置や暗号化ファイルを閲覧・管理する説明は管理ソフトウェア、試作品を作って利用者反応を見ながら完成させる説明はプロトタイピングに近い内容です。エクスプロイトコードは、脆弱性という弱点を突いて動作させるプログラムと判断しましょう。
科目Bにつなげるために
科目Bでは、脆弱性診断・ペネトレーションテスト・PoC・パッチ適用・IDS/IPSの検知ログなどと絡めて問われることがあります。エクスプロイトコードは検証にも使えますが、実害につながる可能性があるため、使用目的・対象範囲・実施環境・許可の有無を明確にして扱う視点を持ちましょう。
エクスプロイトコードは、ソフトウェアやハードウェアに存在する脆弱性を悪用するために作成されたプログラムです。攻撃コードとも呼ばれます。
攻撃者による不正侵入や権限昇格などに悪用される一方、管理された環境では、脆弱性が実際に悪用可能かを確認する検証にも利用されます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：同じセキュリティ機能をもつ製品に乗り換える場合に，CSVなど他の製品に取り込むことができる形式でファイルを出力するプログラム
⇒データを他の製品へ移行するためのエクスポート機能に関する説明です。脆弱性を悪用するプログラムではありません。
イ：コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア
⇒ファイル管理ソフトウェアに関する説明です。記憶装置やファイルを閲覧・管理するものであり、脆弱性を悪用するエクスプロイトコードとは異なります。
ウ：セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法
⇒プロトタイピングに関する説明です。試作品を用いて利用者の要求を確認しながら開発を進める手法であり、攻撃コードではありません。