リバースブルートフォース攻撃｜情報セキュリティマネジメント 令和元年 秋期午前試験 問19
出典：令和元年秋期 午前 問19
分野：セキュリティ ／ 情報セキュリティ
リバースブルートフォース攻撃に該当するものはどれか。
- ア：攻撃者が何らかの方法で事前に入手した利用者IDとパスワードの組みのリストを使用して，ログインを試行する。
- イ：パスワードを一つ選び，利用者IDとして次々に文字列を用意して総当たりにログインを試行する。
- ウ：利用者ID，及びその利用者IDと同一の文字列であるパスワードの組みを次々に生成してログインを試行する。
- エ：利用者IDを一つ選び，パスワードとして次々に文字列を用意して総当たりにログインを試行する。
TSUNAGARU-ADVICE
まず押さえたいこと
リバースブルートフォース攻撃は、一つのパスワードを固定し、利用者IDを次々に変えてログインを試す攻撃です。一般的な総当たり攻撃とは、固定する対象と変化させる対象が逆になっています。
迷ったときの判断軸
通常のブルートフォースはIDを固定してパスワードを総当たり、リバースブルートフォースはパスワードを固定してIDを総当たりと整理しましょう。流出済みのIDとパスワードの組合せをそのまま試す攻撃はパスワードリスト攻撃です。
科目Bにつなげるために
科目Bでは、ログイン試行ログを見て、同じパスワード候補で多数の利用者IDに試行しているかを確認する場面につながります。アカウントロックだけでなく、多要素認証や不審なログイン試行の監視を組み合わせて考えましょう。
リバースブルートフォース攻撃は、特定のパスワードを1つ固定し、多数の利用者IDに対して順番にログインを試みる攻撃です。一般的なブルートフォース攻撃とは、固定するものが逆になっている点が特徴です。
本問では、「パスワードを一つ選び」「利用者IDとして次々に文字列を用意して総当たりにログインを試行する」という部分が判断のポイントです。この特徴に当てはまるため、イが適切です。
❌他選択肢が誤りの理由ア：攻撃者が何らかの方法で事前に入手した利用者IDとパスワードの組みのリストを使用して，ログインを試行する。
⇒パスワードリスト攻撃の説明です。流出などによって得た利用者IDとパスワードの組合せを、そのまま別のサービスなどで試します。
ウ：利用者ID，及びその利用者IDと同一の文字列であるパスワードの組みを次々に生成してログインを試行する。
⇒利用者IDと同じ文字列をパスワードとして試す攻撃の説明です。パスワードを1つ固定して多数の利用者IDを試すリバースブルートフォース攻撃とは異なります。
エ：利用者IDを一つ選び，パスワードとして次々に文字列を用意して総当たりにログインを試行する。
⇒通常のブルートフォース攻撃の説明です。1つの利用者IDを固定し、考えられるパスワードを総当たりで試します。