はじめに
この記事シリーズは情報セキュリティマネジメントの資格勉強で学んだことの中でも、特に気になった内容、正しく理解したい内容をブログ記事にしてアウトプットしていきます。
実際に学んだことを整理し、理解を深めるための参考にもなればと思っています。
参考書とサイト
資格勉強におすすめな参考書はこちらです。
重要なキーワードや仕組みについてわかりやすく記載されており、特に図解もあるのがポイントです。
参考書を1周したり、腕試しを試したい方はこちらのサイトも有効活用しましょう。
情報セキュリティマネジメントの過去問が無料で試せます。
パスワードを狙うサイバー攻撃を8つ覚えよう
インターネットサービスでは、多くの場合「パスワード」がユーザーのセキュリティを守る重要な役割を果たしています。しかし、そのパスワードを狙った攻撃には、想像以上にさまざまな手法が存在します。
例えば、「ブルートフォース攻撃」や「辞書攻撃」といった直接的な方法もあれば、「フィッシング攻撃」のように巧妙に情報を引き出す方法もあります。
この記事では、代表的なパスワード攻撃を8つ取り上げ、それぞれの特徴やリスク度、そして対策について整理してみます。
ブルートフォース攻撃（総当たり攻撃）
リスク度：高
試行回数制限がないシステムでは成功率が高く、攻撃ツールも広く出回っているため。
同じユーザーに対して、適当な文字列を組み合わせて力任せにログインの試行を繰り返す攻撃手法。
特に簡単なパスワードや短いパスワードは短時間で突破される。
ブルートフォース攻撃とは逆に、同じパスワードを使って様々なユーザーに対してログインを試行するリバートブルートフォース攻撃もある。
“ブルートフォース”とは「力任せ」という意味。
対策としては複雑で長いパスワードを設定し、試行回数を制限する仕組みや一定回数失敗後にアカウントをロックする機能を導入することで、この攻撃を効果的に防ぐことができる。
辞書攻撃
リスク度： 中
パスワードに単語や簡単なフレーズを使うユーザーが多いため、成功率が比較的高い。
辞書に載っている単語やよく使われるフレーズを順番に試してログインを試みる攻撃手法。
辞書攻撃は、英語や他の言語の単語辞書が使われることが多い。
対策としてはパスワードには辞書にある単語を避け、ランダムな文字列や記号を含む複雑なものを使用することで対処できます。
スニッフィング
リスク度： 高
ネットワーク通信を盗聴するだけで情報を取得できるため、未暗号化通信では非常に危険。
通信を盗聴してパスワードなどの情報を取得する攻撃手法。
主に未暗号化の通信（httpsや未保護のWi-Fi）を対象とする。
対策としては暗号化された通信（httpsやVPN）を利用し、通信経路を保護することで盗聴を防ぐことができます。
リプレイ攻撃
リスク度： 中
認証情報が暗号化されていても再送信できる場合、攻撃は成立する。
認証情報を含むパケットを取得し、それをそのまま再送信して認証を突破する攻撃手法。
セッションの管理が弱いシステムで特に有効。
対策としてはタイムスタンプやワンタイムトークンを利用して、同じ認証情報を再利用できないようにすることで防御可能です。
パスワードリスト攻撃
リスク度： 高
ユーザーが複数のサイトで同じパスワードを使い回している場合、成功率が非常に高い。
過去に流出したパスワードリストを利用して不正ログインを試みる攻撃手法。
使い回されたパスワードが狙われる。
対策としては異なるサイトごとにユニークなパスワードを使用し、パスワード管理ツールを活用して安全性を高めるべきです。
レインボー攻撃
リスク度： 高
ハッシュ化されたパスワードが流出した場合、レインボーテーブルを使用して解読できるため。
事前に作成したパスワードとハッシュ値の対応リスト（レインボーテーブル）を用いて、ハッシュ化されたパスワードを解読する攻撃手法。
対策としてはパスワードを保存する際にはソルトを加えたハッシュ化を行い、レインボーテーブルの利用を無効化する方法が効果的です。
クレデンシャルスタッフィング
リスク度： 高
流出した認証情報が利用されるため、攻撃対象が非常に広範囲になる。
流出したIDとパスワードの組み合わせを自動ツールで大量に試行し、他のサービスへの不正ログインを試みる攻撃手法。
対策としては多要素認証（MFA）を導入し、流出したパスワードだけではログインできない仕組みを作ることが有効です。
フィッシング攻撃
リスク度： 高
ユーザーの信頼を利用してパスワードを取得するため、被害者が気づきにくい。
偽のログインページやメールを利用して、ユーザーから直接パスワードを取得する手法。
信頼感のあるデザインやドメイン名を利用することが多い。
対策としては送信元やURLを注意深く確認し、不審なリンクをクリックしないことが最善の防御策です。ブラウザのフィッシング対策機能を活用するのも有効です。
パスワードクラックとは
「パスワードクラック」は、パスワードを不正に取得し、システムへのアクセスを試みるすべての攻撃手法の総称です。これらの攻撃手法は、ユーザーが設定したパスワードに関するさまざまな弱点を突くものであり、セキュリティの脅威となります。
代表的な8つの攻撃手法に対する対策としては、強力なパスワードの設定、二段階認証の導入、通信の暗号化、アカウントのロック機能などが有効です。
これらの攻撃手法を覚えることで、日常的に行うパスワード管理が強化され、サイバーセキュリティの意識が高まります。
その結果、無用なリスクを減らし、安全なインターネット環境を維持することができます。
関連情報・参考リンク
不正ログインの対策に関する情報
