情報セキュリティの脅威と認証

要点と定義

情報セキュリティでは、情報の機密性・完全性・可用性を確保し、情報システムと情報を脅威から守る。脅威には、情報を盗むもののほか、サービスを妨害したり、利用者に経済的損失を与えたりするものもある。

ブルートフォース攻撃は、パスワードなどの候補を総当たりで試し、認証を突破しようとする攻撃である。候補を繰り返し試す点が判断の中心となる。

リスクベース認証は、アクセス環境などから認証要求のリスクを判断し、必要に応じて追加の本人認証を求める方式である。普段と異なる環境は追加確認を判断する手掛かりになるが、それだけで不正アクセスだと確定するわけではない。

否認防止は、利用者がシステムを利用したという事実を、後から証明可能にする情報セキュリティ特性である。行為の証拠と主体を結び付けられることが判断の要点になる。電子署名はそのための手段の一例だが、適切な実装や運用が必要である。

適用条件と例

EDoSは、従量課金制のクラウドサービスなどでリソースを大量に消費させ、利用者に過大な料金などの経済的損失を与える攻撃である。単なるサービス停止ではなく、リソース消費による費用増大が狙いに含まれる点を見る。これは過去の出題で扱った補足である。

DRDoSは、送信元を攻撃対象に偽装した要求を複数の第三者サーバへ送り、その応答を攻撃対象に集中させる分散反射型のサービス妨害攻撃である。第三者サーバの応答を反射させる仕組みが判断の鍵になる。これは過去の出題で扱った補足である。

たとえば、クラウド上の処理が増えて利用量や費用が大きくなった場合、その増加が通常の利用によるものか、意図的なリソース消費によるものかを区別する観点が役立つ。利用量や費用の増加だけで攻撃だと断定はできない。

ディープフェイクは、AI技術で人物の音声や映像を加工・合成し、本人が発言・行動しているように見せる手法である。たとえば、人物の声を使った依頼でも、声だけでは本人の発言だと確定できない。これは過去の出題で扱った補足である。

誤りやすい点

サービス妨害と経済的損失は関連するが、見るべき仕組みは異なる。EDoSでは従量課金のリソース消費による費用増大に注目する。DRDoSでは第三者サーバの応答を攻撃対象へ反射・集中させる仕組みに注目する。

リスクベース認証は、環境によらず常に同じ追加認証を行う方式ではない。状況に応じて認証を調整するため、通常と異なる環境で追加確認を行う例が当てはまる。