このレッスンでは、サイバー攻撃の手口のうち、
- DoS／DDoS攻撃
- バッファオーバーフロー
- パスワードリスト攻撃
について解説します。
DoS（ドス）攻撃／DDoS（ディードス）攻撃
DoS攻撃とは、一時期に大量の通信をおこなって負荷をかけ、
サーバーをダウンさせるなどするサイバー攻撃です。
DoS攻撃は一台のパソコンからですが、
多数のコンピュータから一斉に攻撃をしかける攻撃がDDoS攻撃です。
DoS攻撃であれば、
攻撃をしかけてくるコンピューターからの通信を拒否すれば済みますが、
DDoS攻撃は多数からの攻撃なので対応が難しくなります。
DDoS攻撃をしかけるには大量のコンピューターが必要ですが、
別のユーザーのコンピューターを乗っ取って攻撃する方法があります。
これが「ボット」です。
ボットによるコンピューターの集合を
ボットネットと言いますが、
無関係のユーザーが知らぬ間にボットネットに入り、
加害者になっているというケースもありえることです。
※ボットについてはLesson4-7で学びましたので、
復習しておきましょう。
バッファオーバーフロー
バッファとは、処理中のデータを一時的に保存する機能（メモリ領域）のことです。
バッファオーバーフローは、
このメモリ領域の許容量を超えるデータを入力し、
動作不良を起こすサイバー攻撃です。
バッファーオーバーフローの攻撃にはいくつか種類がありますが、
主な攻撃が「スタック領域型」です。
攻撃者がバッファの許容量を超えたデータを書き込み、
そのデータの中に悪意のあるコードを入れると、
リターンアドレス（※）が上書きされ、
悪意のあるコードが実行されてしまいます。
（※）関数の処理が終了した後に、
次にどこのプログラムを実行すればよいか戻り先を示す情報。
バッファオーバーフローの攻撃を受けると、
管理者権限を奪われてしまい、機密情報などの漏洩につながります。
またバッファオーバーフローを利用してマルウェアに感染させ、
ボットとして利用されるという被害もあります。
バッファオーバーフローを起こさせないためには、
開発者がバッファのサイズチェックをおこなったり、
入力データが溢れた時はエラーとして制限しておくなどの
対策をしておく必要があります。
パスワードリスト攻撃
パスワードリスト攻撃とは、
不正に入手したIDとパスワードのリストを使って、
不正ログインすることです。
パスワードリストは脆弱なWebサイトをハッキングして入手したり、
ダークウェブ（※）で入手します。
（※）個人情報やID／パスワード、
違法薬物の販売などが行われているサイトで、
通常の方法ではアクセスできないようになっている。
後のレッスンで詳しく解説します。
多くのユーザーは、異なるWebサイトで同じパスワードを使い回しているため、
複数のサイトで被害を受けてしまう可能性もあります。
企業にとって脅威なのは、自社のWebサイトに問題がなくても、
パスワードリスト攻撃の被害に遭ってしまうことです。
ユーザー本人がログインしている場合と見分けがつきづらく、
企業側も被害に遭っていることに気づけない場合があります。
ユーザーとしては、
- 異なるサイトで同じパスワードを使い回さない。
- パスワードを定期的に更新する。
- ログイン履歴をチェックする。
などの対策が必要です。
サービス提供側の対策としては、
- 二要素認証（※）
- 二段階認証（※）
- ログインアラート（ユーザーがログインした時に、
登録されたメールアドレスにメールを送信する機能のこと）
などがあります。
（※）二要素認証と二段階認証については、Lesson4-5を復習しましょう。
次のレッスンも、サイバー攻撃の手口について学習を進めます。
