令和4年度 春期 情報処理安全確保支援士試験 午前II 問5
標的型攻撃における攻撃者の行動をモデル化したものの一つにサイバーキルチェーンがあり，攻撃者の行動を7段階に分類している。標的とした会社に対する攻撃者の行動のうち，偵察の段階に分類されるものはどれか。
解答・解説
正解: イ. 攻撃者が，会社の役員が登録しているSNSサイトから，攻撃対象の人間関係，趣味などを推定する。
標的型攻撃におけるサイバーキルチェーン（Cyber Kill Chain）は、攻撃者の行動を7つの段階にモデル化したものです。攻撃の初期段階である偵察（Reconnaissance）では、攻撃対象の選定や、攻撃を成功させるための事前の情報収集が行われます。
具体的には、ターゲット企業のWebサイト、公開されているプレスリリース、従業員が利用しているSNSなどのオープンソース情報（OSINT）を収集・分析し、システムの脆弱性や標的となり得る人物を特定します。したがって、SNSサイトから対象の人間関係や趣味を推定する行動が偵察の段階に該当します。
各選択肢の解説
- ア：インターネットに公開されていない社内ポータルサイトからの情報入手は、既にシステム内部へ侵入した後の行動であり、初期段階の「偵察」には該当しません（内部活動や目的の実行に含まれます）。
- イ：正解です。役員が登録しているSNSサイトなど、外部に公開されている情報から人間関係や趣味を推定し、攻撃の糸口を探る行動は「偵察」に分類されます。
- ウ：マルウェアを添付した攻撃メールを送付する行動は、作成した攻撃用コードを標的に送り届ける配送（Delivery）の段階に該当します。
- エ：ボットに感染したPCを遠隔操作して内部ネットワーク上で感染を広げ、情報を窃取する行動は、遠隔操作（Command and Control）や目的の実行（Actions on Objectives）の段階に該当します。