情報セキュリティマネジメント試験（SG）の「サイバー攻撃手法」分野のオリジナル予想問題を7問、正解と解説つきで無料公開しています。登録なしで読めます。
※ 本サービスは各試験の実施団体とは関係のない非公式の学習サービスで、掲載問題は出題範囲に基づく独自作成（オリジナル）です。
攻撃者の代表的な手口を、狙いと仕組みでセットに理解する分野です。対策（後続分野）の“なぜ”がここで分かります。
攻撃は大きく、人をだます系（フィッシング・標的型メール・ソーシャルエンジニアリング）、システムの穴を突く系（SQLインジェクション・クロスサイトスクリプティング＝XSS・クロスサイトリクエストフォージェリ＝CSRF）、認証を破る系（辞書攻撃・総当たり・パスワードリスト攻撃）、可用性を奪う系（DoS・DDoS）に整理できます。
SGでは「この手口はどれか」「この対策が有効なのはどの攻撃か」を結びつける問題が中心です。たとえばSQLインジェクションにはプレースホルダ、XSSには出力のエスケープ、というように“攻撃と対策の対応”で覚えると得点しやすくなります。
利用者が認証済みのWebアプリケーションに対し，利用者の意図しない操作を強制的に実行させる攻撃はどれか。
正解ウ。CSRFはログイン状態（セッション）を悪用し，利用者の意図しないリクエストを実行させる。対策はトークンの埋め込みなど。XSSはスクリプト実行，SQLiはDB操作，トラバーサルはパス操作。
特定の組織や個人を狙い，業務内容や取引先を装って巧妙に作り込んだメールで認証情報などを盗む攻撃はどれか。
正解ウ。標的型攻撃は特定の標的に合わせて文面を作り込む。不特定多数に送るのは通常のフィッシング。
多数の機器から大量の通信を一斉に送りつけ，標的のサーバやネットワークを過負荷で停止させる攻撃はどれか。
正解エ。DDoS攻撃は分散した多数の機器（ボットネット等）から大量アクセスを行い，可用性を奪う。
Bさんが取るべき対応として最も適切なものはどれか。
正解ア。ドメインが1文字違い・不審な添付＝なりすまし（標的型/BEC）の疑い。添付は開かず，メールへの返信ではなく既知の正規連絡先で確認し，速やかに報告するのが正しい初動。返信先も攻撃者の可能性がある。
正規のソフトウェア更新サーバや配布経路に攻撃者が侵入し，正規の製品に不正なコードを混入させて利用者に配布させる攻撃はどれか。
正解ア。製品・サービスの供給網（開発・配布経路や委託先）の弱点を突いて正規ルートに不正を混入させるのがサプライチェーン攻撃。ゼロデイは未修正脆弱性の悪用，ブルートフォースは総当たり，リプレイは盗んだ通信の再送。
利用者をだまして偽サイトへ誘導するフィッシングのうち，DNSの情報を書き換えるなどして正しいURLを入力しても偽サイトへ誘導する手口はどれか。
正解イ。ファーミングはDNSやhostsファイルを改ざんし，正しいURL入力でも偽サイトへ誘導する。スミッシングはSMSを使うフィッシング，クリックジャッキングは透明な要素で誤クリックを誘う手口，タイポスクワッティングは打ち間違いドメインを悪用する手口。
電子メールの送信ドメイン認証技術であり，送信元メールサーバのIPアドレスがそのドメインの正規送信元として登録されているかをDNSで検証するものはどれか。
正解ア。SPF（Sender Policy Framework）は，ドメインの正規送信メールサーバのIPアドレスをDNSに公開し，受信側が照合してなりすましを検出する。S/MIMEはメールの暗号化・署名，SSHは暗号化リモート接続，SNMPは機器監視のプロトコル。