エクスプロイトコードとは？

エクスプロイトコードの意味

特定の脆弱性を突いて意図しない動作を引き起こすプログラム。攻撃に使われる一方、脆弱性が実際に悪用可能かを検証する目的でも作成・公開される。

エクスプロイトコードの具体例

CVSS 9.8の脆弱性が公表された数日後、実証コードが公開リポジトリへ掲載された。実証コードの存在は悪用の急増を意味するため、社内の適用期限を「重大は30日以内」から「実証コード公開後72時間以内」へ引き上げる基準を定めた。

エクスプロイトコードは試験でどう引っ掛けられる？

PoC（実証コード）と実運用の攻撃コードは目的が違い、PoCは「悪用可能であること」を示すだけで完全な侵害には至らないことが多い。またCVSSの基本評価基準は実証コードの有無を反映しない（反映するのは現状評価基準のE：攻撃コード成熟度）ため、「基本値が変わっていないから緊急度も同じ」という判断は誤り。

エクスプロイトコードと関連する用語

• Exploit Kit
• ペネトレーションテスト
• CVSS

エクスプロイトコードが出た過去問

• 情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。

  正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突くプログラム

  エクスプロイトコードは、ソフトウェアやハードウェアの脆弱性を実際に突いて攻撃や検証を行うために作られたプログラムです。脆弱性の存在を実証する目的で公開されることもありますが、そのまま攻撃に転用されるため危険性が高いものです。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問6（IPA）

• 情報セキュリティにおけるエクスプロイトコードの説明はどれか。

  正解：ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

  要点：エクスプロイトコードは脆弱性を突く実証・攻撃プログラム

  エクスプロイトコードとは、ソフトウェアやハードウェアに存在する脆弱性を突いて、想定外の動作（任意コード実行や権限昇格など）を引き起こすために作成されたプログラムを指す。攻撃に悪用される一方、検証用コード（PoC）として脆弱性の存在確認やパッチの有効性検証にも用いられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問5（IPA）

• 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を評価する

  CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• エクスプロイトコードの説明はどれか。

  正解：攻撃コードとも呼ばれ,脆弱性を悪用するソフトウェアのコードのことであるが,使い方によっては脆弱性の検証に役立つこともある。

  要点：エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う

  エクスプロイトコードとは、特定の脆弱性を突いて意図しない動作（任意コード実行や権限昇格など）を引き起こすためのコードを指し、攻撃コードとも呼ばれる。攻撃に悪用される一方、実際に脆弱性が存在するかを確かめる検証（PoC）や、対策の有効性確認にも用いられる。公開の是非が議論になるのは、この両義性のためである。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問4（IPA）

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の三基準で脆弱性を点数化する

  CVSSは脆弱性の深刻度を共通の尺度で数値化する評価手法で、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回り具合や対策状況といった時間変化を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問9（IPA）