ルートキットとは？侵入後に痕跡を隠して居座る仕組み【基本情報技術者試験】

まず結論

ルートキット（rootkit）とは、攻撃者がシステムへ侵入した後に、侵入の痕跡や不正プログラムの存在を隠し、継続してシステムを支配しやすくするための仕組みです。

基本情報技術者試験では、次の組合せで判断すると選択肢を切りやすくなります。

侵入後
＋
痕跡を隠す
＋
不正プログラムを見つかりにくくする
＋
権限や再侵入手段を維持する
→ ルートキット

一言で覚えるなら、

ルートキットは、侵入後に「隠れる・居座る」ための仕組み。

です。

直感的な説明

ルートキットは、侵入者が建物へ入ったあとに、監視カメラの記録を消し、隠し通路を作り、見つからないまま居続けるようなイメージです。

攻撃者が侵入
↓
不正なプログラムを設置
↓
ログ・ファイル・プロセスなどの痕跡を隠す
↓
見つかりにくい状態を維持
↓
必要に応じて再び操作する

ここで大切なのは、最初に侵入することよりも、侵入後に隠れて支配を続けることに注目することです。

定義・仕組み

ルートキットは、攻撃者がシステム内で不正な活動を続けるために使うソフトウェアやツールのまとまりです。

代表的な機能には、次のようなものがあります。

機能	何をするか
痕跡の隠蔽	ログ、ファイル、プロセスなどを見えにくくする
バックドアの設置	正規の認証を通らず再侵入しやすくする
権限の維持	不正に取得した高い権限を使い続ける
監視回避	セキュリティソフトや管理者から見つかりにくくする
別の不正機能の組込み	キーロガーなどを含む場合がある

つまり、ルートキットは一つの動作だけを指すというより、侵入後の隠蔽や支配の維持を助ける仕組みとして考えると分かりやすいです。

「root」という名前のイメージ

rootは、Unix系OSで強い管理権限を持つユーザー名として知られています。

高い権限
＋
不正な活動を隠すための道具一式

というイメージを持つと覚えやすいですが、FE試験では語源よりも 「侵入後の隠蔽」 を判断基準にする方が重要です。

このテーマは、基本情報技術者試験の情報セキュリティ分野に関係します。公式の出題範囲やシラバスは、IPA：基本情報技術者試験から確認できます。

科目Aでどう出る？

科目Aでは、不正プログラムやセキュリティ技術の説明から用語を選ぶ形で出題されます。

何をしているかを見る

問題文の表現	選びたい用語
侵入後の痕跡や不正プログラムを隠す	ルートキット
正規の認証を避けて再侵入する入口を作る	バックドア
キーボード入力を記録して認証情報を盗む	キーロガー
無線LANの暗号化に関する方式	TKIPなど
Webページ閲覧などの情報を収集する	Webビーコン
ICタグを無線で読み取って識別する	RFID

試験中は、次のように切ると速いです。

侵入後に隠す・居座る
→ ルートキット

再侵入用の入口
→ バックドア

キー入力を盗む
→ キーロガー

無線LANの暗号化
→ TKIPなど

Web閲覧情報を取得
→ Webビーコン

「侵入する」より「侵入後」が決め手

問題文に次のような表現があれば、ルートキットを疑います。

侵入の痕跡を隠す
不正なプロセスを見えなくする
管理者権限を維持する
検知されにくくする
再侵入しやすくする

「どうやって侵入したか」ではなく、侵入後に何をしているかを見るのがポイントです。

どんな場面で使う？

ルートキット対策では、単に不正ファイルを削除するだけでなく、システム全体がどこまで改ざんされているかを確認することが重要です。

ルートキットがOSの深い部分に入り込むと、通常の画面やコマンドでは不正なプロセスやファイルが見えない場合があります。

対策としては、次のような考え方が関係します。

OSやソフトウェアを最新の状態に保つ
不審なソフトウェアを実行しない
管理者権限を必要最小限にする
セキュリティソフトや監視機能を利用する
ログや挙動の異常を確認する
侵害が深刻な場合は、信頼できる状態から復旧する

FE試験では、対策の細部よりもまず、ルートキットの役割が「隠蔽と権限維持」であることを押さえるのが重要です。

よくある誤解・混同

❌ ルートキットは、システムへ最初に侵入する攻撃そのもの

誤りです。

ルートキットは、侵入後に使われることが多く、中心的な役割は 隠蔽・権限維持・継続的な支配 です。

最初の侵入
→ 脆弱性悪用や不正ログインなど

侵入後に隠れて居座る
→ ルートキット

❌ ルートキットとバックドアは同じ

同じではありません。

バックドアは、正規の認証手順を通らずに再びアクセスできる入口です。

ルートキットは、不正な活動やプログラムを隠し、支配を継続しやすくする仕組みです。

バックドア
→ 再侵入するための入口

ルートキット
→ 侵入後に隠れて居座る仕組み

ルートキットの中にバックドア機能が含まれることはありますが、同じ意味ではありません。

❌ ルートキットとキーロガーは同じ

異なります。

キーロガーは、利用者のキー入力を記録する仕組みです。

入力を記録
→ キーロガー

侵入後の痕跡を隠す
→ ルートキット

キーロガーについては、キーロガーとは？キー入力を記録して認証情報を盗む仕組みで詳しく整理しています。

❌ ルートキットは無線LANの暗号化方式

誤りです。

TKIPなどは無線LANのセキュリティ方式です。

ルートキットは、マルウェアや不正侵入後の隠蔽に関係する用語です。

❌ ルートキットはWeb閲覧情報を集める仕組み

誤りです。

Webページに埋め込まれ、閲覧状況などを収集する仕組みはWebビーコンです。

ルートキットの中心は 隠蔽・権限維持 です。

まとめ（試験直前用）

ルートキットは、侵入後の痕跡や不正プログラムを隠す仕組み
侵入後に隠れる・居座る → ルートキット
バックドアは、再侵入するための入口
キーロガーは、キー入力を記録する仕組み
TKIPは、無線LANのセキュリティ方式
Webビーコンは、Web閲覧情報などを収集する仕組み
RFIDは、ICタグを無線で識別する技術
「何をしているか」で選択肢を切る

ルートキット = 侵入後に隠れて居座る。

🔗 関連記事

🏠 基本情報技術者トップに戻る