ドライブバイダウンロードとは？Web閲覧で感染する攻撃【SG試験】

まず結論

ポイントは、利用者が自分で怪しいファイルを開くとは限らないことです。

閲覧しただけで感染する可能性がある、という点を押さえると選択肢を切りやすくなります。

ドライブバイダウンロードは、たとえるなら、

お店に入っただけで、知らないうちに荷物をかばんに入れられてしまう

ような攻撃です。

利用者は、普通にWebページを見ているつもりです。しかし、そのWebページや広告、埋め込まれたスクリプトに悪意のある仕掛けがあると、ブラウザやプラグインなどの脆弱性を悪用され、マルウェアを送り込まれることがあります。

そのため、SG試験では「利用者が積極的にファイルを実行したか」よりも、Web閲覧をきっかけに感染するかを見るのが大切です。

ドライブバイダウンロード攻撃の基本的な流れは、次のように整理できます。

IPAの資料でも、ランサムウェアの感染経路として、メール添付ファイルの実行と並んで、Webサイト閲覧によるドライブバイダウンロード攻撃が説明されています。参考：IPA「ランサムウェアの脅威と対策」

ここで大事なのは、ドライブバイダウンロードはマルウェアを感染させるための攻撃手口であることです。

感染した後に、ファイルを暗号化すればランサムウェア被害につながることもあります。しかし、ドライブバイダウンロードそのものは、暗号化ではなく、Web閲覧をきっかけにマルウェアを入れさせる攻撃です。

ドライブバイダウンロードは、次のような場面で問題になります。

業務では、次のような対策が重要です。

SG試験では、選択肢に「Webサイトを閲覧したとき」「本人の意図にかかわらず」「マルウェアをダウンロード」とあれば、ドライブバイダウンロードを疑います。

一方で、「ファイアウォールの設定ミスを突いて侵入」「データベースから不正に情報を取得」「PC内のファイルを暗号化」といった説明は、別の攻撃や被害を表していることがあります。

ランサムウェアは、PCやサーバ内のファイルを暗号化し、復旧と引き換えに金銭を要求するマルウェアです。

一方、ドライブバイダウンロードは、マルウェアを感染させるための攻撃手口です。

選択肢で「ハードディスクを丸ごと暗号化する」とあれば、ランサムウェアの説明として考えます。

SQLインジェクションは、Webページの入力欄などに不正な文字列を入力し、データベースを不正に操作する攻撃です。

一方、ドライブバイダウンロードは、Webサイトを閲覧した利用者側のPCにマルウェアをダウンロードさせる攻撃です。

選択肢で「入力フィールド」「データベース」「不正に取得」とあれば、SQLインジェクションを疑います。

ファイアウォールの設定ミスを突いて内部ネットワークへ侵入するような説明は、不正アクセスの一例です。

ドライブバイダウンロードは、ネットワークへ直接侵入する説明ではなく、Web閲覧をきっかけに利用者PCへマルウェアを入れる説明です。

SG試験では、攻撃対象が「サーバやネットワーク」なのか、「Webを閲覧した利用者のPC」なのかを分けると判断しやすくなります。