LPIC-3 Security303-300 v3.0Weight 2🟡 Conceptual understanding推奨学習開始
335.1 Common Security Vulnerabilities and Threats
攻撃名を暗記するのではなく、「何が狙われたか → 何が起きたか → どの用語か」の順で判断する。335.1は設定操作ではなく、主要な脅威の原理を区別できることが中心。
335.1の最終到達点
シナリオからTrojan / Rootkit / MITM / ARP・NDP forgery / Rogue device / Spoofing / Buffer Overflow / Injection / XSS / CSRF / Brute Force / Rainbow Table / Phishing / Social Engineering / Honeypot等を区別できる。
シナリオからTrojan / Rootkit / MITM / ARP・NDP forgery / Rogue device / Spoofing / Buffer Overflow / Injection / XSS / CSRF / Brute Force / Rainbow Table / Phishing / Social Engineering / Honeypot等を区別できる。
Objective判定： このObjectiveの最後に客観Checkpointを配置。学習後は 末尾の問題へ。
公式要求：Conceptual understanding of threats against individual nodes, networks, applications, credentials/confidentiality and honeypots. Weight 2。
最初に「攻撃対象」を分ける
Host / Node端末・OS上で何が起きた?
Network通信・Address・Network機器が狙われた?
ApplicationMemoryや入力解釈が壊された?
CredentialsPassword・秘密情報・人が狙われた?
Honeypot攻撃ではなく「おとり」で観測?
重要：この5分類は学習のための整理。LPI公式のPartial listは用語を列挙しており、「この用語は必ずこの1分類」と個別に対応付けているわけではない。実際の攻撃は複数カテゴリをまたぐ。
335.1でやらないこと：攻撃コマンド、Exploit手順、細かな防御設定の暗記。対策や検知Toolは332/334側で詳しく扱う。
STUDY RULE
定義を丸暗記せず「決定点」で判別する
- 通信量でService停止 → DoS/DDoS
- Browserで攻撃Script実行 → XSS
- Login済みBrowserに意図しないRequestを送らせる → CSRF
- 人を騙してCredentialを引き出す → Phishing / Social Engineering
335.1 · 01/0601 Individual Nodes
🟡 ConceptualNode threats
Nodeへの脅威：侵入・記録・隠蔽・権限上昇を分ける
このページの到達点：Trojan、Virus、Rootkit、Keylogger、Privilege Escalationを「何をする脅威か」で区別できる。
公式範囲：Threats against individual nodes. Partial terms: Trojans, Viruses, Rootkits, Keylogger, Privilege escalation.
1つの侵害で複数用語が連鎖する
偽の便利Toolを実行
↓ Trojan
Initial Access
↓
Privilege Escalation → より高い権限
↓
Rootkit → 存在・活動を隠す
↓
Keylogger → 入力Credential等を記録
※ これは一例。各用語は「攻撃の別の役割」を表す。
| 用語 | 決定点 | よくある誤解 |
|---|---|---|
| Trojan | 有用・正規に見せかけて悪意ある処理を実行させる | 「自己増殖するからTrojan」ではない |
| Virus | 他のFile/Program等へ感染し、複製・拡散する性質を持つ | すべてのMalwareをVirusと呼ばない |
| Rootkit | 侵害後のProcess/File/Activity等を隠し、攻撃者の存在を見つけにくくする | 侵入そのものより「隠蔽・維持」が決定点 |
| Keylogger | Keyboard入力等を記録してPassword等を取得する | Credentialを総当たりするBrute Forceとは別 |
| Privilege Escalation | 現在より高い権限を獲得する | Malware名ではなく「権限上昇」という行為/結果 |
シナリオ：攻撃者が侵入後、
ps等から自分のProcessが見えないようSystemを改変した。→ Rootkit。「どう侵入したか」ではなく、侵害の存在を隠している点が決定打。
2択：利用者が「PDF Viewer」と思って実行したProgramがBackdoorを開いた。Virus / Trojan?
→ Trojan。正規・有用に見せて実行させる点を見る。
EXAM DECISION
動詞で切る
- 見せかける → Trojan
- 感染・複製 → Virus
- 隠す → Rootkit
- 入力を記録 → Keylogger
- 権限を上げる → Privilege Escalation
335.1 · 02/0602 Network Threats
🟡 ConceptualDoS / DDoS / MITM
Network脅威①：止める攻撃と「通信の途中へ入る」攻撃を分ける
このページの到達点：DoS/DDoSとMan in the Middleを、目的と成立位置から区別できる。
公式Partial terms：DoS and DDoS, Man in the Middle.
目的がまったく違う
DoS / DDoS
大量Request・Resource消費など
↓
Service
↓
正規利用者が使えない
MITM (Man in the Middle)
Client ⇄ Attacker ⇄ Server
↑
通信を中継・観測・改変できる位置を取る
DoS / DDoS
Denial of Service。ServiceやResourceを圧迫し、正規利用を困難にする。DDoSは多数の分散Sourceから行われる形。
MITM
Man in the Middle。通信する2者の間へ入り、互いに直接通信しているように見せながらTrafficを中継・観測・改変する。
DoSとDDoSの差は「分散」
| DoS | DDoS | |
|---|---|---|
| 主目的 | 可用性を低下させる | |
| Source | 単一/限定Sourceでも成立 | 多数の分散Source |
| 決定語 | Service不能、Resource枯渇 | Botnet、多数Host、分散Traffic |
MITMとSpoofingは同義ではない：SpoofingはAddress/Identityを偽装する行為。SpoofingやARP/NDP forgeryがMITMを成立させる手段になることはあるが、用語としては別。
シナリオ：数万台の感染端末から同時にWeb Serverへ大量Trafficが送られ、正規利用者が接続できない。
→ DDoS。「大量Traffic」だけでなく「多数の分散端末」が決定打。
シナリオ：利用者とGatewayの通信を攻撃者が中継し、内容を観測・一部改変する。
→ MITM。通信の途中へ入っている。
EXAM DECISION
「止める」か「途中へ入る」か
- Serviceを使えなくする → DoS / DDoS
- 通信経路の間へ介入 → MITM
- 多数の分散Source → DDoS
335.1 · 03/0602 Network Threats
🟡 ConceptualForgery / Rogue / Spoofing
Network脅威②：偽の対応表・偽Network機器・偽Source Addressを分ける
このページの到達点：ARP/NDP forgery、Rogue AP/Router/DHCP、Link-layer/IP spoofingを「何を偽ったか」で判別できる。
公式Partial terms：ARP and NDP forgery, Rogue Access Points/Routers/DHCP servers, Link layer address and IP address spoofing.
何を偽っている?
① Mapping / Neighbor情報を偽る
IPv4: ARP forgery IPv6: NDP forgery
② Network機器そのものが不正
Rogue AP / Router / DHCP Server
③ PacketのSource Address等を偽る
Link-layer address spoofing / IP address spoofing
| 用語 | 何を偽る? | 判断イメージ |
|---|---|---|
| ARP forgery | IPv4 Local NetworkのIP↔Link-layer address対応 | 「GatewayのIPは攻撃者のMAC」と誤認させる等 |
| NDP forgery | IPv6 Neighbor DiscoveryのNeighbor/Router情報 | 偽Neighbor Advertisement/Router情報等 |
| Rogue AP | 未承認・不正なWireless Access Point | 利用者を不正APへ接続させる |
| Rogue Router | 不正なRouter/Route情報 | Trafficの経路を攻撃者側へ寄せる |
| Rogue DHCP Server | 不正なIP設定配布元 | 偽Gateway/DNS等をClientへ配る |
| Address spoofing | Link-layer/MACやIPのSource Address | Packet送信元を別のHostに見せる |
ARP vs NDP：ARPは主にIPv4でIP AddressとLink-layer Addressの対応を解決する。IPv6ではNeighbor Discovery Protocol（NDP）がNeighborやRouter発見等を担う。
Forgery
Protocol上の対応・Neighbor情報等を偽る。
Rogue
AP/Router/DHCP Serverという不正な「設備・役割」が存在する。
Spoofing
送信元Address/Identityを偽って見せる。
MITM
結果として通信の中間位置を取る攻撃。上記が手段になることがある。
シナリオ：ClientがDHCPで「Default Gateway = 攻撃者Host」「DNS = 攻撃者Server」を受け取った。
→ Rogue DHCP Server。不正な設定配布元が決定点。
シナリオ：PacketのSource IPだけを別HostのIPに偽装して送信した。
→ IP address spoofing。Neighbor Table改ざんではなくSource Addressの偽装。
EXAM DECISION
「何を偽ったか」を見る
- IP↔MAC / Neighbor情報 → ARP/NDP forgery
- AP/Router/DHCPという装置・役割 → Rogue
- PacketのSource Address → Spoofing
335.1 · 04/0603 Application Threats
🟡 ConceptualBuffer / Injection / XSS / CSRF
Application脅威：Memory・Interpreter・Browser・認証済Sessionのどこを悪用する?
このページの到達点：Buffer Overflow、SQL/Code Injection、XSS、CSRFを「どこで攻撃入力が意味を持つか」で区別できる。
公式Partial terms：Buffer Overflows, SQL and Code Injections, Cross Site Scripting, Cross Site Request Forgery.
攻撃入力が「何として解釈されるか」
Memory境界を超えて書く → Buffer Overflow
InputがSQL/Code命令になる → Injection
Web内容がBrowser Scriptになる→ XSS
Login済Browserに意図しないRequestを送らせる → CSRF
| 攻撃 | 決定点 | 典型的な結果 |
|---|---|---|
| Buffer Overflow | 確保されたBuffer境界を越えてMemoryへ書き込む | Crash、Memory破壊、条件によってCode Execution |
| SQL / Code Injection | Dataとして扱うべきInputがInterpreterの命令/構文として解釈される | Query/Commandの意味を書き換える |
| XSS | 攻撃者由来のContentがVictim BrowserでScriptとして実行される | 同Site Origin上でDOM/Session等を悪用 |
| CSRF | すでに認証済みのBrowserに、利用者が意図しないRequestを正規Siteへ送らせる | 意図しない設定変更・送金等 |
XSSとCSRFを混ぜない
XSS
攻撃者のScript/ContentをBrowserで実行させるのが中心。
CSRF
Browserがすでに持つ認証状態を使わせ、意図しないRequestを送らせるのが中心。
Injectionの考え方：「特殊文字があるからInjection」ではなく、外部InputがDataではなくSQL/Command/Codeの一部として解釈され、処理の意味を変えることが本質。
シナリオ：掲示板へ投稿された内容を閲覧した利用者のBrowserで攻撃者Scriptが実行された。
→ XSS。実行場所がVictim Browser。
シナリオ：BankへLogin中の利用者が罠Pageを開き、本人が押していない振込RequestがBankへ送られた。
→ CSRF。既存の認証Sessionを利用して意図しないRequestを送らせている。
シナリオ：入力値がDatabase Queryの一部として解釈され、本来とは違う条件でQueryが実行された。
→ SQL Injection。
EXAM DECISION
「どこで意味が変わった?」
- Memory境界 → Buffer Overflow
- SQL/Interpreter → Injection
- Victim BrowserでScript → XSS
- 認証済Browserから意図しないRequest → CSRF
335.1 · 05/0604 Credentials / Confidentiality
🟡 ConceptualGuess / Hash / Human
Credential脅威：試す・Hashを引く・人を騙すを分ける
このページの到達点：Brute Force、Rainbow Table、Phishing、Social Engineeringを「攻撃対象と方法」で区別できる。
公式Partial terms：Brute Force Attacks, Rainbow tables, Phishing, Social Engineering.
Credentialをどう狙う?
Password候補を大量に試す → Brute Force
取得したHashを事前計算表と照合 → Rainbow Table
偽Mail/Site等で入力させる → Phishing
人の心理・手順を悪用する → Social Engineering
| 用語 | 決定点 | 見分ける語 |
|---|---|---|
| Brute Force | 多数の候補を試して正解を探す | 繰り返しLogin、総当たり、Guess |
| Rainbow Table | 事前計算したHash↔候補情報を使いHashから元候補を探す | stolen password hashes、precomputed table |
| Phishing | 偽Message/Site等で利用者を誘導し、Credential等を入力・開示させる | 偽Login、偽Mail、緊急通知 |
| Social Engineering | 人の心理・信頼・業務手順を利用して情報/行動を引き出す広い概念 | なりすまし電話、Helpdesk詐称、誘導 |
Phishing ⊂ Social Engineering：PhishingはSocial Engineeringの代表的手法の1つとして捉えると整理しやすい。問題文が「偽Mail/Site」を強調するならPhishing、「人を騙す手法全般」ならSocial Engineeringを考える。
Rainbow Table：「Passwordを何度もLogin画面へ送る」攻撃ではない。取得済みのPassword Hashに対して、事前計算結果を利用する考え方。Saltは同じPasswordでもHashを変えやすくし、使い回し可能な事前計算表の効果を下げる。
シナリオ：1秒間に多数のPassword候補をLogin APIへ送り続けた。
→ Brute Force。
シナリオ：「アカウント停止予定」という偽Mailから偽Login Pageへ誘導し、利用者自身にPasswordを入力させた。
→ Phishing。より広い分類ではSocial Engineeringでもあるが、具体的手法がPhishing。
EXAM DECISION
機械で試すか、人を騙すか
- 候補を大量試行 → Brute Force
- 事前計算Hash表 → Rainbow Table
- 偽Mail/Site → Phishing
- 人の心理・業務手順を悪用 → Social Engineering
335.1 · 06/0605 Honeypots / Final Map
🟡 ConceptualHoneypot
Honeypot：攻撃者を止める壁ではなく「おとり」で観測する
このページの到達点：Honeypotの役割を説明でき、335.1の全用語をシナリオの決定点から選べる。
公式要求：Conceptual understanding of honeypots.
攻撃者から見える「価値がありそうなTarget」
Attacker
↓
Honeypot（おとりSystem / Service）
↓
接続・Command・Exploit試行等を記録
↓
攻撃手法・兆候を観測
重要：Productionを守る唯一の防御境界ではない。
役割
本物らしいTargetを用意し、攻撃者の行動を誘引・観測する。
注意
攻撃者に利用される前提があるため、Productionへの踏み台にされないよう隔離・監視が重要。
最後は「決定語」だけで全体を引く
有用Toolに見せかける → Trojan
感染・複製 → Virus
侵害を隠す → Rootkit
Keyboard入力を記録 → Keylogger
権限を上げる → Privilege Escalation
Serviceを止める → DoS/DDoS
通信の中間へ入る → MITM
IP↔MAC/Neighbor情報を偽る → ARP/NDP forgery
不正AP/Router/DHCP → Rogue device/server
Source Addressを偽る → Spoofing
Memory境界超過 → Buffer Overflow
Inputが命令になる → Injection
BrowserでScript実行 → XSS
認証済Browserに意図しないRequest → CSRF
候補を大量に試す → Brute Force
事前計算Hash表 → Rainbow Table
偽Mail/Siteで誘導 → Phishing
人を騙す広い手法 → Social Engineering
おとりTargetで観測 → Honeypot
335.1 EXIT CHECK
Node threat 5用語を役割で区別✓
DoS/DDoSとMITMを目的で区別✓
Forgery / Rogue / Spoofingを「何を偽すか」で区別✓
Buffer/Injection/XSS/CSRFを処理位置で区別✓
Brute Force/Rainbow/Phishing/Social Engineeringを区別✓
Honeypotを防御壁ではなく観測用Decoyとして説明✓
監査基準：LPI LPIC-3 Security 303-300 v3.0, Objective 335.1。公式の要求深度はConceptual understanding。Partial listの用語をすべて収録し、攻撃手順やTool操作は追加していない。
335.1 COMPLETE
この章は「何の攻撃か」を即座に見分けられれば完成
- 細かなExploit手順は不要
- 似た用語は「攻撃対象・実行位置・目的」で区別
- 後続の332/334では「この脅威をどう制限・検出するか」へ進む
335.1 Threats · CHECKPOINTObjective末尾
Weight 2客観判定50 → 75 → 100%
335.1 Threats：学習直後にここで解く
本文を読み終えた直後に、そのObjectiveだけを確認する。別ページへ移動して問題を探さない。誤答した問題から該当ノートへ戻り、再度ここへ戻る。
合格条件： 50%は基礎選択式6問中5問以上、75%は選択肢なし再現6問中5問以上。75%到達から72時間後、専用実戦Bankから8問中7問以上で100%。さらに各段階で全小テーマを最低1問正解する必要がある。毎回Question Bankからランダム出題する。
現在の到達度
選択式から開始
0%
小テーマ別履歴問題を解くと正答率を表示
Objective Check
100%専用： 72時間後の再テストでは既存564問ではなく、このObjective専用の実戦相当8問から出題する。各問はObjectiveの要求深度に合わせて、状況判断・設定/出力読解・近い選択肢の比較を行い、必要な分野では穴埋め・複数選択も使用する。誤答時は選択肢の違いまで確認する。
出題方式：初回は小テーマをできるだけ横断し、未出題・出題回数の少ない問題を優先する。再挑戦では小テーマ網羅より直近問題の重複回避を優先し、必要な場合だけ再利用する。
この問題の役割：Objective理解の客観Checkpoint。50%/75%はObjective理解の確認、100%は専用実戦Bankで状況判断・設定/出力読解・近い選択肢まで確認する。