認証ログからの攻撃推定
ある Web サービスでは，同一の利用者 ID で 10 分以内に 5 回ログインに失敗すると，その ID をロックする。次は認証ログの抜粋であり，失敗した要求のパスワードはいずれも同じ文字列であったことが別の記録から分かっている。
01:00:02 login failed user=aoki src=203.0.113.25
01:00:04 login failed user=baba src=203.0.113.25
（以降，約 2 秒間隔で異なる ID に対する失敗が約 1,200 件続く）
01:42:15 login success user=kudo src=203.0.113.25このログから推測できることとして，適切なものはどれか。
- ア一つの ID に多数のパスワードを試すブルートフォース攻撃であり，各 ID は 5 回の失敗でロックされるので，攻撃は阻止されている。
- イ他のサービスから漏えいした ID とパスワードの組を試すパスワードリスト攻撃であり，kudo のパスワードが他のサービスと共通だったと考えられる。
- ウよく使われるパスワードを多数の ID に試すパスワードスプレー攻撃であり，ID ごとの失敗は 1 回なのでロックは発動せず，kudo への不正ログインが成功した可能性がある。
- エ多数の ID を意図的にロックさせて正規の利用者のログインを妨げる攻撃であり，ログに現れた ID は全てロックされている。
正解と解説を見る
正解 ウ
この問題の基礎知識
- ブルートフォース攻撃（総当たり攻撃）は，一つの ID に対して多数のパスワードを試す攻撃であり，同一 ID の失敗回数によるアカウントロックが有効である。
- パスワードスプレー攻撃は，よく使われる一つのパスワードを多数の ID に試す攻撃であり，ID ごとの試行回数が少ないのでアカウントロックを回避しやすい。
- パスワードリスト攻撃は，他のサービスから漏えいした ID とパスワードの組を使ってログインを試す攻撃であり，パスワードの使い回しが原因となる。
- 認証ログからは，送信元 IP アドレス，対象 ID の変化や繰返し，試したパスワード，試行の間隔，成功の有無を組み合わせて攻撃の種類を推定する。
ア一つの ID に多数のパスワードを試すブルートフォース攻撃であり，各 ID は 5 回の失敗でロックされるので，攻撃は阻止されている。
ログでは，同じ送信元から毎回異なる ID に対して失敗しており，同じ ID への試行は繰り返されていない。一つの ID に多数のパスワードを試すブルートフォース攻撃とは特徴が異なり，ロックも発動していない。
イ他のサービスから漏えいした ID とパスワードの組を試すパスワードリスト攻撃であり，kudo のパスワードが他のサービスと共通だったと考えられる。
パスワードリスト攻撃では，ID ごとに漏えいした別々のパスワードを試す。失敗した要求のパスワードが全て同じ文字列であることから，ID ごとに異なる組を試す攻撃ではないと分かる。
ウよく使われるパスワードを多数の ID に試すパスワードスプレー攻撃であり，ID ごとの失敗は 1 回なのでロックは発動せず，kudo への不正ログインが成功した可能性がある。正解
一つのパスワードを多数の ID に試すのはパスワードスプレー攻撃で，ID ごとの試行回数が少ないのでアカウントロックを回避できる。最後の成功は攻撃と同じ送信元からであり，kudo がそのパスワードを使っていたことによる不正ログインが疑われる。
エ多数の ID を意図的にロックさせて正規の利用者のログインを妨げる攻撃であり，ログに現れた ID は全てロックされている。
ロックは同一の ID で 10 分以内に 5 回失敗したときに発動するが，ログでは各 ID の失敗は 1 回だけである。ロックは発動しておらず，ロックによるサービス妨害の状況はログから読み取れない。
検証用の出典出典照合済み
MITRE ATT&CK T1110.003 Brute Force: Password Spraying ／ OWASP Credential Stuffing Prevention Cheat Sheet照合の根拠（5 件）
- ウ（正解）: 一つのパスワードを多数のアカウントに試し，アカウントロックを回避する
Logins are attempted with that password against many different accounts on a network to avoid account lockouts that would normally occur when brute forcing a single account with many passwords.
MITRE ATT&CK T1110.003 · Description（新しいタブで開きます） - ウ（正解）: パスワードスプレー攻撃の定義
Testing a single weak password against a large number of different accounts.
OWASP Credential Stuffing Prevention Cheat Sheet · Introduction（攻撃の種類の表）（新しいタブで開きます） - ア（誤り）: ブルートフォース攻撃は一つのアカウントに多数のパスワードを試すもので，ログインの形と異なる
Testing multiple passwords from dictionary or other source against a single account.
OWASP Credential Stuffing Prevention Cheat Sheet · Introduction（攻撃の種類の表）（新しいタブで開きます） - イ（誤り）: パスワードリスト攻撃は漏えいした ID とパスワードの組を試すもので，ID ごとにパスワードが異なる
Testing username/password pairs obtained from the breach of another site.
OWASP Credential Stuffing Prevention Cheat Sheet · Introduction（攻撃の種類の表）（新しいタブで開きます） - エ（誤り）: ロックによるサービス妨害は，同じ ID への失敗がロックの閾値に達してはじめて起こる
Too strict a policy may create a denial of service condition and render environments un-usable, with all accounts used in the brute force being locked-out.
MITRE ATT&CK T1110.003 · Mitigations M1036（新しいタブで開きます）
ログでは同じ送信元 203.0.113.25 から約 2 秒間隔で毎回異なる ID に 1 回ずつ失敗しており，パスワードは全て同じ文字列（ID ごとに異なる組ではない）。ID ごとの失敗は 1 回でロック条件（10 分以内に 5 回）に達しない。最後に同じ送信元から kudo で成功しているので，スプレーした共通のパスワードで不正ログインが成功した可能性がある。