アカウントロックとは？

アカウントロックの意味

ログインの失敗が決められた回数を超えたら、そのアカウントを一定時間または管理者が解除するまで使えなくする仕組み。総当たりでパスワードを試す攻撃を成立させにくくする対策として問われる。

アカウントロックの具体例

業務システムで5回連続して失敗したら30分間ロックする設定にする。ロックされた社員は所属長の確認を経て情報システム部門へ解除を依頼し、依頼と解除の記録を残す。多発する場合は攻撃の兆候として調査する。

アカウントロックは試験でどう引っ掛けられる？

攻撃者がわざと他人のIDで失敗を繰り返し、正規利用者を締め出す嫌がらせに悪用されることがある。またパスワードを固定して多数のIDを試す手口には効きにくい。回数制限だけでなく多要素認証との併用が求められる。

アカウントロックと関連する用語

• ブルートフォース攻撃・辞書攻撃
• パスワードリスト攻撃
• 多要素認証

アカウントロックが出た過去問

• ブルートフォース攻撃に該当するものはどれか。

  正解：使用可能な文字のあらゆる組合せをそれぞれパスワードとして，繰り返しログインを試みる。

  要点：ブルートフォース攻撃は文字の全組合せを総当たりで試す手法。

  ブルートフォース攻撃（総当たり攻撃）は、使用可能な文字の組合せを機械的に順次試してパスワードを割り出す攻撃である。パスワードが短く単純なほど短時間で破られるため、十分な長さと文字種の確保、ログイン試行回数の制限（アカウントロック）が対策となる。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問42（IPA）