アカウントロックとは？

アカウントロックの意味

ログインの失敗が決められた回数を超えたら、そのアカウントを一定時間または管理者が解除するまで使えなくする仕組み。総当たりでパスワードを試す攻撃を成立させにくくする対策として問われる。

アカウントロックの具体例

業務システムで5回連続して失敗したら30分間ロックする設定にする。ロックされた社員は所属長の確認を経て情報システム部門へ解除を依頼し、依頼と解除の記録を残す。多発する場合は攻撃の兆候として調査する。

アカウントロックは試験でどう引っ掛けられる？

攻撃者がわざと他人のIDで失敗を繰り返し、正規利用者を締め出す嫌がらせに悪用されることがある。またパスワードを固定して多数のIDを試す手口には効きにくい。回数制限だけでなく多要素認証との併用が求められる。

アカウントロックと関連する用語

• ブルートフォース攻撃
• パスワードリスト攻撃
• 多要素認証・二要素認証

アカウントロックが出た過去問

• リバースブルートフォース攻撃に該当するものはどれか。

  正解：パスワードを一つ選び、利用者IDとして次々に文字列を用意して総当たりにログインを試行する。

  要点：リバースブルートフォースはパスワード固定でIDを総当たりする

  リバースブルートフォース攻撃は、パスワードを固定したうえで利用者IDのほうを次々に変えてログインを試す攻撃である。通常のブルートフォース攻撃と逆の発想で、1つのIDに対する連続失敗が起きないため、アカウントロックによる検知をすり抜けやすいのが厄介な点である。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問19（IPA）