サイバー攻撃手法

1. 人をだます攻撃

標的型攻撃・フィッシング・BECなど「人」を狙う攻撃の見分け方と、組織としての備え方が分かります。

サイバー攻撃には、システムの穴を突くものと、人の心理や業務の慣れを突くものがあります。後者の代表が標的型攻撃メールやフィッシングです。どれほど高価な機器を入れても、受け取った人が添付ファイルを開いてしまえば侵入は成立します。だからこそ情報セキュリティリーダーは、攻撃の細かい仕組みよりも「何が起きるか」「気づいたら誰に何を報告するか」を職場に浸透させる役目を負います。

標的型攻撃は、特定の組織や個人を狙って情報を盗み出す攻撃です。取引先や社内の別部署を装ったメールに、業務に関係ありそうな件名と添付ファイルを付けて送ってきます。無差別のばらまき型と違い、実在の担当者名や進行中の案件名が書かれているため、文面だけで見抜くのは困難です。何度か普通のやり取りを重ねて警戒を解いてから攻撃用の添付を送る手口を「やり取り型」と呼びます。また、標的が日常的に見ている業界団体などのWebサイトをあらかじめ改ざんしておき、閲覧しただけでマルウェアに感染させる手口を「水飲み場型攻撃」といいます。獲物が水を飲みに来る場所で待ち伏せするイメージです。

フィッシングは、金融機関や宅配業者、社内システムなどを装ったメールで偽サイトへ誘導し、IDやパスワード、クレジットカード番号を入力させて盗む攻撃です。SMS（ショートメッセージ）を使う場合を「スミッシング」、音声通話を使う場合を「ビッシング」と呼びます。SMSは差出人表示を偽装しやすく、本物の通知と同じスレッドに紛れ込むことがあるため、携帯電話に届いた短いメッセージほど注意が要ります。

ビジネスメール詐欺（BEC）は、経営者や取引先になりすまして経理担当者にメールを送り、偽の口座へ送金させる攻撃です。マルウェアを使わないため、ウイルス対策ソフトでは検知できません。「社長案件なので他言無用」「今日中に振り込んでほしい」と急がせ、確認させないのが常套手段です。有効な対策は技術ではなく業務手順の側にあります。すなわち、振込先の変更は必ずメール以外の手段（登録済みの電話番号への架電など）で確認する、一定金額以上は複数人の承認を必須にする、といったルールです。

なりすましメールは、送信者アドレスの表示を本物そっくりに偽装したものです。SPF・DKIM・DMARCといった送信ドメイン認証を導入すると、詐称メールを受信側で検知・遮断しやすくなります。偽の警告（サポート詐欺）は、Webの閲覧中に「ウイルスに感染しました」という警告画面と警告音を出し、表示された電話番号に電話させて遠隔操作ソフトを入れさせたり、サポート料金をだまし取ったりする手口です。この画面は単なるWebページなので、慌てず画面を閉じるかブラウザを終了させ、表示された番号には絶対に電話しないことが正解です。

SNSも攻撃の入口になります。攻撃者は公開されたプロフィールや投稿から所属・役職・取引先・出張予定を集め、標的型攻撃メールの精度を上げます。転職サイトやSNSで採用担当者や知人を装って接触し、マルウェア入りの資料を送りつける事例もあります。こうした「人をだます」手口全体はソーシャルエンジニアリングと呼ばれ、電話で情報を聞き出す、肩越しに画面をのぞく（ショルダーハッキング）、ごみ箱の書類をあさる（スキャベンジング／トラッシング）といった非IT的な手口も含みます。

組織としての対応は三つに整理できます。第一に、疑わしいメールを開く前に相談・報告できる窓口を決め、「報告した人を責めない」文化を作ること。第二に、開いてしまった後の手順（LANケーブルを抜く・無線を切る、電源は落とさずに情報システム部門へ連絡する）を全員が知っていること。第三に、標的型攻撃メール訓練を定期的に行い、開封率そのものより報告率と報告までの時間を評価指標にすることです。

用語

標的型攻撃

特定の組織や個人を狙い、業務に関係ありそうな件名と添付ファイルのメールなどで侵入し、情報を盗み出す攻撃。実在の担当者名や案件名が使われるため、文面だけで見抜くのは難しい。

やり取り型攻撃

標的型攻撃のうち、いきなり攻撃せず、問合せなど無害なメールを何度か交わして相手の警戒を解いたうえで、マルウェア付きの添付ファイルを送りつける手口。

水飲み場型攻撃

標的が日常的に閲覧するWebサイトを事前に改ざんしておき、標的がアクセスしただけでマルウェアに感染させる攻撃。メールを使わないため、メール対策だけでは防げない。

フィッシング

実在の企業や社内システムを装ったメールなどで偽サイトへ誘導し、IDやパスワード、カード番号を入力させて盗む攻撃。誘導先のURLが正規のものかを確認することが基本の防御になる。

スミッシング

SMS（ショートメッセージ）を使うフィッシング。宅配の不在通知や金融機関の通知を装い、短いURLで偽サイトへ誘導する。差出人表示を偽装され本物のスレッドに紛れ込むことがある。

ビジネスメール詐欺（BEC）

経営者や取引先になりすましたメールで経理担当者をだまし、偽の口座へ送金させる詐欺。マルウェアを使わないためウイルス対策では防げず、振込先変更の電話確認など業務手順で防ぐ。

偽の警告（サポート詐欺）

Web閲覧中に「ウイルスに感染」という偽の警告画面と警告音を出し、記載の電話番号へ電話させて遠隔操作ソフトの導入や金銭の支払いをさせる手口。画面を閉じ、電話しないのが正しい対応。

ソーシャルエンジニアリング

技術ではなく人の心理や行動の隙を突いて情報を得る手口の総称。電話でのなりすまし、ショルダーハッキング（のぞき見）、スキャベンジング（ごみあさり）などが含まれる。

送信ドメイン認証（SPF・DKIM・DMARC）

メールの送信元ドメインが詐称されていないかを受信側で検証する仕組み。なりすましメールの検知・遮断に有効で、DMARCは検証に失敗したメールの扱い方針を宣言できる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（攻撃手法・ソーシャルエンジニアリング）

2. 認証を破る攻撃

パスワードやセッションを狙う攻撃を整理し、どの攻撃にどの対策が効くのかを対応づけて覚えます。

認証を破る攻撃は「パスワードそのものを当てにいく攻撃」と「認証を通った後の状態を乗っ取る攻撃」に大きく分かれます。名前が似ているものが多く、試験でも取り違えを狙って並べられます。仕組みの細部よりも、どの攻撃にどの対策が効くのかという対応関係で覚えるのが近道です。

ブルートフォース攻撃（総当たり攻撃）は、一つのIDに対して考えられるパスワードを片端から試す攻撃です。辞書攻撃は、辞書に載っている単語やよく使われる文字列を試す攻撃で、総当たりより効率よく当てにいきます。これらに効くのは、一定回数連続で失敗したらそのアカウントを一時的に使えなくするアカウントロックです。

リバースブルートフォース攻撃は、逆にパスワードを一つ固定し、IDのほうを次々に変えて試す攻撃です。個々のIDから見れば失敗は1回なので、アカウントロックでは止まりません。パスワードスプレー攻撃も考え方は同じで、「Password1」のようなありがちなパスワードを多数のIDに少しずつ、間隔を空けて試すため、ロックのしきい値に達しないまま侵入されます。これらには、多要素認証や、同一IPからの試行の監視、ログイン失敗の全体傾向の監視が効きます。

パスワードリスト攻撃は、どこか別のサービスから流出したIDとパスワードの組をそのまま使って、他のサービスへログインを試みる攻撃です。試すのは正しい組合せなので、パスワードが複雑でも、複雑なまま使い回していれば突破されます。原因は利用者のパスワードの使い回しであり、対策も使い回しをやめること、そして多要素認証です。パスワードを長く複雑にするだけでは防げない、という点がこの攻撃の核心です。

レインボーテーブル攻撃は、パスワードのハッシュ値と元の文字列の対応表をあらかじめ用意しておき、盗んだハッシュ値から元のパスワードを高速に割り出す攻撃です。対策は、パスワードごとに異なるランダムな文字列（ソルト）を加えてからハッシュ化し、さらにハッシュ計算を何度も繰り返す（ストレッチング）ことです。ソルトが付くと利用者ごとに結果が変わるため、汎用の対応表が使えなくなります。

認証後を狙う攻撃も押さえます。セッションハイジャックは、ログイン中の利用者に割り当てられたセッションIDを推測または盗み取り、その利用者になりすまして操作する攻撃です。クッキーの盗用はその代表的な手段で、XSSなどでクッキーを盗めばパスワードを知らなくても入り込めます。対策はクッキーにHttpOnly属性やSecure属性を付ける、通信全体をTLSで暗号化する、ログイン成功時にセッションIDを再発行することです。

中間者攻撃（MITM）は、通信する二者の間に割り込んで内容を盗み見たり書き換えたりする攻撃です。公衆無線LANでの盗聴や、偽アクセスポイントを立てる手口が典型です。対策はTLSによる暗号化と、サーバ証明書の警告を無視しないことです。リプレイ攻撃は、盗み見た認証データをそのまま再送して認証を通ってしまう攻撃で、対策には一度限りの乱数（ワンタイムのチャレンジ）やワンタイムパスワード、タイムスタンプを使います。

情報セキュリティリーダーの立場では、これらを個別に暗記するよりも「アカウントロックが効く攻撃と効かない攻撃がある」「使い回しをやめないと防げない攻撃がある」「最終的な共通解は多要素認証」という三点を職場に説明できることが重要です。

用語

ブルートフォース攻撃

一つのIDに対して、考えられるパスワードを片端から試して当てる総当たり攻撃。連続失敗でアカウントを一時的に無効化するアカウントロックが有効な対策になる。

辞書攻撃

辞書の単語やよく使われる文字列をパスワード候補として試す攻撃。総当たりより少ない試行で当たりやすいため、推測されやすい語をパスワードに使わないことも防御になる。

パスワードリスト攻撃

他のサービスから流出したIDとパスワードの組を、別のサービスでそのまま試す攻撃。原因は利用者による使い回しであり、複雑なパスワードにしても使い回していれば防げない。

リバースブルートフォース攻撃

パスワードを一つ固定し、IDのほうを次々に変えて試す攻撃。各IDの失敗は1回ずつなのでアカウントロックでは止まらず、多要素認証や試行元の監視で対処する。

パスワードスプレー攻撃

ありがちなパスワードを多数のIDに対して、間隔を空けながら少しずつ試す攻撃。ロックのしきい値に達しないよう調整されるため、ログイン失敗の全体傾向の監視が必要になる。

レインボーテーブル攻撃

ハッシュ値と元の文字列の対応表を使い、盗んだハッシュ値から元のパスワードを高速に割り出す攻撃。利用者ごとに異なるソルトを加えてハッシュ化することで無効化できる。

ソルトとストレッチング

ソルトはパスワードごとに加える異なるランダム文字列で、同じパスワードでもハッシュ値が変わる。ストレッチングはハッシュ計算を何度も繰り返して総当たりの時間を稼ぐ手法。

セッションハイジャック

ログイン中の利用者のセッションIDを推測または盗み、その利用者になりすまして操作する攻撃。クッキーの属性設定、通信の暗号化、ログイン時のセッションID再発行で防ぐ。

中間者攻撃（MITM）

通信する二者の間に割り込み、内容を盗み見たり書き換えたりする攻撃。公衆無線LANや偽アクセスポイントで起きやすく、TLSによる暗号化と証明書の警告を無視しない運用で防ぐ。

リプレイ攻撃

盗聴した認証データをそのまま再送して認証を通す攻撃。パスワードの中身が分からなくても成立するため、ワンタイムパスワードや一度限りの乱数、タイムスタンプで無効化する。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（攻撃手法・利用者認証）

3. Webとシステムを狙う攻撃

SQLインジェクションやXSSなどWebの代表的な攻撃と、それぞれに対応する正しい対策を結び付けます。

Webサイトやシステムを狙う攻撃は、入力欄やURLに細工した文字列を送り込み、本来意図していない動作をさせるものが中心です。情報セキュリティリーダーは自分でプログラムを直すわけではありませんが、「この被害はどの攻撃で、開発ベンダに何を直してもらうべきか」を判断できる必要があります。攻撃と対策は一対一に近い形で決まっているので、その対応を覚えることが要点です。

SQLインジェクションは、入力欄に細工した文字列を入れることでデータベースへの命令（SQL文）を書き換え、本来見えないはずのデータを取り出したり、データを改ざん・削除したりする攻撃です。会員情報の大量流出につながる代表的な攻撃で、正しい対策はプレースホルダ（バインド機構）を使ってSQL文を組み立てることです。入力値を文字列としてつなぎ合わせるのをやめれば、入力が命令として解釈されなくなります。エスケープ処理も次善の策ですが、根本的な対策はプレースホルダです。

クロスサイトスクリプティング（XSS）は、掲示板や検索結果など、利用者の入力をそのまま画面に表示するページの脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃です。被害はクッキーの盗用によるセッションハイジャックや、偽の入力フォームの表示です。対策は、画面に出力するときにエスケープ処理を行い、記号をスクリプトとして解釈されない形に変換することです。

クロスサイトリクエストフォージェリ（CSRF）は、ログイン中の利用者に細工したリンクを踏ませることで、その利用者の権限で意図しない処理（退会、設定変更、掲示板への書き込みなど）を実行させる攻撃です。利用者本人の正規のセッションが使われるため、入力値の検証では防げません。対策は、処理を受け付けるページごとに推測できないトークンを埋め込み、送られてきたトークンが正しいことを確認することです。

ディレクトリトラバーサルは、ファイル名を指定するパラメータに「../」のような相対パスを混ぜ込み、公開が想定されていない上位ディレクトリのファイル（設定ファイルやパスワードファイル）を読み出す攻撃です。対策は、利用者からファイル名を直接受け取らない設計にすること、受け取る場合は入力値の検証で許可した文字や名前だけを通すことです。

OSコマンドインジェクションは、Webアプリが内部でOSのコマンドを呼び出している箇所に細工した文字列を送り込み、サーバ上で任意のコマンドを実行させる攻撃です。サーバそのものを乗っ取られる危険があります。対策は、OSコマンドを呼び出す処理を避けること、避けられない場合は入力値を厳密に検証することです。

バッファオーバフローは、プログラムが用意したメモリ領域を超える大きさのデータを送り込み、あふれさせて動作を乗っ取る攻撃です。対策はプログラム側で入力データの長さを検査することと、修正プログラム（パッチ）の適用です。クリックジャッキングは、透明にした別のページを本物の画面に重ね、利用者が押したつもりのない場所をクリックさせる攻撃で、対策は自サイトを他サイトの枠内に表示させない設定です。

ドライブバイダウンロードは、改ざんされたWebサイトを閲覧しただけで、利用者が気づかないうちにマルウェアをダウンロード・実行させる攻撃です。水飲み場型攻撃の実行手段としても使われます。利用者側の対策は、OS・ブラウザ・各種ソフトウェアを最新の状態に保つことに尽きます。

用語

SQLインジェクション

入力欄に細工した文字列を入れてデータベースへの命令を書き換え、非公開データの取得や改ざん・削除を行う攻撃。プレースホルダ（バインド機構）でSQL文を組み立てるのが根本対策。

プレースホルダ（バインド機構）

SQL文の可変部分をあらかじめ記号で確保しておき、後から値だけを当てはめる仕組み。入力が命令として解釈されなくなるため、SQLインジェクションの根本的な対策になる。

クロスサイトスクリプティング（XSS）

利用者の入力をそのまま表示するページの弱点を突き、他の利用者のブラウザ上で悪意のスクリプトを実行させる攻撃。出力時のエスケープ処理が対策で、クッキーの盗用につながる。

エスケープ処理（サニタイジング）

画面に出力する文字列のうち、記号など特別な意味を持つ文字を無害な表記に変換する処理。XSSの対策として、利用者の入力を表示するすべての箇所で行う必要がある。

クロスサイトリクエストフォージェリ（CSRF）

ログイン中の利用者に細工したリンクを踏ませ、その人の権限で意図しない処理を実行させる攻撃。推測できないトークンをページに埋め込み、送信時に照合することで防ぐ。

ディレクトリトラバーサル

ファイル名の指定に「../」などを混ぜ、公開対象外の上位ディレクトリにあるファイルを読み出す攻撃。利用者からファイル名を直接受け取らない設計と入力値の検証で防ぐ。

OSコマンドインジェクション

Webアプリが内部で呼び出すOSコマンドに細工した文字列を送り込み、サーバ上で任意のコマンドを実行させる攻撃。サーバ乗っ取りに直結するため入力値の厳密な検証が必要。

バッファオーバフロー

プログラムが確保したメモリ領域を超えるデータを送ってあふれさせ、プログラムの動作を乗っ取る攻撃。入力データ長の検査と、修正プログラム（パッチ）の適用で防ぐ。

クリックジャッキング

透明にした別ページを本物の画面に重ね、利用者が意図しない場所をクリックさせて操作を実行させる攻撃。自サイトを他サイトの枠内に表示させない設定で防ぐ。

ドライブバイダウンロード

改ざんされたWebサイトを閲覧しただけで、気づかないうちにマルウェアをダウンロード・実行させる攻撃。OSやブラウザ、各種ソフトを最新に保つことが利用者側の対策になる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（攻撃手法・Webアプリケーションの脆弱性）

4. サービスを止める・広げる攻撃

DDoSや偽装系の攻撃、そしてサプライチェーン攻撃やAI悪用など、被害が外へ広がる攻撃を押さえます。

ここでは、情報を盗むのではなく「サービスを止める」攻撃と、被害が自社の外へ広がっていく攻撃を扱います。前者は事業継続の問題、後者は取引先や顧客への責任の問題であり、いずれも情報セキュリティリーダーが経営層へ説明する場面の多いテーマです。

DoS攻撃（サービス妨害攻撃）は、大量の通信や処理要求を送りつけてサーバやネットワークを過負荷にし、正規の利用者がサービスを使えない状態にする攻撃です。狙われるのは可用性です。DDoS攻撃（分散型サービス妨害攻撃）は、これを多数の機器から一斉に行うもので、あらかじめマルウェアに感染させて外部から操れるようにした多数の端末（ボットネット）が使われます。送信元が世界中に分散するため、単純に送信元IPアドレスを遮断する対処では追いつきません。近年は監視カメラやルータなどのIoT機器が踏み台にされ、自社の機器が知らないうちに加害者側になる点も重要です。

DNSリフレクション攻撃（DNSアンプ攻撃）は、送信元IPアドレスを標的のものに偽装した小さな問合せを多数のDNSサーバへ送り、大きな応答を標的へ集中させる攻撃です。少ない通信量で大きな攻撃を作り出せるため「増幅（アンプ）」と呼ばれます。SYN Flood攻撃は、接続要求だけを大量に送り、応答を返さずに接続待ちの状態を積み上げてサーバの資源を使い切らせる攻撃です。F5アタックは、ブラウザの再読込みキー（F5）を連打するなどして同じページの読込みを繰り返させる、単純な負荷攻撃です。

偽装によって通信をだます攻撃も整理しておきます。DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽の対応情報を覚えさせ、正しいURLを入力した利用者を偽サイトへ誘導する攻撃です。利用者側からは正しいアドレスを打っているため気づきにくいのが厄介です。ARPスプーフィングは、同じLAN内でMACアドレスの対応を偽って通知し、通信を自分の機器へ引き込む攻撃で、中間者攻撃の足がかりになります。IPスプーフィングは送信元IPアドレスを偽装する手口で、DoSの発信元隠しやアクセス制限の回避に使われます。

ゼロデイ攻撃は、脆弱性が公表されてから修正プログラムが提供されるまでの間、あるいは開発者がまだ気づいていない段階で、その脆弱性を突く攻撃です。パッチが存在しないため「更新すれば防げる」という前提が通用せず、多層防御や振る舞い検知、侵入を前提とした検知・対応の体制が必要になります。

サプライチェーン攻撃は、狙った大企業を直接攻めるのではなく、防御の手薄な取引先や子会社、あるいは広く使われているソフトウェアの提供元を侵害し、そこを経由して本命に到達する攻撃です。自社の対策が万全でも、委託先経由で情報が漏れれば責任は自社にも及びます。対策は、委託先の選定基準に情報セキュリティ要件を含めること、契約で再委託や報告義務を定めること、定期的に委託先の管理状況を確認すること、といった委託先管理そのものです。

クリプトジャッキングは、他人のパソコンやサーバに無断で暗号資産のマイニング（採掘）を行うプログラムを仕込み、その計算能力を勝手に使う攻撃です。情報が盗まれるわけではないため気づきにくく、動作が急に重くなる、電気代やクラウド利用料が跳ね上がるといった形で表れます。

AIを悪用した攻撃も現実の脅威になっています。ディープフェイクは、AIで本物そっくりの映像や音声を作り出すもので、経営者の声を合成して電話で送金を指示する事例が報告されています。生成AIによってフィッシングメールの文面が自然な日本語になり、「日本語が不自然だから偽物」という従来の見分け方が通用しなくなりました。したがって、文面の巧拙で判断するのをやめ、送金や権限変更は必ず定められた手順と別経路の確認を通す、という業務ルールの徹底がいっそう重要になります。

用語

DoS攻撃

大量の通信や処理要求を送りつけてサーバやネットワークを過負荷にし、正規の利用者がサービスを利用できない状態にする攻撃。侵害される情報セキュリティの要素は可用性である。

DDoS攻撃

マルウェアに感染させた多数の機器（ボットネット）から一斉にDoS攻撃を行うもの。送信元が分散するため単純な送信元遮断では対処できず、自社機器が踏み台にされる恐れもある。

DNSリフレクション攻撃（DNSアンプ攻撃）

送信元IPアドレスを標的に偽装した小さな問合せを多数のDNSサーバへ送り、大きな応答を標的に集中させる攻撃。少ない通信量で大きな攻撃量を作り出せる点が特徴。

SYN Flood攻撃

接続要求だけを大量に送り、応答を返さないことで接続待ちの状態を積み上げ、サーバの資源を使い切らせるDoS攻撃の一種。通信量が少なくても成立する。

DNSキャッシュポイズニング

DNSサーバのキャッシュに偽のアドレス情報を覚えさせ、正しいURLを入力した利用者を偽サイトへ誘導する攻撃。利用者側は正しいアドレスを入力しているため気づきにくい。

ARPスプーフィング

同一LAN内でMACアドレスとIPアドレスの対応を偽って通知し、他者宛ての通信を自分の機器へ引き込む攻撃。中間者攻撃による盗聴や改ざんの足がかりとして使われる。

IPスプーフィング

パケットの送信元IPアドレスを偽装する手口。攻撃元の隠蔽、送信元IPアドレスによるアクセス制限の回避、リフレクション攻撃の踏み台化などに利用される。

ゼロデイ攻撃

脆弱性の修正プログラムが提供される前の期間に、その脆弱性を突く攻撃。パッチ適用では防げないため、多層防御や振る舞い検知、侵入を前提とした検知・対応体制が必要になる。

サプライチェーン攻撃

防御の手薄な取引先や子会社、ソフトウェアの提供元を侵害し、そこを経由して本命の組織へ到達する攻撃。委託先の選定基準・契約条項・定期的な確認といった委託先管理が対策となる。

クリプトジャッキング

他人の機器に無断で暗号資産のマイニングを行うプログラムを仕込み、計算能力を勝手に使う攻撃。情報流出がないため気づきにくく、動作の重さや電気代・利用料の増加で表面化する。

ディープフェイク

AIによって本物そっくりの映像や音声を作り出す技術、およびそれを悪用した攻撃。経営者の声を合成した電話での送金指示など、なりすましの説得力を大きく高める。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A 大分類1：技術要素　中分類1：セキュリティ　小分類1 情報セキュリティ（攻撃手法・DoS攻撃・サプライチェーンの情報セキュリティ）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。