令和4年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　情報共有Webアプリのアクセス制御とSQLインジェクション（配点50点）

問1 Webアプリケーションプログラム開発のセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 H社は，Webアプリケーションプログラム（以下，Webアプリという）を開発する従業員200名の会社である。H社では，開発部がWebアプリを開発し，情報セキュリティ部が，表1に示す方法に従って，脆弱性検査を実施する…

設問

• 表1中の下線①について，適切な文字列の例を，解答群の中から選び，記号で答えよ。
• 表1中の下線②について，名称を，10字以内で答えよ。
• 表1中の a に入れる適切な字句を，5字以内で答えよ。
• 本文中の下線③について，未参加のプロジェクトに参加しているかのように偽るための操作を，40字以内で具体的に述べよ。
• 本文中の下線④について，方法1の脆弱性が方法2で解決されるのはなぜか。30字以内で述べよ。
• 図2中及び図3中の b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 図2中の c に入れる適切な字句を答えよ。
• 図3中の d に入れる適切な字句を，図1中の属性名を含めて答えよ。

大問2　IoT機器(ルータ・NAS)のセキュリティ（配点50点）

問2 セキュリティインシデント対応に関する次の記述を読んで，設問1〜4に答えよ。 Z社は，Network Attached Storage（NAS）製品，ルータ製品などのネットワーク機器を開発，保守している従業員200名の会社である。国内の中小企業の顧客を中心に事業を展開している。NAS製品である製品Xは，ファイル共有の用途で利用され，ルータ製品である製品Yは，インターネット接続の用途で利用されている…

設問

• 本文中の a ， b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 表2中の下線①について，WAN側でUPnP機能を有効にできる仕様とした場合，ルータAが操作されることによって，どのようなセキュリティ上の問題が発生するか。発生する問題を，30字以内で述べよ。
• 本文中の下線②のように判断した理由を，40字以内で述べよ。
• 図2中の c に入れる適切な字句を，15字以内で答えよ。
• 図2中の d に入れる適切な字句を，15字以内で答えよ。
• 図3中の e ～ g に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，実行されたOSコマンドの内容が分からなかった理由を，35字以内で述べよ。
• 本文中の下線④について，対策を，50字以内で具体的に述べよ。
• 本文中の h に入れる適切な字句を，英字10字以内で答えよ。

大問3　スマートフォンQRコード決済の不正利用対策（配点50点）

問3 スマートフォン向けQRコード決済サービスの開発に関する次の記述を読んで，設問1〜3に答えよ。 L社は，様々なWebサービスを提供している従業員8,000名の企業である…

設問

• 本文中の a ， b に入れる適切な字句を，解答群の中から選び，記号で答えよ。 解答群 ア Qサービスへのログイン イ アカウント作成
• 本文中の下線①について，攻撃者はどのようにして他人の銀行口座とのひも付けを成功させるか。その方法を二つ挙げ，それぞれ30字以内で述べよ。
• 表2中の c に入れる適切な字句を，5字以内で答えよ。
• 本文中の d ， e に入れる適切な字句を，解答群の中から選び，記号で答えよ。 解答群 ア 共通鍵 イ 公開鍵 ウ 秘密鍵
• 本文中の f に入れる適切な字句を，15字以内で答えよ。
• 本文中の g に入れる適切な字句を，40字以内で述べよ。
• 本文中の下線①について，スマートフォンの画面ロックを設定していないと，どのような場合に不正利用が行われるか。20字以内で具体的に述べよ。
• 本文中の下線②について，どのような機能が考えられるか。30字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

令和4年度春期の午後Iは、情報共有Webアプリのアクセス制御とSQLインジェクション、IoT機器（ルータ・NAS）のインシデント対応、スマートフォンQRコード決済の不正利用対策という構成です。題材はWebアプリ・機器・決済サービスと幅広いものの、いずれも認証・認可の穴を突く攻撃が軸となる選択制の回です。

問1　情報共有Webアプリのアクセス制御とSQLインジェクション

社内の情報共有Webシステムを題材に、SQLインジェクション対策（プレースホルダ）、HTTPヘッダ・メールヘッダインジェクションの検査方法と対策、アクセス制御の不備を突く操作を検討します。用語の穴埋めと、未参加のプロジェクトに参加しているかのように偽る操作を40字で書かせる記述が中心です。SQL文の組立て方とリクエストパラメータの改ざんを理解しておくと解きやすい大問です。

問2　IoT機器(ルータ・NAS)のセキュリティ

在宅勤務対応で外部公開したNASでファイルが開けなくなる障害が発生し、メーカーの立場で原因を調査する問題です。UPnP機能をWAN側で有効にした場合の問題、実行されたOSコマンドの内容が分からなかった理由、ダイナミックDNSの調査など、機器の設定とログを根拠に30〜50字で記述させます。IoT機器の外部公開に伴うリスクを、ネットワーク設定のレベルで説明できる準備が必要です。

問3　スマートフォンQRコード決済の不正利用対策

QRコード決済サービスの開発を題材に、本人確認と当人認証の設計を検討します。攻撃者が他人の銀行口座とのひも付けを成功させる方法を二つ挙げさせる記述や、公開鍵・秘密鍵の使い分けの選択、画面ロック未設定時にどのような不正利用が起こるかを問う設問など、決済サービスの認証設計を多角的に問います。本人確認・当人認証という用語の区別を明確にしておきましょう。

3問とも「攻撃者ならどう悪用するか」を書かせる設問が核になっています。演習では、正規の手順を確認した後に、その手順のどこが崩せるかを攻撃者視点で言語化する練習を重ねましょう。