令和5年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　Javaのセキュアプログラミング（配点50点）

問1 Webアプリケーションプログラム開発に関する次の記述を読んで，設問に答えよ。 G社は，システム開発を行う従業員100名のSI企業である。このたび，オフィス用品を販売する従業員200名のY社から，システム開発を受託した。開発プロジェクトのリーダーには，G社の開発課のD主任が任命され，メンバーには，開発課から，Eさんと新人のFさんが任命された…

設問

• 表1中の a に入れる適切な行番号を，図1中から選び，答えよ。
• 表1中の b に入れる適切な変数名を，図1中から選び，答えよ。
• 図2中の c ， d に入れる適切な字句を答えよ。
• 本文中の e に入れる適切な変数名を，図5中から選び，答えよ。
• 本文中の f に入れる適切な字句を，英字10字以内で答えよ。
• 本文中の下線①の不具合は何と呼ばれるか。15字以内で答えよ。
• 図6中の g ，図7中の h ， i に入れる適切な字句を答えよ。
• 本文中の j に入れる適切な属性名を，図3中から選び，答えよ。

大問2　ライブラリ脆弱性のインシデントとログ分析（配点50点）

問2 セキュリティインシデントに関する次の記述を読んで，設問に答えよ。 R社は，精密機器の部品を製造する従業員250名の中堅の製造業者である。本社に隣接した場所に工場がある。R社のネットワーク構成を図1に示す。 R社のネットワーク構成（図1）の要点: ・インターネット—FW—本社という構成で，FW配下にDMZ・利用者LAN・工場LANがある。L3SWが本社内のセグメント間を中継する…

設問

• 本文中の a に入れる適切な字句を答えよ。
• 本文中の b に入れる適切な字句を，10字以内で答えよ。
• 本文中の c に入れる適切な字句を，"バインド"又は"コネクト"から選び答えよ。また，下線①について，Mさんがそのように判断した理由を，表1〜表3中の項番を各表から一つずつ示した上で，40字以内で答えよ。
• 本文中の d に入れる適切な字句を，"バインド"又は"コネクト"から選び答えよ。また，下線②について，Mさんがそのように判断した理由を，表1〜表3中の項番を各表から一つずつ示した上で，40字以内で答えよ。
• 本文中の e に入れる適切な数を，表2中から選び答えよ。
• 本文中の下線③について，Aレコードではこのような攻撃ができないが，TXTレコードではできる。TXTレコードではできる理由を，DNSプロトコルの仕様を踏まえて30字以内で答えよ。
• 本文中の下線④について，適切ではない理由を，30字以内で答えよ。
• 本文中の f に入れる適切なサーバ名を，10字以内で答えよ。

大問3　クラウドサービス導入とネットワーク設計（配点50点）

問3 クラウドサービス利用に関する次の記述を読んで，設問に答えよ。 Q社は，従業員1,000名の製造業であり，工場がある本社及び複数の営業所から成る。Q社には，営業部，研究開発部，製造部，総務部，情報システム部がある。Q社のネットワークは，情報システム部K部長とS主任を含む6名で運用している。Q社の従業員には，PC及びスマートフォンが貸与されている…

設問

• 図2中の a ～ c に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，利用できない理由を，40字以内で具体的に答えよ。
• 表3中の d ～ f に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 表3中の g に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 表4中の下線②について，見直し前と見直し後のアクセス方法の違いを，30字以内で答えよ。
• 表4中の下線③について，Lサービスに追加する設定を，40字以内で答えよ。
• 表4中の下線④について，選択する方式を，表1中の（ア），（イ）から選び，記号で答えよ。
• 表4中の h ， i に入れる適切な数字を答えよ。
• 表5中の あ ， い に入れる適切な数字，j ～ o に入れる適切な字句を答えよ。

この回の出題傾向と学習ポイント

令和5年度春期の午後Iは、Javaのセキュアプログラミング、ライブラリ脆弱性に起因するインシデントのログ分析、クラウドサービス導入とネットワーク設計という構成です。コード・ログ・ネットワーク図と、読み解く資料のタイプが3問で異なり、選択制のもとで自分の得意分野を選びやすい回です。

問1　Javaのセキュアプログラミング

SI企業が受託開発したシステムのソースコードを、静的解析ツールの指摘に沿って修正していく問題です。SQLインジェクションやディレクトリトラバーサルの指摘行番号・変数名をコードから選ばせる穴埋めが中心で、テスト工程で見つかった不具合の名称を15字以内で答える知識問題もあります。Javaのコードを読んで脆弱な箇所を指させるレベルの読解力が求められます。

問2　ライブラリ脆弱性のインシデントとログ分析

製造業のサーバがライブラリ脆弱性を突かれたインシデントで、FWのログやプロセス・ネットワーク接続の調査結果を読み解きます。通信が「バインド」か「コネクト」かを複数の表の項番を根拠に判定させる設問や、DNSのTXTレコードが攻撃に使える理由を30字以内で説明させる設問が特徴です。ログの各項目を突き合わせて通信の向きを判断する練習が有効です。

問3　クラウドサービス導入とネットワーク設計

製造業へのIDaaS導入と在宅勤務に向けたネットワーク見直しが題材です。SAML連携の動作の穴埋め、送信元制限機能によりSaaSを利用できない理由の記述、見直し前後のアクセス方法の違いなど、認証連携と通信経路の理解を問う設問が並びます。プロキシ経由の経路とIDaaSの送信元制限がどう関係するかを、図をたどって説明できるようにしておきましょう。

3問とも資料の該当箇所を根拠として示させる設問が多い回です。演習では、解答の根拠にした行番号・項番・図中の要素をメモしながら解くと、本試験でも見直しが速くなります。