令和3年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　OAuthソーシャルログインの実装（配点50点）

問1 認証システムの開発に関する次の記述を読んで，設問1〜4に答えよ。 S社は，従業員10名のベンチャー企業である。S社のファイル共有サービス（以下，Sサービスという）は機能が豊富であり，登録会員（以下，S会員という）の数を伸ばしている。 Sサービスでは，利用者認証されたS会員が写真などのファイルを自身に割り当てられたフォルダにアップロードできる…

設問

• 本文中の下線①について，S社の課題に即した利点を30字以内で具体的に述べよ。
• 本文中の下線①について，可用性の観点での欠点を30字以内で述べよ。
• 本文中の a 〜 c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の α に入れる適切な字句を，図2中の（あ）〜（こ）から選び，記号で答えよ。
• 図4中の d ， e に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線②について，ファイルのアップロードと，ファイルのダウンロードは，それぞれTサービスの誰のアカウントによって行われるか。それぞれ6字以内で答えよ。
• 本文中の β ， γ に入れる適切な字句を，図2中の（あ）〜（こ）から選び，記号で答えよ。
• 本文中の下線③について，必要最小限の権限を図3中の（ア）〜（エ）から一つ選び，記号で答えよ。
• 本文中の下線④に該当するS会員を，35字以内で述べよ。
• 本文中の下線⑤について，Sサービスは，Tサービスと連携して，どのように利用者認証を実現しているか。実現の方法を50字以内で具体的に述べよ。

大問2　DNSのセキュリティ対策（配点50点）

問2 ネットワークのセキュリティ対策に関する次の記述を読んで，設問1，2に答えよ。 A社は，従業員500名の中規模の小売業であり，インターネットを介して消費者向けに商品を販売している。A社の情報システム部（以下，情シ部という）のL部長とM主任を含むN名で運用している。A社のネットワーク構成を図1に，図1中の主な機器とその概要を表1に示す。 A社のネットワーク構成（図1）の要点: ・インターネット—ルータ—FW—（社内側）という構成…

設問

• 本文中の下線①について，A社の公開Webサーバへの影響を，30字以内で述べよ。
• 本文中の下線②の攻撃の名称を20字以内で答えよ。
• 表3中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の c に入れるDNSのリソースレコードのタイプ名を6字以内で答えよ。
• 本文中の d に入れる適切な字句を15字以内で答えよ。
• 本文中の e に入れる技術の名称を英字10字以内で答えよ。
• 本文中の f ， g に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線③を実施することによって低減できるリスクを，30字以内で具体的に述べよ。
• 図2中の h ， i に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 表4中の j ～ m に入れる適切な内容を，“許可”又は“拒否”のいずれかで答えよ。
• 表5中の n ～ p に入れる適切な字句を解答群の中から選び，記号で答えよ。

大問3　脆弱性修正プログラムの配信手順（配点50点）

問3 セキュリティ運用に関する次の記述を読んで，設問1〜4に答えよ。 G社は，従業員1,500名の製造業であり，研究開発に定評がある。従業員は，Webアクセスによる情報収集並びに電子メール（以下，メールという）による営業活動及び情報交換に情報システムを利用している。G社は，情報セキュリティポリシを整備して運用している…

設問

• 図2中の a に入れる適切な字句を20字以内で具体的に答えよ。
• 本文中の下線①のL2SWを，図1中のL2SW1〜L2SW4から選び，答えよ。
• 本文中の b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線③に示す設定変更の内容を，30字以内で具体的に述べよ。
• 図5中の下線⑤について，(2)の活動に必要な情報及び(4)の活動に必要な情報を，それぞれ10字以内で答えよ。
• 本文中の下線④の方法を，55字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

令和3年度春期の午後Iは、OAuthによるソーシャルログイン、DNSのセキュリティ対策、セキュリティパッチの配信手順という3問構成の選択制です。認証・DNS・運用と分野が明確に分かれており、問1と問2は解答群からの記号選択が多め、問3は構成図をたどる読解型と、大問ごとに性格が異なる回です。

問1　OAuthソーシャルログインの実装

ファイル共有サービスがSNSのTサービスとID連携し多要素認証を実現する題材です。ID連携の利点・欠点を30字で記述させる設問、認可フロー図の(あ)〜(こ)から該当箇所を選ぶ設問、必要最小限の権限を選ぶ設問など、選択と短文記述が交互に登場します。OAuthの登場人物とトークンの流れ、権限（スコープ）の考え方を図で説明できるようにしておきましょう。

問2　DNSのセキュリティ対策

権威DNSサーバとフルサービスリゾルバを兼ねる外部DNSサーバのリスクを検討する大問です。攻撃名称を20字以内で答える設問、リソースレコードのタイプ名や英字10字以内の技術名称を答える設問など知識問題の比重が高く、加えてホスティング上にDNSサーバを新設する際のFWルールを許可・拒否で埋める設問もあります。DNSの仕組みと攻撃・対策の用語を固めておくと得点源にできます。

問3　脆弱性修正プログラムの配信手順

製造業のシステム構成を前提に、セキュリティパッチの配信手順の穴埋め、対象のL2SWを構成図から選ぶ設問、設定変更内容の記述に加え、WoL（Wake on LAN）を悪用するマルウェアの活動に必要な情報や対策方法を問う設問が続きます。記述は20〜55字で、資産管理・EDR・配信サーバといった運用系コンポーネントの役割理解と構成図の読解が鍵です。

この回は大問ごとに要求される知識がはっきり分かれています。OAuth・DNS・パッチ運用のうち自分が説明できる分野を選ぶ判断も含めて、選択眼を養う演習に向いた回です。