平成30年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　Use-After-Free脆弱性とメモリ対策（配点50点）

問1 ソフトウェアの脆弱性に関する次の記述を読んで，設問1〜9に答えよ。 V社は，従業員100名のソフトウェア開発会社である。V社では，開発に関わる全員が情報セキュリティを意識した実装を行えるよう，開発経験が長い従業員にセキュリティ教育を行っている。次は，任意の攻撃コードが実行され得る脆弱性について，開発チームのT主任が部下のUさんに教えていた時の会話である。 T主任：任意の攻撃コードが実行され得る脆弱性は幾つかある…

設問

• 本文中の a ， b に入れる適切な脆弱性名を，解答群の中から選び，記号で答えよ。
• 本文中の下線②のようになるためには，本文中の下線①で読み込まれる攻撃者からの入力値はどのような値である必要があるか…
• 本文中の c に入れる適切なアドレスを表1中の（ア）〜（シ）から選び，記号で答えよ。
• 本文中の d に入れる適切な値を16進数で答えよ。
• 本文中の e に入れるメモリ領域の名称を答えよ。
• 本文中の下線③の理由を，45字以内で述べよ。
• 本文中の f に入れる適切なアドレスを表2中の（ア）〜（ク）から選び，記号で答えよ。
• 本文中の g に入れるメンバ関数の名前を答えよ。
• 本文中の h に入れる適切なソースコードを答えよ。

大問2　サーバ運用管理PCと特権IDのセキュリティ対策（配点50点）

問2 情報セキュリティ対策の強化に関する次の記述を読んで，設問1〜3に答えよ。 T社は，従業員数300名の中小企業者である。T社のネットワーク構成を図1に示す。 T社のネットワークは，データセンタとT社拠点から成る。データセンタにはDMZ及び内部システムLANがあり，DMZには迷惑メール対策サーバ，DNSサーバ，外部メールサーバ，プロキシサーバが（L2SW経由で）接続されている…

設問

• 図2中の a に入れる適切な字句を答えよ。
• 表3中の b ， c 及び d に入れる適切なサーバ名を図1中の字句を用いて答えよ。
• 表4中の e に入れる適切な通信の内容を30字以内で述べよ。
• 本文中の下線①について，回避によって生じる問題を二つ挙げ，それぞれ40字以内で具体的に述べよ。
• 本文中の下線②について，設定内容の変更点を30字以内で具体的に述べよ。
• 本文中の下線③について，設定内容の変更点を55字以内で具体的に述べよ。

大問3　創薬ベンチャのネットワーク分離とファイル転送（配点50点）

問3 LAN分離に関する次の記述を読んで，設問1〜4に答えよ。 N社は，新薬創出を事業内容とする，いわゆる創薬ベンチャ企業である。従業員は10名で，研究開発員が5名，その他の事務員が5名である。N社のネットワーク構成を図1に示す。図1中の全ての機器は固定のIPアドレスを割り当てている。また，インターネット経由でN社が利用しているクラウドサービスを表1に示す…

設問

• 本文中の a ， b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の c ， d に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 表4中の下線①について，A氏が低いと判断した理由は何か。40字以内で述べよ。
• 表4中の e ～ g に入れる適切な字句をそれぞれ15字以内で答えよ。また，これら全ての情報をまとめて窃取する方法を，30字以内で具体的に述べよ。
• 表4中の下線②で，A氏が低いと判断した理由は何か。50字以内で述べよ。
• 表6中の h ～ k に入れる適切な内容を，h及びjについては"低い"又は"高い"のいずれかで答え，i及びkについてはそれぞれ30字以内で述べよ。
• 本文中の l に入れる適切な手順を，15字以内で答えよ。

この回の出題傾向と学習ポイント

平成30年度春期の午後Iは、Use-After-Free脆弱性のコードレベル分析、サーバ運用管理PCと特権IDの管理、創薬ベンチャのLAN分離という3問からの選択制です。ソースコードとメモリを追う技術問題から、リスクアセスメントの考え方を問うマネジメント寄りの問題まで、方向性の異なる3問が並ぶ回です。

問1　Use-After-Free脆弱性とメモリ対策

C++のサンプルコードを素材に、解放済みメモリを再利用するUse-After-Free脆弱性の悪用過程を追う大問です。リトルエンディアンを考慮した攻撃入力のバイト列を16進数で答えさせるなど、メモリレイアウトの具体的な理解が必要で、修正のためのソースコードの記述まで求められます。設問の大半が穴埋め・短答形式で、C/C++のメモリ管理を手を動かして学んでいるかどうかで差がつきます。

問2　サーバ運用管理PCと特権IDのセキュリティ対策

従業員300名の企業のネットワークを題材に、DMZ上のサーバやFWの設定を点検し、運用担当者のPCの利用方法を見直す大問です。図中からサーバ名を選ばせる穴埋めと、設定変更の内容を30〜55字で具体的に記述させる設問が中心です。メール・DNS・プロキシ各サーバの役割と、運用端末や特権IDを分離して管理する考え方を押さえておくと解きやすい構成です。

問3　創薬ベンチャのネットワーク分離とファイル転送

従業員10名の創薬ベンチャを舞台に、ファイル漏えい防止のためのリスクアセスメントとLAN分離案の比較検討を行う大問です。リスクを「低い／高い」で判定させ、その理由を30〜50字で記述させる形式が特徴で、攻撃経路を本文のネットワーク構成に即して具体的に想定する力が問われます。クラウドサービス経由の更新ファイル取得など、小規模組織特有の構成の読み取りが鍵です。

問1は得意不得意が分かれやすい低レイヤ問題です。問題選択の判断を早めに行い、問2・問3では「構成図のどこに弱点があるか」を意識して読むと、記述の根拠が見つけやすくなります。