平成30年度 春期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　一般社団法人のセキュリティ評価とリスクアセスメント（配点50点）

問1 セキュリティ対策の評価に関する次の記述を読んで，設問1〜4に答えよ。 R団体はある科学技術分野のノウハウを有する，職員数300名の一般社団法人である。特殊な用途に用いる精密機器のプロトタイプ製作，民間企業や教育機関への技術情報の提供，安全基準の助言などを行っている。R団体とステークホルダとの関係を図1に，ステークホルダの概要を表1に示す…

設問

• 本文中の下線①について，サーバからのレスポンスの内容を見て脆弱性を判断するツールを用いた場合，脆弱性2を検知できないのはなぜか。その理由を35字以内で具体的に述べよ。
• 本文中の下線②について，脆弱性の原理を踏まえ，攻撃者が分析する方法を40字以内で具体的に述べよ。
• 本文中の下線③について，Rポータルがどのような実装方法を用いている場合に動作に影響があるか。45字以内で述べよ。
• 本文中の下線④について，サーバセグメント内のサーバで共通管理者アカウントを用いるR団体では，どのような機能を使ってどのような証跡を取得しているか。本文中の字句を用いて，70字以内で具体的に述べよ。
• 表5中のa〜cに入れる適切な字句を答えよ。また，表4のルールのうち不要となるものを項番で答えよ。
• 本文中の下線⑤について，誰がどのようなアクセス経路で何を行うと，セキュリティ対策基準違反になるか。違反になる行為を本文の内容を基に，55字以内で具体的に述べよ。
• 本文中のdに入れる，適切な検出事項の番号を答えよ。
• 本文中のeに入れる，製作パートナに確認する必要がある事項を20字以内で具体的に述べよ。
• 本文中のfに入れる，コンテナ方式における不正行為の手口を30字以内で述べよ。
• 本文中のgに入れる，適切な技術的対策を45字以内で述べよ。

大問2　Webサイトのセキュリティと脆弱性診断（配点50点）

問2 Webサイトのセキュリティに関する次の記述を読んで，設問1～6に答えよ。 A社は，従業員数1,200名のマスメディア関連会社である。A社では，提供するサービスごとにWebサイトを用意し，インターネット上に公開している。Webサイトには，情報提供サイトやショッピングサイトなど様々なものがある…

設問

• 表1中の下線①について，アクセスログに残らないのは，どのような攻撃の場合か。35字以内で述べよ。
• 本文中の a に入れる適切な確認方法を，表1の結果を考慮し，20字以内で具体的に述べよ。
• 本文中の下線②について，設定すべき認証方式の名称を，10字以内で答えよ。
• 本文中の b に入れる適切な報告内容を，50字以内で具体的に述べよ。
• 図4中の c ～ f に入れる適切な字句を，それぞれ10字以内で答えよ。
• 表4中の g ， h に入れる適切な数値を答えよ。
• 図8中及び図9中の i に入れる適切な文字列を解答群の中から選び，記号で答えよ。
• 表5中の j に入れる適切な操作内容を，表2中の画面遷移を指定して40字以内で答えよ。
• 図10中の k ， l に入れる適切な字句を，k は15字以内で，l は20字以内で具体的に答えよ。
• 本文中の下線③について，検収条件に追加すべき記載内容は何か。40字以内で述べよ。
• 診断で見つかった個々の脆弱性をWebセキュリティガイドを改善するためにどのように利用できるか。40字以内で述べよ。

この回の出題傾向と学習ポイント

平成30年度春期の午後IIは、一般社団法人のセキュリティ対策評価と、マスメディア関連会社のWebサイト脆弱性診断の2問からの選択制です。どちらも診断・評価で挙がった検出事項を軸に対応方針を検討していくストーリーで、診断技術と組織的対応の両方の理解が求められる回です。

問1　一般社団法人のセキュリティ評価とリスクアセスメント

精密機器のプロトタイプ製作などを行う一般社団法人を舞台に、セキュリティ評価の検出事項ごとに対応方針を検討する大問です。レスポンスの内容からは検知できない脆弱性、共通管理者アカウントの証跡取得、FWルールの見直し、コンテナ方式における不正の手口まで、テーマは多岐にわたります。35〜70字の記述が中心で、本文のセキュリティ対策基準に照らして違反行為を具体的に指摘する力が問われます。

問2　Webサイトのセキュリティと脆弱性診断

Webサイトの開発・運用を外部委託する企業を舞台に、インシデント調査から診断の自社実施の検討、実際の診断作業までを追う大問です。アクセスログに残らない攻撃、設定すべき認証方式、診断手順の穴埋め、検収条件やセキュリティガイドラインの改善まで、診断実務の流れに沿って問われます。XSSやSQLインジェクションなど定番脆弱性の検出方法を手順レベルで理解しておくと得点源になります。

両問とも「検出事項から対応方針へ」という流れで進むため、各検出事項が本文のどの構成・運用に起因するかを整理しながら読むのがこつです。診断ツールの限界や委託管理の観点も記述の材料になります。