平成29年度 秋期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　ランサムウェア感染のインシデント対応（配点50点）

問1 ランサムウェアへの対策に関する次の記述を読んで，設問1～4に答えよ。 B社は，従業員数300名の建築資材販売会社であり，本社，営業店10か所の他に倉庫がある。本社，各営業店及び倉庫のネットワークはIP-VPNで接続されており，インターネットとの接続は本社に集約されている。本社と営業店では，それぞれ，本社用PCと営業用PCから情報共有サーバ（以下，Gサーバという）を利用し，Windowsのファイル共有機能を使って資料を共有している…

設問

• 本文中の下線①のファイルについて，タイムラインを作成する際に用いたタイムスタンプ情報を解答群の中から選び，記号で答えよ。
• 本文中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線②について，復元に利用するバックアップデータを選択する際，感染開始時刻と，何の時刻とを比較するか。15字以内で答えよ。
• 本文中の下線③について，感染していないDサーバが，ランサムウェアXによってファイルが暗号化された。その原因となる，営業用PCの設定とランサムウェアXの特徴を，それぞれ35字以内で述べよ。
• ランサムウェアXが起動した直後に感染を検知し，営業用PC05をネットワークから切り離していれば，今回の被害を一部防ぐことができたと考えられる。どのような被害を防ぐことができたか。25字以内で述べよ。
• 表2中の c ～ h に入れる適切なアクセス権限を，業務要件を踏まえて，可又は不可で答えよ。
• 本文中の下線④について，検体を解析してもファイルの復号が困難である理由を，30字以内で述べよ。
• 本文中の下線⑤のように，PCを休止状態で保管しておけばファイルを復号できる可能性があるが，シャットダウンしてしまうとその可能性が低くなる。可能性が低くなる理由を，ランサムウェアXの動作を踏まえて35字以内で述べよ。
• 本文中の下線⑥について，セキュリティパッチPを適用せずに放置した場合，営業用PCがランサムウェアYに感染すると，他のサーバやPCに感染が広がり，甚大な被害が生じるおそれがある…

大問2　Java／Servletを用いたWebアプリケーションのセキュアプログラミング（配点50点）

問2 Webアプリケーション開発におけるセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 A社は，Webマーケティングを支援する従業員数40名の企業である。A社では，現在，Webマーケティング分析システム（以下，Wシステムという）をWebアプリケーションとして独自に開発し，クラウドサービス事業者S社のクラウド上で顧客にサービスとして提供している…

設問

• 本文中の ア ， イ に入れる，適切な行番号を答えよ。また，本文中の下線①について，必要な全てのコードを解答群の中から選び，適切な順番に並べ替えて解答欄の左から順に記号で答えよ。
• 図1には，XSS脆弱性を招く可能性の否定できないコードがある。N氏の指摘に従い，改修すべき行番号を全て答えよ。
• XSS脆弱性に対する修正を，N氏の指摘に従い，解答群の中から選び，記号で答えよ。
• 本文中の a ， b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，Wシステムで採用するホワイトリスト方式の適切な仕様を，40字以内で具体的に述べよ。
• 本文中の下線③について，どのように改善すべきか。改善された検査手順を，30字以内で述べよ。
• 本文中の下線④について，XSS攻撃の試みを完遂できないことがある理由を，30字以内で述べよ。
• 本文中の下線⑤について，低減できるリスクを，50字以内で述べよ。

大問3　SSL/TLSとサーバ証明書の危殆化（配点50点）

問3 SSL/TLSを用いたサーバの設定と運用に関する次の記述を読んで，設問1〜3に答えよ。 C社は，衣服のデザイン，製造及び販売を行う中堅の衣料品製造会社である。近年は，C社の複数の販売チャネルのうち，ECモールに出店したオンラインショップでの販売量が増えており，C社の社名も比較的知られるようになった…

設問

• 本文中の a ～ d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，DNSキャッシュポイズニング攻撃は偽のECサイトと組み合わせた不正の中でどのような役割を果たすか。40字以内で具体的に述べよ。
• 本文中の下線②について，擬似乱数生成器が生成する乱数列に求められる性質として，適切なものを，解答群の中から選び，記号で答えよ。
• 本文中及び図1中の ア ， イ に入れる適切な字句を，それぞれ5字以内で答えよ。
• 図1中の下線③について，公表すべき情報として，重要なものを二つ挙げ，それぞれ20字以内で具体的に述べよ。
• 図1中の e に入れる適切な字句を，7字以内で答えよ。
• 本文中の下線④について，H氏が提案した措置を，20字以内で述べよ。
• 本文中の下線⑤について，SSL/TLSの利用において，PFSの性質をもつ鍵交換方式を解答群の中から全て選び，記号で答えよ。
• 本文中の下線⑥について，RSAの鍵が危たい化した場合に，当該鍵を用いてハンドシェイクを行った通信に関するリスクは何か。そのリスクの説明として，最も適切なものを解答群の中から選び，記号で答えよ…
• 本文中の下線⑦について，妥当でないと指摘した理由を，40字以内で述べよ。

この回の出題傾向と学習ポイント

平成29年度秋期の午後Iは、ランサムウェア感染への対応、Java／Servletによるセキュアプログラミング、SSL/TLSサーバ証明書の危殆化対応という3問からの選択制です。マルウェア対応・開発・暗号と分野の異なる3問が並び、いずれも本文の状況設定を踏まえた短めの記述が中心の回です。

問1　ランサムウェア感染のインシデント対応

建築資材販売会社でのランサムウェアX感染を題材に、タイムスタンプによるタイムライン作成、バックアップからの復元、共有フォルダ経由で感染していないサーバのファイルまで暗号化された原因の分析を行う大問です。共有フォルダのアクセス権限を可／不可で埋める設問や、PCを休止状態にするかシャットダウンするかで復号の可能性が変わる理由など、ランサムウェアの動作と鍵の扱いを踏まえた25〜40字の記述が問われます。

問2　Java／Servletを用いたWebアプリケーションのセキュアプログラミング

Webマーケティング企業の自社開発システムを題材に、Java／Servletのソースコードを読んでXSS脆弱性などの改修箇所を行番号で指摘させる大問です。修正コードの選択、ホワイトリスト方式の仕様の記述、セキュリティ検査手順の改善と、開発工程全体に踏み込みます。出力箇所でのエスケープ処理の原則と、コードリーディングへの慣れで解答速度が大きく変わる大問です。

問3　SSL/TLSとサーバ証明書の危殆化

ECサイトのサーバ証明書に対応する秘密鍵が外部サイトに掲示されたという危殆化事案の大問です。PKI・SSL/TLSの用語穴埋めに加え、DNSキャッシュポイズニングと偽サイトを組み合わせた不正の役割、危殆化時の初動対応、PFSの性質をもつ鍵交換方式の選択など、暗号と証明書運用の知識問題が多めです。危殆化時に何を公表し、何を失効させるかという運用手順も問われます。

問3は知識で得点しやすい一方、問1・問2は本文の権限設定やコードの読み込みが必須です。ランサムウェア対応や証明書失効といった定番テーマは、対応手順を自分の言葉で説明できるようにしておきましょう。