平成29年度 秋期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　IoTビデオ監視システムのセキュリティ検査（配点50点）

問1 IoTシステムのセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 Z社は従業員数100名のファブレス企業で，ネットワークカメラを使ったクラウド型ビデオ監視システム（以下，Zシステムという）を開発し，個人及び小規模事業者向けに提供している。留守宅や事務所を監視する防犯用途，外出中にペットの様子を確認するなど用途が広がっている。Zシステムの概要を図1に示す…

設問

• 表3中の a に入れる適切な検査項目の名称を答えよ。
• 表3中の下線①について，ポートが開いている場合と閉じている場合に期待される応答結果を，それぞれ解答群の中から全て選び，記号で答えよ。
• 表3中の b に入れるプロセスの動作を，30字以内で具体的に述べよ。
• 本文中の下線について，出荷済みのZカメラに対する対策を，60字以内で具体的に述べよ。
• 表4中の c ， d に入れる攻撃手法を解答群の中から選び，記号で答えよ。
• 本文中の e に入れる適切な字句を英字で答えよ。
• 本文中の下線について，プライベート認証局のルート証明書を信頼されたルート証明機関のものとして登録してはいけない理由を，30字以内で述べよ。
• 表5中の下線について，アクセス元の端末を制限する方法としてZシステムに適した方法を，25字以内で述べよ。
• 本文中の下線について，表5の整理番号D1，D2への対策として，共通鍵管理を含めた仕組みを検討する。Zクラウドの管理者に見られないことを踏まえ，共通鍵の生成，動画の暗号化及び復号を行うZシステムの構成要素を，図1中から選んで答えよ…
• 本文中の f に該当する全ての脅威を，表5中の整理番号で答えよ。
• リバースブルートフォース攻撃の攻撃手法を，40字以内で述べよ。
• 本文中の下線について，ログイン制限では防げない理由を，40字以内で述べよ。
• 本文中の下線について，追加した認証が効かないのはどのような場合か。50字以内で具体的に述べよ。
• 本文中の下線について，Zクラウドにおけるログイン認証の状況を踏まえて，平常時と異なる状況だと判断される場合のどのような追加認証が適切か。25字以内で述べよ。
• 本文中の下線について，委託契約に盛り込むべき条項を，25字以内で具体的に述べよ。
• 本文中の下線について，委託先に盛り込むべき条項を，25字以内で具体的に述べよ。
• 本文中の下線について，構成管理を導入していない場合の問題点を，40字以内で具体的に述べよ。

大問2　データベース暗号化とハードウェア暗号モジュール（配点50点）

問2 データ暗号化の設計に関する次の記述を読んで，設問1〜4に答えよ。 X社は，従業員数10,000名の生命保険会社である。X社では，業務担当者が契約者の情報を管理するシステム（以下，K1システムという）を，15年前から運用している。K1システムは，X社データセンタに設置されており，次の4種類のサーバ及び共有ストレージで構成されている…

設問

• 本文中の a ， b に入れる適切な字句を， a は英字4字で， b は英字8字で，それぞれ答えよ。
• Y社が提示した前提条件に基づいて試算した場合，2017年製のPCを利用したとして，同じ時間内に56bitDESを解読するには，PCは最低何台必要か。答えは，小数第1位を切り上げて整数で求めよ。ここで，133,920÷540×248である。
• 指摘2の状況によって，誰が，どのような方法で契約情報を取得するリスクが発生するか。60字以内で述べよ。
• 本文中の c に入れる適切な英字4字を答えよ。
• 製品Hの仕様1の効果を，1人の鍵管理者が三つの部分鍵を入力し，3枚のICカードに保管して管理する場合と比べて，25字以内で述べよ。
• ICカードに記録される部分鍵は，何を実施した場合にどのような目的のために必要か。場合と目的をそれぞれ15字以内で述べよ。
• 本文中の下線①によって実現される暗号モジュールの性質を，7字以内で答えよ。
• X社の運用規程で，製品Hを運搬する場合，必ず静電気防止シートで覆うように定めた。これは，静電気防止シートで覆わなかった場合に発生し得る不都合な事象を想定し，配慮したものである…
• DB及び表領域の作成手順について，(i)の代わりにHSMサーバ1とHSMサーバ2の両方を稼働させておいた場合，(ii)から(viii)までのどの手順がエラーとなるか。一つ選び，記号で答えよ…
• Hクライアントにおいて，HクライアントIDをデータ鍵IDに付け加える機能がなかった場合，特定の条件においてDB作成がエラーになる。その条件を40字以内で述べよ。
• 対策1は，誰がどのような方法で契約情報を取得するリスクに対する対策か。リスクを45字以内で述べよ。
• 対策2は，誰がどのような方法で契約情報を取得するリスクに対する対策か。リスクを50字以内で述べよ。

この回の出題傾向と学習ポイント

平成29年度秋期の午後IIは、クラウド型ビデオ監視システム（IoT）のセキュリティ検査と、生命保険会社のデータベース暗号化設計の2問からの選択制です。問1は機器・通信・クラウドにわたる脅威分析、問2はハードウェア暗号モジュールを使った鍵管理の設計と、いずれも設計・検査の細部まで踏み込む技術色の濃い回です。

問1　IoTビデオ監視システムのセキュリティ検査

ネットワークカメラ・クラウド・モバイルアプリから成るZシステムを対象に、ポートスキャンの応答、出荷済み機器への対策、プライベート認証局のルート証明書の扱い、リバースブルートフォース攻撃への対策までを検査していく大問です。表の脅威整理と連動した25〜60字の記述が多数あり、物理インタフェースをもたないというIoT機器特有の制約を踏まえ、追加認証が効かない場合など対策の限界まで考えさせます。

問2　データベース暗号化とハードウェア暗号モジュール

生命保険会社の契約情報DBを暗号化する設計の大問で、56bitDESの解読に必要なPC台数の計算、部分鍵をICカードで管理する方式、耐タンパ性、HSMサーバ2台構成での手順エラーの特定など、鍵管理の運用設計を深掘りします。「誰がどのような方法で契約情報を取得するリスクか」を45〜60字で記述させる設問が繰り返され、オペレータや管理者の権限分掌とリスクの対応付けが得点の鍵です。

両問とも表・図と設問の対応が密なので、演習では脅威の整理番号や手順番号を本文にマークしながら読むと迷いにくくなります。暗号分野は部分鍵や耐タンパ性などの概念を説明できるレベルまで復習しておきましょう。