平成29年度 春期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　ARPポイズニングによる盗聴とセグメント分離（配点50点）

問1 社内で発生したセキュリティインシデントに関する次の記述を読んで，設問1〜3に答えよ。 D社は，従業員数100名のシステム開発会社である。D社のネットワーク構成を図1に示す。 D社のネットワークでは静的にIPアドレスが付与され，各セグメント間の通信はステートフルパケットインスペクション型のFWで制限されている。FWのフィルタリングルールを表1に示す…

設問

• 表3中の a 及び表4中の b ， c に入れる適切な字句を，図1中の機器のMACアドレスから選び，(ア)〜(キ)の記号で答えよ。
• 本文中の d に入れる適切なフィルタリングルールを，表1中の項番1〜5から選び，数字で答えよ。
• 本文中の下線①について，攻撃者が管理用PCのIPアドレスを特定するために盗聴したのはどのような通信か。送信元，宛先及びサービスを，それぞれ解答群の中から選び，記号で答えよ。
• 本文中の下線②について，このような設定にすることは，AさんのPCに侵入した攻撃者によって行われるどのような攻撃への対策になるか。攻撃名を10字以内で答えよ。また，攻撃に際して詐称される対象の機器名を図1中から選び，答えよ。
• 本文中の下線③について，防ぐことができる理由を35字以内で具体的に述べよ。
• 本文中の下線④について，TCPコネクション確立開始時のSYNパケットとSYN-ACKパケットはそれぞれどのような経路をたどるか。図4中の経路を通過する順に選び，(A)〜(C)の記号で答えよ。

大問2　CSRFとWebアプリケーションの脆弱性（配点50点）

問2 Webサイトのセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 E社は，従業員数200名の情報サービス事業者である。E社は，3年前からWebサイトα（以下，サイトαという）を利用して，次のような機能をもつ会員制の飲食店情報提供サービスを行っている…

設問

• 本文中の下線①について，L氏のアカウントが不正ログインされていないとの結論に至るには，L氏に確認した内容から分かる何の値と，ログイン記録から分かる何の値を抽出して，一致していることが確認できればよいか。それぞれ25字以内で述べよ。
• 本文中の a に入れる脆弱性の名称を，カタカナ20字以内で答えよ。
• 本文中の b に入れる表2中の項番を1〜5から選び，数字で答えよ。
• 本文中の c ， d に入れる適切な字句を，それぞれ10字以内で答えよ。
• 図2中の e ， f に入れる適切な文字列を，それぞれ10字以内で答えよ。
• 本文中の下線②に該当する属性を解答群の中から全て選び，記号で答えよ。 解答群 ア accesskey イ class ウ hidden エ id オ lang カ onclick キ onmouseover ク title
• 本文中の g に入れる攻撃の名称を，10字以内で答えよ。
• 本文中の h に入れる仕様を，25字以内で具体的に述べよ。

大問3　SAMLを用いたクラウド認証連携（配点50点）

問3 クラウドサービスの認証連携に関する次の記述を読んで，設問1〜3に答えよ。 F社は，従業員数300名のソフトウェア開発会社である。F社では，社外のクラウドサービスを試行的に導入し始めており，交通費精算サービス，グループウェアサービス，オンラインストレージサービスの三つを現在利用している。これらのクラウドサービスでは，各クラウドサービスの利用者ID とパスワードを用いてログインする…

設問

• 本文中の下線①について，条件を満たす利用者IDを特定するためには，どのような条件を満たすログイン記録を抽出すればよいか。満たすべき条件を35字以内で述べよ。
• 図1中の a 〜 d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の e ， f に入れる適切な処理番号を，表1中の処理1〜4の中から選び，答えよ。
• 表1中の g に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 表1中の h ， i に入れる適切な字句を，それぞれ5字以内で答えよ。
• 本文中の下線②について，SPとIdPが直接通信できないにもかかわらず，認証情報の連携が成立するのはなぜか。その理由を35字以内で述べよ。
• 本文中の下線③について，社外から交通費精算サービスとグループウェアサービスにアクセスしたとき，それぞれのサービスは，異なる理由でログインに失敗する。それらは，図1中のどの通信ができないことによるものか…

この回の出題傾向と学習ポイント

平成29年度春期の午後Iは、ARPポイズニングによる盗聴、CSRFを中心とするWebアプリケーションの脆弱性、SAMLによるクラウド認証連携という3問からの選択制です。ネットワーク・Web・認証と分野が明確に分かれており、各分野のプロトコルレベルの理解を試す技術寄りの回です。

問1　ARPポイズニングによる盗聴とセグメント分離

システム開発会社でのサーバへの不正ログインを調査する大問で、書き換えられたMACアドレスを図中から選ばせるなど、ARPポイズニングによる盗聴の仕組みをパケットレベルで追わせます。FWのフィルタリングルールの読み取りや、対策後にSYN／SYN-ACKパケットがたどる経路の選択も問われ、レイヤ2・レイヤ3の動作を正確に理解しているかが得点を左右します。記述は35字以内が中心です。

問2　CSRFとWebアプリケーションの脆弱性

会員制の飲食店情報サイトで利用者が身に覚えのない退会処理をされた、という事案から脆弱性を掘り下げる大問です。脆弱性名をカタカナで答えさせ、画面遷移の仕様表から攻撃が成立する画面を特定し、対策の仕様を25字以内で記述させます。HTMLの属性を解答群から全て選ぶ設問もあり、リクエスト強要系攻撃の成立条件と対策の仕組みを原理から説明できると有利です。

問3　SAMLを用いたクラウド認証連携

クラウドサービスへの不正アクセスを契機に、SAMLを用いた認証連携と接続元制限方式を導入する大問です。認証連携の通信フローの穴埋めに加え、SPとIdPが直接通信できないにもかかわらず連携が成立する理由や、社外からのアクセスがログインに失敗する理由を35字以内で記述させます。ブラウザのリダイレクトを介したメッセージの流れを、図で追えるようにしておくことが最大の対策です。

3問ともプロトコルの動作を図で追う力が問われます。ARP・CSRF・SAMLはいずれも定番テーマなので、演習後に通信の流れを自分で描き直してみると、本試験の図の穴埋めにも強くなります。