平成28年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　組込み機器を利用したシステムのセキュリティ対策（配点50点）

問1 組込み機器を利用したシステムのセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 C社は，製造事業者向けの機械や制御用コンピュータを製作・販売している従業員数1,200名の会社である。保守サービスの事業拡大を目的として，顧客の工場に設置されたC社製品の稼働状況を遠隔で監視するシステム（以下，工場遠隔監視システムという）を開発することになった…

設問

• 本文中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の c ， d に入れるIPアドレスを答えよ。
• 本文中の下線①について，実施したSSHの設定変更を30字以内で述べよ。
• 本文中の e に入れる適切な設定内容を30字以内で述べよ。
• 本文中の下線②の脆弱性を悪用する攻撃手法にはどのようなものが考えられるか。20字以内で述べよ。
• 本文中の下線③について，どのようにして実現するか。イメージファイルの作成時と更新時に行うディジタル署名に関連した処理を，使用する鍵の種類を明示した上で，それぞれ35字以内で述べよ。
• 本文中の下線④について，攻撃者はどのような方法で復号のための鍵を入手するか。35字以内で具体的に述べよ。

大問2　バッファオーバフロー脆弱性とソフトウェア開発における脆弱性対策（配点50点）

問2 ソフトウェア開発における脆弱性対策に関する次の記述を読んで，設問1〜4に答えよ。 V社は，ディジタル機器の開発及びソフトウェアの受託開発を行う，従業員数400名の企業である。今命，ソフトウェアの重大な脆弱性が相次いで報告されているので，V社開発部のL氏は，セキュリティ専門業者S社の情報セキュリティスペシャリストのK氏から，ソフトウェア開発についてのアドバイスを受けることとした…

設問

• 本文中の a 〜 d に入れる最も適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，スタックベースBOF脆弱性を悪用する攻撃の場合，関数呼出し時にスタックに必ず積まれるはずの，何の値を書き換えることによって攻撃が開始されるか。20字以内で答えよ。
• 本文中の ア に入れるファイル名を全て答えよ。
• 図2のプログラムの脆弱性について，本文中の下線②について，どの引数で利用者認証を回避されるか。引数の組を解答群の中から選び，記号で答えよ。
• 利用者認証を回避される原因となるヒープベースBOF脆弱性の存在箇所を，実際にバッファがオーバフローするコードの行番号で答えよ。
• (2)で示した行番号の行を差し替えて行う改修案として適切なものを解答群の中から全て選び，記号で答えよ。
• 本文中の下線③について，利用者認証が回避されない理由を，攻撃のタイミングではなく実行環境の観点で，40字以内で述べよ。
• 本文中の下線④について，有効に機能しない理由を，30字以内で述べよ。

大問3　プロキシサーバによるマルウェア対策（標的型メール攻撃・URL/カテゴリフィルタリング・プロキシ認証）（配点50点）

問3 プロキシサーバによるマルウェア対策に関する次の記述を読んで，設問1〜4に答えよ。 Q社は従業員数1,000名の医薬品製造会社である。Q社では，セキュリティ対策を強化するために，ブラックリスト指定のURLフィルタリング機能だけを有していたプロキシサーバ（以下，プロキシ1という）を，セキュリティ機能が豊富な新しいプロキシサーバ（以下，プロキシ2という）に更新するプロジェクトを開始した。Q社のネットワーク構成を図1に示す…

設問

• 表1中の a に入れる適切な字句を解答群の中から選び，記号で答えよ。 解答群 ア DMZ イ フォワードプロキシ ウ プロキシARP エ リバースプロキシ
• 本文中の b ， c に入れる次の(i)〜(iii)の適切な組合せを，それぞれ解答群の中から選び，記号で答えよ…
• プログラム名を指定する方法とハッシュ値を指定する方法の両方でプログラム起動禁止設定を行ったとしても，攻撃用プログラムの起動を防げない場合がある。どのような攻撃用プログラムの場合か。30字以内で具体的に述べよ。
• 本文中の下線①について，プロキシ2のログだけでは送信元PCを特定できない理由を，30字以内で述べよ。
• 本文中の d に入れる適切な字句を解答群の中から選び，記号で答えよ。 解答群 ア Max-Forwards イ Proxy-Authorization ウ Referer エ User-Agent オ X-Forwarded-For
• 本文中の下線②について，マルウェアは，どのようにして，認証を成功させるか。50字以内で具体的に述べよ。
• 本文中の下線③について，プロキシ2でどのように設定すべきか。URLフィルタリング機能及びカテゴリ単位フィルタリング機能について，それぞれ40字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成28年度秋期（情報セキュリティスペシャリスト試験）の午後Iは、組込み機器を利用した遠隔監視システム、バッファオーバフロー脆弱性、プロキシサーバによるマルウェア対策の3問からの選択制です。IoT・低レイヤ・境界防御と広い範囲から出題され、いずれも具体的な設定やコードに踏み込む技術重視の回です。

問1　組込み機器を利用したシステムのセキュリティ対策

LTEルータを自社開発して顧客工場の機械を遠隔監視するシステムが題材です。IPsecやSSHの設定変更、ファームウェアのイメージファイルへのディジタル署名（使用する鍵の種類を明示して記述）、暗号化されたイメージの復号鍵を攻撃者が入手する方法など、組込み機器の保護策を具体的に問います。20〜35字の記述が中心で、公開鍵と秘密鍵の使い分けを正確に書けるかがポイントです。

問2　バッファオーバフロー脆弱性とソフトウェア開発における脆弱性対策

スタックベースとヒープベースのBOF脆弱性を、lsコマンドの出力の読み取りやソースコードと組み合わせて問う大問です。利用者認証を回避される引数の組の選択、バッファがオーバフローする行番号の特定、改修案の選択に加え、実行環境の観点から攻撃が成立しない理由を40字で記述させます。脆弱性情報を組織間で共有する仕組みに関する用語穴埋めもあり、知識と読解のバランス型です。

問3　プロキシサーバによるマルウェア対策（標的型メール攻撃・URL/カテゴリフィルタリング・プロキシ認証）

医薬品製造会社のプロキシサーバ更改が題材で、侵入したマルウェアの通信をプロキシのログとフィルタリング機能でどう抑えるかを検討します。プログラム起動禁止設定でも防げない攻撃用プログラム、プロキシ認証をマルウェアが成功させる方法、URLフィルタリングとカテゴリ単位フィルタリングの設定内容を30〜50字で具体的に記述させます。プロキシ経由の通信の仕組みとヘッダ・認証の理解が軸です。

平成28年度以前は情報セキュリティスペシャリスト試験の名称ですが、出題の作りは支援士試験と地続きです。プロキシ認証やディジタル署名は「攻撃者ならどこを突くか」の視点で復習すると記述が書きやすくなります。