平成28年度 秋期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　ICカードとPKIを用いた利用者認証システムの設計・運用（認証カード・暗号・認証・失効）（配点50点）

問1 ICカードを用いた認証システムに関する次の記述を読んで，設問1〜4に答えよ。 D社は，全国でマンションの開発・メンテナンスを手掛ける中堅の不動産デベロッパである。D社は各地域を担当する四つの子会社をもち，各子会社はそれぞれ複数の事業部門をもつ。D社の子会社（以下，D社グループという）は，積極的に人材交流を行い，人材育成及び人材活用を推進している。D社グループの構成を表1に示す…

設問

• 本文中の a ～ c ，k 及び l に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，R主任が想定している不適切な行為を，35字以内で具体的に述べよ。
• 本文中の d ，e 及び図2中の f に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，CRYPTRECの "電子政府推奨暗号リスト" に含まれている暗号技術を解答群の中から全て選び，記号で答えよ…
• 図2中の g ～ j に入れる適切な式を，解答群の中から選び，記号で答えよ。
• 図3中の下線③について，Jシステムの基本要件を満たすために，システム部が確認すべき事項を二つ挙げ，それぞれ30字以内で述べよ。
• グループ従業員用の利用者証明書のsubjectフィールドに記載するグループ従業員の情報について，必要不可欠なものを解答群の中から全て選び，記号で答えよ。
• 本文中の下線④について，改善すべき不備を40字以内で具体的に述べよ。また，この不備は，失効事由の値がどのような値となっている場合に事業用システムの不正利用に結び付く可能性が高いか。該当する失効事由の値を解答群の中から全て選び，記号で答えよ。
• 本文中の下線⑤について，この措置を行わない場合，CA-3が発行したサーバ証明書を利用するサーバにグループ従業員がWebブラウザでアクセスすると，どのような不都合が生じるか。30字以内で具体的に述べよ。
• 本文中の下線⑥の要請は，取引先のどのようなリスクを軽減するためか。45字以内で具体的に述べよ。
• 本文中の下線⑦について，この措置がグループ従業員による認証カードの又貸し又は持出しがあっても事業用システムの不正利用の影響を抑えることができる。この理由を，"認証"，"認可" の二つの字句を用いて，40字以内で具体的に述べよ。
• 方式B が非機能要件に適合している理由を表3の内容に基づいて二つ挙げ，それぞれ40字以内で具体的に述べよ。
• 本文中の下線⑦について，見つかった不正に対して，この措置が効果をもつと判断した根拠を，40字以内で述べよ。

大問2　情報システムを運用する組織における脆弱性対応（bashの脆弱性=Shellshock，WAF・パッチ・組織的対応）（配点50点）

問2 脆弱性対策に関する次の記述を読んで，設問1〜5に答えよ。 A社は，従業員数3,000名の製造会社である。A社の組織構成は図1のとおりであり，全社を統括する経営管理本部，及び製品の製造・販売を行う三つの製品本部がある。三つの製品本部は，それぞれ取り扱う製品分野が異なっている。経営管理本部には，データセンタ部（以下，センタ部という），総務部などがある…

設問

• 本文中の下線①について，公開Webサーバに対するX脆弱性の適切なリスクレベルを，図4の脆弱性対策基準に基づき判断し，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，記載する目的は何か。45字以内で述べよ。
• 本文中の下線④について，必要な条件を解答群の中から選び，記号で答えよ。
• 図6中のWebサーバ（httpd）に対してY脆弱性を悪用するための例と同様に，catコマンドが実行されたとき，どのような権限でcatコマンドが実行されるか。解答群の中から選び，記号で答えよ。
• 本文中の a に入れる適切な字句を，10字以内で答えよ。
• 本文中の下線④について，図7のWebサーバ（httpd）に対してY脆弱性を悪用するため，ファイル/etc/passwdを不正に参照されるときにフィールド値として指定される文字列を答えよ…
• 本文中の b に入れるWAFの攻撃検知手法を，15字以内で答えよ。
• 本文中の下線②について，期間が短い理由を検証作業の観点から40字以内で述べよ。
• 表1中の c ， d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線③について，Q主任がオンプレミス型ではなくクラウド型を選ぶ根拠となったクラウド型の利点を，50字以内で述べよ。
• 本文中の f に入れる適切な字句を，20字以内で答えよ。
• 図8中及び本文中の e ， g 及び h に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，どのような機能をもつコマンドが該当するか。30字以内で具体的に述べよ。
• 図10中の i に入れる適切な字句を答えよ。
• 本文中の下線⑥について，図9の案ではリスクレベルの評価を行わなければならないが，図10では行わなくて済むのはどのような場合か。解答群の中から全て選び，記号で答えよ。
• 図10中の j ， k に入れる適切な字句を，それぞれ15字以内で答えよ。

この回の出題傾向と学習ポイント

平成28年度秋期（情報セキュリティスペシャリスト試験）の午後IIは、ICカードとPKIを用いた利用者認証基盤の設計・運用と、bashの脆弱性を題材にした組織的な脆弱性対応の2問からの選択制です。問1は認証・暗号の設計力、問2は脆弱性ハンドリングの体制づくりと、性格の異なる力を試す回です。

問1　ICカードとPKIを用いた利用者認証システムの設計・運用（認証カード・暗号・認証・失効）

不動産グループのIT部門統合を背景に、ICカードを用いた認証システムをPKIで設計する大問です。暗号方式の穴埋め、CRYPTRECの電子政府推奨暗号リストからの選択、利用者証明書のsubjectフィールドや失効事由の扱い、認証局階層とルート証明書の配布まで、証明書のライフサイクル全体が問われます。「認証」「認可」の二つの字句を用いた記述指定もあり、用語を正確に使い分けられるかが鍵です。

問2　情報システムを運用する組織における脆弱性対応（bashの脆弱性=Shellshock，WAF・パッチ・組織的対応）

製造会社を舞台に、bashの脆弱性への対応を通じて全社の脆弱性対策基準の見直しまで進める大問です。脆弱性を悪用したコマンド実行の仕組み（実行権限や指定される文字列）を手を動かして追わせる設問と、WAFの攻撃検知手法・クラウド型WAFの利点・リスクレベル評価の運用といった管理面の設問が交互に現れます。パッチ適用と暫定対策の使い分けを自分で説明できるようにしておきたい大問です。

問1は暗号・証明書の正確な知識、問2は技術的な悪用原理と組織の対応基準を行き来する読解が必要です。午後IIは1問にじっくり時間を使えるので、図表の番号を追いながら丁寧に解き進めましょう。