平成28年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　懸賞システムの開発（XSS・CSRF脆弱性）（配点50点）

問1 Webシステムの開発に関する次の記述を読んで，設問1〜3に答えよ。 L社は，ソフトウェア受託開発企業である。このたびL社は，食品製造会社M社から，M社製品の宣伝目的で行う懸賞の応募受付を主要機能とするWebシステム（以下，懸賞システムという）の開発を受託した。懸賞システムの開発プロジェクトのリーダには，L社開発部のJ主任が任命された。 〔画面と遷移〕 L社では，懸賞システムの画面と遷移について，図1の案を作成した…

設問

• 本文中の a に入れる適切な字句を，FQDNで答えよ。
• 画面2-2'を表示した時点で，Webブラウザのアドレスバーに表示されるURLのホスト部を，FQDNで答えよ。
• 本文中の b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図7中の c , d に入れる適切な字句を答えよ。
• 本文中の下線①の窃取が成功するのは，懸賞システムにおいて，被害者がどのような状態にあるときか。20字以内で述べよ。
• 図8中の e , f に入れる適切な字句を，それぞれ10字以内で答えよ。
• 表2中の g , h に入れる記号の適切な組合せを，解答群の中から選び，記号で答えよ。
• 本文中の下線②の検査で，攻撃を防御する上で効果を発揮しない理由を，40字以内で具体的に述べよ。
• 図10中の i に入れる適切な字句を，10字以内で答えよ。
• 図10中の j に入れる適切な字句を，5字以内で答えよ。

大問2　DMZ上の機器のセキュリティ設定の点検（メールセキュリティ・DNS）（配点50点）

問2 DMZ上の機器の情報セキュリティ対策に関する次の記述を読んで，設問1〜4に答えよ。 U社は，従業員数1,500名の機械部品製造会社である。横浜に本社及び工場があり，国内10か所に営業所がある。U社は，本社にDMZを設置し，電子メール（以下，メールという）の送受信，Webの閲覧及びWebサーバによる情報公開に利用している。ドメイン名は，u-sha.co.jpで，U社ドメインの管理者は，B社DNSサービスを利用している…

設問

• 表2中の a ， b に入れる適切な字句を，それぞれ10字以内で答えよ。
• 図3中及び本文中の c に入れる適切な字句を，10字以内で答えよ。
• 本文中の d に入れる適切な字句を，10字以内で答えよ。
• 本文中の e に入れる機器名を，図1中の字句を用いて，10字以内で答えよ。また，本文中の下線①で生じるとしている影響を，40字以内で具体的に述べよ。
• 本文中の下線②の理由は，CONNECTメソッドのどのような仕様によるものか。該当する仕様を，20字以内で具体的に述べよ。
• 本文中の下線③について，変更箇所を，表2中の字句を用いて10字以内で答えよ。また，変更内容を，30字以内で具体的に述べよ。

大問3　スマートフォンアプリケーションの試験（サーバ証明書の検証不備）（配点50点）

問3 スマートフォンアプリケーションの試験に関する次の記述を読んで，設問1，2に答えよ。 S社は，従業員数100名のECサービス会社である。今回，新たにショッピングサイト（以下，Sサイトという）とSサイト専用のスマートフォンアプリケーション（以下，Sアプリという）から構成されるシステム（以下，Sシステムという）の開発プロジェクトを立ち上げた…

設問

• 表1中及び表2中の a に入れる適切な字句を，図1中又は図3中の構成要素から選び，答えよ。
• 表1中の b に入れる適切な字句を，図1中又は図3中の構成要素から選び，答えよ。
• 本文中の c に入れる適切な字句を，15字以内で答えよ。
• 表2の試験で，Sアプリが試験項目どおりに動作している場合に，どのような結果となるか。 d に入れる適切な結果を，本文中又は図表中の字句を用いて，30字以内で具体的に述べよ。
• 表4中の e ～ g に入れるサーバ証明書を，それぞれ表3中から全て選び，証明書番号で答えよ。
• 本文中の下線①について，攻撃者が，W-APの設定をどのように細工すると，Sアプリの利用者のうち，公衆無線LANの利用者のスマートフォンを自動的にW-APに接続させることができてしまうか。W-APの設定上の細工を45字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成28年度春期の午後Iは、Webシステムの脆弱性（XSS・CSRF）、DMZ上の機器の設定点検、スマートフォンアプリのサーバ証明書検証という3問からの選択制です。いずれも画面遷移図やネットワーク構成図、試験項目表など本文の図表を正確に読み取って解答する構成で、Webとネットワークの基礎知識を具体的な場面に当てはめる力が試されます。

問1　懸賞システムの開発（XSS・CSRF脆弱性）

受託開発した懸賞システムの脆弱性検査で見つかったXSSとCSRFへの対応が題材です。攻撃用スクリプトを使った窃取の流れを追う穴埋めやFQDNを答える設問、CSRF対策の仕組みを10字以内で埋める穴埋め、入力値の検査が防御に効かない理由を40字で述べる記述があります。XSS・CSRFの攻撃メカニズムと対策を、画面遷移とパラメタの受渡しに沿って説明できる水準まで理解しておきましょう。

問2　DMZ上の機器のセキュリティ設定の点検（メールセキュリティ・DNS）

機械部品製造会社のDMZに置かれたプロキシサーバ・外部メールサーバ・Webサーバの設定点検が題材です。複合機のメール送信も絡み、10字以内の穴埋めが多数出るほか、CONNECTメソッドの仕様を20字で述べる設問や、外部メールサーバの設定変更内容を30字で述べる記述もあります。メール配送の仕組み、DNS、プロキシの動作を設定レベルで理解しているかが得点を分けます。

問3　スマートフォンアプリケーションの試験（サーバ証明書の検証不備）

ショッピングサイト専用スマートフォンアプリで、サーバ証明書の検証が正しく行われるかを試験する場面が題材です。試験項目の表と複数のサーバ証明書を突き合わせて該当する証明書番号を全て選ぶ設問や、公衆無線LAN利用者を攻撃者のアクセスポイントに自動接続させる設定上の細工を45字で述べる記述があります。証明書検証の要素（名前・有効期限・発行元）を項目ごとに整理しておくと有利です。

3問とも会話文や点検・試験の表の中に解答根拠が埋め込まれるタイプです。演習では、穴埋めの前後関係から出題者が想定する技術用語を特定する練習と、字数内で攻撃の条件を言い切る練習を意識しましょう。