平成27年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　ソフトウェアの脆弱性への対応（配点50点）

問1 ソフトウェアの脆弱性への対応に関する次の記述を読んで，設問1〜5に答えよ。 Q社は従業員数約300名の食品販売会社であり，消費者向けにインターネットを介して健康食品を販売している。 Q社の社外向け情報システムは，販売システム（以下，Eシステムという）と広報システム（以下，Fシステムという）から成る。Eシステムは，Q社のデータセンタに設置されている…

設問

• Eシステム及びFシステムそれぞれについて，Q社のビジネスを踏まえて，情報セキュリティの3要素のうち重視すべき要素とその理由を，重視すべき要素は5字以内，理由は25字以内でそれぞれ述べよ。
• 本文中の a に入れる適切な字句を，表2中の字句を用いて15字以内で答えよ。
• 表3中の b ～ g に入れる適切な字句を，図2中の字句を用いて答えよ。
• 本文中の下線①に示した[パターン]にマッチする文字列を解答群の中から全て選び，記号で答えよ。
• 本文中の h に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線②について，設定をどのように見直すべきか。25字以内で述べよ。
• 本文中の下線③について，WAFに関して具体的に何を検証すべきか。二つ挙げ，それぞれ30字以内で述べよ。
• 本文中の下線④について，WAFのルールの[動作]に"検知"を指定し，一定期間運用することにはどのような利点があるか。45字以内で述べよ。

大問2　特権IDの管理・委託先管理による内部不正防止（配点50点）

問2 特権IDの管理に関する次の記述を読んで，設問1〜3に答えよ。 Y社は，従業員数1,000名の食品製造販売会社であり，一般消費者に食品を通信販売している。Y社では，顧客情報管理システム（以下，Yシステムという）を利用し，顧客情報を管理している。Yシステムの保守作業は，開発元であるソフトウェア開発会社のS社に委託している。保守作業の際，Y社はS社に対して，特権ID（以下，委託用特権IDという）について使用を許可している…

設問

• 表2中の a に入れる適切な字句を，10字以内で答えよ。
• 本文中の下線①について，DBサーバへアクセスした者を特定することができない委託用特権IDを，10字以内で答えよ。また，特定することができない理由を35字以内で述べよ。
• 本文中の b ， c に入れる適切な機器名を答えよ。
• 本文中の下線②について，不正操作を検知できる理由を35字以内で述べよ。
• 本文中の下線③について，具体的に何を確認すべきか，35字以内で述べよ。
• 本文中の下線④について，顧客情報の不正持出し対策として何と呼ばれる効果があるか。効果の名称を「効果」という字句を含めて5字以内で答えよ。
• 本文中の下線⑤について，案2の方が資産管理を実施しやすい理由を40字以内で述べよ。

大問3　Webサイト侵入のインシデント対応(侵入経路・原因・影響範囲の調査・特定・対策立案)（配点50点）

問3 Webサイトにおけるインシデント対応に関する次の記述を読んで，設問1〜4に答えよ。 W社は，精密機器を製造している従業員数500名の会社である。W社では，取引先との間で設計データを共有するためにWebサイト（以下，サイトXという）を利用している。サイトXは，W社の情報システム部が開発，運用しており，W社の従業員と取引先の従業員員がそれぞれアクセスする。サイトXのネットワーク構成を図1に，システム概要を図2に示す…

設問

• 本文中の a ～ c に入れるサーバ名を，図1中の字句を用いて答えよ。
• 本文中の d ～ g に入れる適切な数値を答えよ。
• 本文中の下線①のように推測される理由を，表5のログに基づいて60字以内で述べよ。
• 内部LAN及び管理LANへの影響を調査するために，FWのどのフィルタリングルールで取得されるログを確認すればよいか。該当するルールを全て，表6の項番で答えよ。
• 本文中の下線②について，ポリシを満たしていないことが判明したルールはどれか。表6の項番で答えよ。また，当該ルールがポリシを満たすために設定すべきサービスを二つ答えよ。
• 対策(a)，(b)は，今回のインシデントにおける一連の攻撃のうち，どのような攻撃を防ぐために実施するものか。(a)について，防ぎたい攻撃を40字以内で述べよ。
• 対策(a)，(b)は，今回のインシデントにおける一連の攻撃のうち，どのような攻撃を防ぐために実施するものか。(b)について，防ぎたい攻撃を40字以内で述べよ。

この回の出題傾向と学習ポイント

平成27年度秋期の午後Iは、ソフトウェアの脆弱性対応（WAF運用）、特権ID管理による内部不正防止、Webサイト侵入のインシデント対応という3問からの選択制です。攻撃手法そのものより、運用・管理の場面で知識をどう使うかを問う色合いが強く、ログやルール表の読解が得点の中心になる回です。

問1　ソフトウェアの脆弱性への対応

健康食品販売会社のWebシステムを題材に、フレームワークの脆弱性へWAFで対処する流れを追います。情報セキュリティの3要素から重視すべきものを理由付きで答える設問、WAFのパターンにマッチする文字列を全て選ぶ選択問題、ルールの動作に検知を指定して運用する利点を45字で述べる記述があります。WAFの動作モードや検証すべき事項など、脆弱性対応を運用に落とし込む観点を押さえましょう。

問2　特権IDの管理・委託先管理による内部不正防止

保守を委託するソフトウェア開発会社に貸与する3種類の委託用特権IDの管理が題材です。アクセスした者を特定できない特権IDとその理由、不正操作を検知できる理由、確認すべき事項などを35〜40字で述べる記述が中心で、対策の効果の名称を5字以内で答える知識問題もあります。共有IDの問題点、ログによる追跡性、委託先管理の要点を自分の言葉で説明できるようにしておきましょう。

問3　Webサイト侵入のインシデント対応(侵入経路・原因・影響範囲の調査・特定・対策立案)

取引先と設計データを共有するWebサイトへの侵入事案を、ログとFWのフィルタリングルール表から調査します。侵入経路のサーバ名や数値の穴埋め、ログに基づいて侵入原因を推測する理由を60字で述べる記述、ポリシを満たさないルールの指摘と修正など、表の読解が全設問を貫きます。IPアドレス・ポートを追いながらFWルールを評価する練習が直接得点につながる大問です。

3問ともログ・ルール表・手順書といった運用資料が解答の材料です。演習では、資料のどの行を根拠に答えたかを明示する癖をつけると、記述の精度と速度が両方上がります。