平成27年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　Webサイトの脆弱性と対策（配点50点）

問1 Webサイトの脆弱性と対策に関する次の記述を読んで，設問1〜3に答えよ。 S社は，情報システムの構築，運用，コンサルティングなどのサービスを顧客に提供する従業員数5,000名の企業である。S社にはセキュリティプロフェッショナルグループ（以下，SPGという）という組織があり，Webアプリケーションソフトウェア（以下，Webアプリという）の脆弱性を検査するサービス（以下，脆弱性検査という）を提供している…

設問

• 本文中の下線①について，secure属性が設定されていないと，どの画面に遷移するときにセッションIDを盗聴されるリスクがあるか。遷移直後の画面を，画面A〜Eの中から一つ選び，答えよ。
• 本文中の下線①について，secure属性が設定されていないと，セッションIDを盗聴されるリスクがある理由を，40字以内で述べよ。
• 図7中の a に入れる適切な文字列をURLエンコード済の形式で答えよ。
• 本文中の b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の c に入れる適切な処理を，30字以内で具体的に述べよ。
• 本文中の d ， e に入れる適切な行番号を答えよ。
• 図9中の f に入れる適切な字句を答えよ。
• 図9の手順4及び5について，利用者Kがログインした後，攻撃者Jが利用者Kになりすますことができるのはなぜか。"セッションID"という字句を含めて40字以内で述べよ。
• 本文中の g に入れる適切な対策を，30字以内で述べよ。

大問2　標的型攻撃・新しいタイプの攻撃への対応（情報漏えいインシデントの調査）（配点50点）

問2 情報漏えいインシデントの調査に関する次の記述を読んで，設問1〜3に答えよ。 L社は，従業員数700名のシステムインテグレータである。L社のネットワーク構成を図1に，主なサーバとその概要を表1に示す。 L社のネットワークは，インターネットにFWで接続され，FW配下にDMZ，サーバLAN，管理者LAN，利用者LANがある（注記1 L3SWのデフォルトゲートウェイは，FWに設定されている…

設問

• 本文中の下線①について，確認の具体的な方法を，30字以内で述べよ。
• 図3中の a ～ c に入れる適切な字句を，それぞれ10字以内で答えよ。
• 図4中の下線②の試みは，L社のPCからでは必ず失敗するが，FWのログには記録されない。その理由を35字以内で述べよ。
• 本文中の下線③について，遮断の具体的な方法を40字以内で述べよ。
• 図5中の下線④の調査は，どのような攻撃を想定したものか。想定した攻撃を30字以内で述べよ。
• 本文中の下線⑤について，これら3台のサーバ上で実施すべき対策を20字以内で述べよ。
• 本文中の下線⑥について，ログの改ざんの痕跡を確認する方法を30字以内で述べよ。

大問3　Webサイトに対するパスワード攻撃（配点50点）

問3 パスワードへの攻撃に関する次の記述を読んで，設問1〜4に答えよ。 Z社は，従業員数300名の衣料品販売会社であり，インターネット上で衣料品を購入できるショッピングサイト（以下，Zサイトという）を7年前から運営している。Zサイトは，携帯電話，スマートフォン及びPCを対象としたサイトであり，オンライン決済にはクレジットカードを採用している。クレジットカード情報は会員情報として保存せず，決済の都度入力してもらう方式としている…

設問

• 図2中の下線①は，ハッシュ値が保存されているファイルが漏えいした場合に，そのファイルに保存されたハッシュ値からパスワードが推測されることを防ぐための方法である…
• 〔暫定再開の検討〕について。本文中の a に入れる適切な数値を答えよ。
• 図3中の b に入れる適切な字句を，30字以内で述べよ。
• 本文中及び図4中の c に入れる適切な字句を，15字以内で答えよ。
• 図4中の d 〜 f に入れる適切な数式又は実際の値を答えよ。
• 本文中の下線②について，どのような攻撃による被害を避けるための注意喚起か。攻撃方法を45字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成27年度春期の午後Iは、Webサイトの脆弱性検査、情報漏えいインシデントの調査、Webサイトへのパスワード攻撃という3問からの選択制です。攻撃者の視点で仕様の穴を突く問1・問3と、ログから事実を積み上げる問2という組合せで、攻撃手法の理解を実際のサイト仕様に適用できるかが問われます。

問1　Webサイトの脆弱性と対策

脆弱性検査員の技能試験という設定で、オークションサイトの脆弱性を検査します。cookieのsecure属性がないとセッションIDを盗聴されるリスクの説明、URLエンコード済みの攻撃文字列の作成、攻撃者が利用者になりすませる理由をセッションIDという字句を含めて40字で述べる記述などがあります。HTTPとHTTPSが混在するサイトのセッション管理の弱点を、通信の流れで説明できるようにしましょう。

問2　標的型攻撃・新しいタイプの攻撃への対応（情報漏えいインシデントの調査）

システムインテグレータでの情報漏えい調査が題材です。プロキシ認証やログ管理サーバを備えた構成を前提に、確認方法や遮断方法を30〜40字で述べる記述が中心で、PCからの通信が失敗するのにFWのログに残らない理由、ログの改ざん痕跡を確認する方法なども問われます。各サーバが持つログの種類と役割を頭に入れ、調査手順を時系列で組み立てる練習が有効です。

問3　Webサイトに対するパスワード攻撃

数字6桁パスワードのショッピングサイトで、大量のログイン試行によりポイントを不正交換された事案が題材です。ソルトを用いることで防げる攻撃を60字で具体的に述べる記述、アカウントロックの仕様を踏まえた数値・数式の計算、会員に注意喚起すべき攻撃方法を45字で述べる設問があります。パスワード攻撃の各手法と、ハッシュ保存・ソルトの役割、認証仕様の設計を結び付けて整理しておきましょう。

3問とも「仕様のどこが攻撃を許すか」を特定させる構図です。演習では、本文のサイト仕様を読んだ時点で自分なりに弱点の仮説を立ててから設問に入ると、出題の狙いをつかみやすくなります。