令和6年度 春期 情報処理安全確保支援士試験 午後 過去問・解説

大問1　APIセキュリティ（配点50点）

問1 APIセキュリティに関する次の記述を読んで，設問に答えよ。 G社は，ヘルスケアサービス新興企業である。利用者が食事，体重などを入力して，そのデータを管理したり，健康リスクの判定や食事メニューのアドバイスを受けたりできるサービス（以下，サービスYという）を計画している…

設問

• 本文中の a に入れる適切な字句を答えよ。
• 表3中の b に入れる適切な数値を，小数点以下を四捨五入して，整数で答えよ。
• 表5中の下線①について，修正後のライブラリQで行うJWTの検証では，どのようなデータに対してどのような検証を行うか。検証対象となるデータと検証の内容を，それぞれ20字以内で答えよ。
• 表5中の下線②について，P呼出し処理に追加すべき処理を，40字以内で具体的に答えよ。
• 表5中の c に入れる適切な字句を，表2中の用語で答えよ。
• 表5中の d に入れる適切な処理内容を，30字以内で答えよ。
• 図7中の下線③について，テストサーバに実装する仕組みを，35字以内で具体的に答えよ。
• 表6中の e ， f に入れる適切な字句を，図5中から選び答えよ。
• 本文中の下線④の変更後の案について，表6中のルール1に記述すべきパターンを，図5の記述形式で答えよ。
• 本文中の下線⑤について，WAFルールの動作に"遮断"ではなく"検知"を設定することによる利点と，"検知"に設定した際に被害を最小化するために実施すべき内容を，それぞれ25字以内で答えよ。

大問2　リモートワークとDDoS攻撃への対策（配点50点）

H社は，従業員3,000名の製造業であり，H社製品の部品を製造する約500社と取引を行っている。取引先は，H社に設置された取引先向けWebサーバにHTTPSでアクセスし，利用者IDとパスワードでログインした後，H社との取引業務を行っている。また，公開Webサーバでは，H社製品の紹介に加え，問合せや要望の受付を行っている。いずれのWebサーバが停止しても，業務に支障が出る…

設問

• 表4中の a に入れる攻撃の例を，H社での攻撃対象を示して具体的に答えよ。
• 本文中の下線①の場合に発生する弊害を，25字以内で答えよ。
• 本文中の b ， c に入れる適切な字句を，"DNS-F"又は"DNS-K"から選び答えよ。
• 表5中の d ， e に入れる，不正な接続までの攻撃手順を，具体的に答えよ。
• 本文中の下線②について，注意喚起の内容を，具体的に答えよ。
• 本文中の下線③について，設定Pを突破する方法を，30字以内で答えよ。
• 本文中の下線④について，突破されないのはなぜか。40字以内で答えよ。
• 本文中の下線⑤について，利用する外部のサービスを，20字以内で具体的に答えよ。
• 本文中の下線⑥について，軽減できる理由を，40字以内で答えよ。

大問3　クラウド上のWebサイトの脆弱性（XSS・CSRF・認可制御の不備・SSRF）（配点50点）

問3 Webセキュリティに関する次の記述を読んで、設問に答えよ。 D社は、従業員1,000名の小売業である。自社のホームページやECサイトなどのWebサイトについては、Webアプリケーションプログラム（以下、Webアプリという）に対する診断（以下、Webアプリ診断という）を専門会社のZ社に委託して実施している。Webアプリ診断は、Webサイトのリリース前だけではなく、リリース後も定期的に実施している。Z社のWebアプリ診断は…

設問

• 本文中の下線①について、図3中のリクエスト内のスクリプトが出力されるのはどの機能か。表1の詳細機能に対する項番を選び答えよ。
• 本文中の下線②について、攻撃者はどのような手順で利用者情報を取得するか。具体的に答えよ。
• 本文中の下線③について、被害を与える攻撃の手順を、具体的に答えよ。
• 表3中の a ～ d に入れる適切な内容を、"○"又は"×"から選び答えよ。
• 本文中の下線④について、どのような攻撃手法を用いれば攻撃が成功するか。30字以内で答えよ。
• 本文中の下線⑤について、サイトXのWebアプリに追加すべき処理を、60字以内で具体的に答えよ。
• 本文中の下線⑥について、ログインができないのはなぜか。SSRF攻撃の特徴を基に、35字以内で答えよ。
• 本文中の下線⑦について、クレデンシャル情報を取得する方法を、具体的に答えよ。
• 本文中の下線⑧について、方法Gを用いてクレデンシャル情報を取得する方法を、具体的に答えよ。
• 本文中の下線⑨について、サイトYのWebアプリに追加すべき処理を、35字以内で具体的に答えよ。

大問4　Webアプリケーションのセキュアプログラミング（配点50点）

A社は，加工食品の製造・販売を行う従業員500名の会社である。問屋や直販店からの注文の受付に，商品の注文と在庫を管理するシステム（以下，業務システムという）を利用している。業務システムはA社内に設置したサーバ上に構築されている。このたび，販売拡大を目指して，インターネットを介したギフト販売を行うことになり，個人顧客から注文を受けられるWebシステム（以下，Web受注システムという）を構築することになった…

設問

• 本文中の[ a ]に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の[ b ]に入れる適切な所属グループを，表3中から選び答えよ。
• 本文中の[ c ]に入れる適切なプログラムを，表4中から選び，No.列の番号で答えよ。
• 本文中の[ d ]に入れる適切な行番号を，図3中から選び，答えよ。
• 本文中の[ e ]に入れる適切な字句を答えよ。
• 本文中の下線①について，システム運用担当者とシステム開発者が，アクセスが禁止されているのはどのような情報か答えよ。また，その情報が出力される場所を，解答群の中から選び，それぞれ記号で答えよ…
• 図4中の[ f ]に入れる適切な字句を答えよ。
• 図4中の[ g ]に入れる適切な処理を，ソースコード又は具体的な処理内容のいずれかで答えよ。
• 図4中の[ h ]に入れる適切なソースコードを答えよ。
• 本文中の下線②について，図4の6,7行目をどのように修正すればよいか。修正後の適切なソースコードを解答群の中から選び，記号で答えよ…

この回の出題傾向と学習ポイント

令和6年度春期の午後は、APIセキュリティ、リモートワークとDDoS攻撃への対策、Webサイトの代表的な脆弱性（XSS・CSRF・認可制御の不備・SSRF）、セキュアプログラミングという構成で、Web・開発分野に大きく寄った回です。選択制ですが、どれを選んでもWebアプリの攻撃と防御の理解が問われます。

問1　APIセキュリティ

ヘルスケアサービスのRESTful APIを題材に、ステートレス性を表す用語の穴埋め、JWTの検証対象と検証内容、WAFルールに記述すべきパターンなどが問われます。20〜40字の字数指定記述が多く、修正後のライブラリで「何をどう検証するか」を端的に書かせるのが特徴です。JWTの構造と検証、WAFの「検知」と「遮断」の使い分けを整理しておくと得点しやすい大問です。

問2　リモートワークとDDoS攻撃への対策

製造業のリモートワーク環境を舞台に、VPNゲートウェイへの攻撃とDDoS攻撃への対策を検討します。攻撃者が不正な接続に至るまでの手順や、対策の設定を突破できる方法・突破されない理由を25〜40字で記述させる設問が中心です。DNSの使い分けや外部サービスの活用を含め、可用性を守る対策の引き出しを増やしておきたい大問です。

問3　クラウド上のWebサイトの脆弱性（XSS・CSRF・認可制御の不備・SSRF）

クラウド上に構築するECサイトと商品企画サイトを題材に、XSS・CSRF・認可制御の不備・SSRFの四つの脆弱性を順に検討します。攻撃者がどのような手順で情報を取得するかを具体的に記述させる設問が多く、○×で埋める対策表もあります。各脆弱性について攻撃手順・成立条件・追加すべき処理をセットで説明できるようにしておくことが最大の対策です。

問4　Webアプリケーションのセキュアプログラミング

Web受注システムの開発を題材に、OSアカウントとグループ権限、ファイルのパーミッション、CSVによるデータ連携の設計をセキュリティレビューする問題です。所属グループやプログラム番号の選択に加え、ソースコードの穴埋めや、saltを用いたパスワードハッシュ化への修正コードの選択まで踏み込みます。OSレベルのアクセス制御とセキュアコーディングの両方の素養が問われます。

4問中3問がWebアプリの攻撃・防御を正面から扱う回です。演習の際は、脆弱性名を答えて終わりにせず、攻撃リクエストの中身や修正コードのレベルまで自分で書けるかを確認すると効果的です。