平成26年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　スマートフォン用OSのルート特権化（バッファオーバフロー攻撃）（配点50点）

問1 スマートフォンに関する次の記述を読んで，設問1〜4に答えよ。 K社は，従業員数5,000名の情報システム会社である。K社では，モバイルPCに加えて，スマートフォン（以下，スマホという）から，従業員が電子メールやグループウェアなどの社内システムへアクセスできるシステム環境（以下，Bシステムという）を昨年導入した…

設問

• 本文中の a ， b ， d に入れる適切な字句を，a は15字以内で，b は5字以内で，d は20字以内でそれぞれ答えよ。
• 図2のメモリ配置について，スタックバッファオーバフロー攻撃を防止するデータ実行防止機能はどのメモリ領域に適用すればよいか。図2中の用語を用いて答えよ。
• 図3中の c に入れる適切なバイト列を解答群の中から選び，記号で答えよ。ただし，バイトオーダはリトルエンディアンとする。
• アドレス空間配置ランダム化技術は，攻撃者のどのような行為をできないようにすることによって，図3のインジェクションベクタによるスタックバッファオーバフロー攻撃が成功することを抑制するか。25字以内で具体的に述べよ。
• 本文中の下線①にある，インターネットからWebサーバへのバッファオーバフロー攻撃の対策として，IPSやWAFではどのような処理をするか。25字以内で具体的に述べよ。
• 本文中の下線②の条件を20字以内で述べよ。
• 本文中の下線③について，ルート特権化されていないスマホでは，本文中の下線③の不正な読出しは，OSのファイルシステムがどのような仕様で制限しているか。40字以内で述べよ。
• 本文中の下線④について，意図しないルート特権化はどのような状況で起こり得るか。25字以内で述べよ。
• 本文中の下線⑤について，確認方法を具体的に20字以内で述べよ。

大問2　代理店販売支援システムのセキュリティ設計（暗号技術とSSLクライアント認証）（配点50点）

問2 代理店販売支援システムに関する次の記述を読んで，設問1〜3に答えよ。 L社は中堅の損害保険会社である。保険商品は，直営店でも扱っているが，多くは代理店を通じて販売している。L社では，10年前にインターネットを用いた代理店販売支援システム（以下，Pシステムという）を開発した。 Pシステムは，代理店に対して，顧客情報の新規登録，閲覧及び更新の機能，並びに商品説明書及び販売マニュアルの提示機能を提供する…

設問

• 本文中の a ， b に入れる適切な数値を答えよ。
• 鍵長3,072ビットのRSAアルゴリズムと同等又はそれ以上のセキュリティ強度をもつと考えられるハッシュ関数を解答群の中から全て選び，記号で答えよ…
• 本文中の c に入れる適切な数値を答えよ。また，この数値はQシステムのどのような要件から導かれるか。20字以内で答えよ。
• 本文中の下線①について，代理店が実施すべき処理を，30字以内で具体的に述べよ。
• 図1中の d 及び図2中の e ～ h に入れる適切な字句を，図1又は図2中の字句を用いて，それぞれ10字以内で答えよ。
• 本文中の下線②について，代理店がとる対策を，40字以内で具体的に述べよ。ここで，代理店の代表者は不適切な行為をしないものとする。
• 表3中の i に入れる適切な内容を，30字以内で述べよ。
• 本文中の下線③のような証明書が発行されることを防ぐために，登録サーバにおける処理内容にどのような処理を追加すればよいか。40字以内で述べよ。

大問3　標的型攻撃による情報窃取への対応（マルウェア感染対応）（配点50点）

問3 マルウェア感染への対応に関する次の記述を読んで，設問1〜4に答えよ。 M社は，従業員数200名のソフトウェアパッケージ開発会社であり，開発部，営業部及びスタッフ部門がある。 開発部は，ソフトウェアパッケージの開発・保守を行っている。営業部は，顧客を訪問し，製品紹介，製品販売及び顧客管理を行っている。スタッフ部門は，M社のスタッフ業務全般を担当しており，総務部，経理部，情報システム部（以下，情シ部という）などから成っている…

設問

• 本文中の下線①について，届かなくなるメールを30字以内で述べよ。
• 本文中の下線②について，追加するフィルタリングルールを50字以内で述べよ。
• 本文中の下線③について，その理由を30字以内で述べよ。
• 本文中の下線④について，支障が出る業務を，本文中の用語を用いて5字以内で答えよ。
• 本文中の下線⑤について，追加すべき設定内容を表4に倣って答えよ。
• 本文中の下線⑥について，L3SWでのフィルタリングルールの変更内容を35字以内で述べよ。
• 本文中の a に入れる適切な禁止事項を35字以内で具体的に述べよ。
• 本文中の b 〜 e に入れる適切な数式又は数値を答えよ。
• ソルトを使用するとハッシュ値からパスワードを特定しにくくなるのはなぜか。その理由を35字以内で述べよ。

この回の出題傾向と学習ポイント

平成26年度秋期の午後Iは、スマートフォンOSのルート特権化とバッファオーバフロー攻撃、暗号技術とSSLクライアント認証を使うシステム設計、標的型攻撃によるマルウェア感染対応の3問からの選択制です。特に問1はメモリ配置まで踏み込む低レイヤの技術問題で、知識の深さがそのまま得点差になる回です。

問1　スマートフォン用OSのルート特権化（バッファオーバフロー攻撃）

スマートフォンのルート特権化のリスクを入口に、スタックバッファオーバフロー攻撃の仕組みへ踏み込みます。データ実行防止機能を適用すべきメモリ領域、リトルエンディアンを前提としたバイト列の選択、アドレス空間配置ランダム化が抑制する行為を25字で述べる記述などがあります。スタックの構造と攻撃コードの流れ、緩和技術それぞれの防御原理を図で説明できるレベルまで仕上げたい大問です。

問2　代理店販売支援システムのセキュリティ設計（暗号技術とSSLクライアント認証）

損害保険会社が代理店販売支援システムを刷新する場面で、10年間の稼働を見据えた暗号技術の選定とクライアント証明書による端末限定を設計します。鍵長3,072ビットのRSAと同等以上の強度をもつハッシュ関数を選ぶ知識問題、証明書の発行・失効に関する運用の記述、不正な証明書発行を防ぐ処理の追加を40字で述べる設問があります。暗号の危殆化とセキュリティ強度の対応関係は必須知識です。

問3　標的型攻撃による情報窃取への対応（マルウェア感染対応）

ソフトウェアパッケージ開発会社でのマルウェア検出を受け、FWとL3SWのフィルタリングルール表を操作しながらバックドア通信を遮断していきます。追加すべきルールを表に倣って答える設問、遮断で支障が出る業務の特定、ハッシュ値とソルトに関する数式・理由の記述もあります。ルール変更が正規業務に与える影響まで含めて判断する、実務的なバランス感覚が問われる大問です。

問1は知識、問2・問3は本文適用と、性格の異なる3問です。演習では自分の得点源になる系統を見極めつつ、ルール表の変更問題は送信元・宛先・ポートを書き出して機械的に検証する手順を固めましょう。