平成26年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　Webアプリケーションのセキュリティとセキュアプログラミング（配点50点）

問1 Webアプリケーションに関する次の記述を読んで，設問1〜3に答えよ。 B社は，従業員数50名のインターネットサービス企業であり，インターネット上で各種の情報サービスを提供してきた。これらのサービスの実現に当たり，必要なアプリケーションを自社開発してきた。このたびB社では，画像ファイルを対象としたオンライン共有ストレージサービス（以下，Sサービスという）を立ち上げることになり，R部長を責任者としてアプリケーション開発に着手した…

設問

• 本文中の下線①について，HTTPヘッダ内のフィールド名は何か。英字10字以内で答えよ。
• 本文中の下線②の契約者の操作とは何か。30字以内で述べよ。
• 本文中の下線③の方式とはどのようなものか。30字以内で述べよ。
• 本文中の a ， b に入れる適切な字句を，それぞれ15字以内で答えよ。
• 本文中のU主任が指摘した a が発生する入力ファイルに関する条件を，kMaxInteger という字句を用いて60字以内で述べよ。
• 図7中の c ， d に入れる適切な式又は変数を答えよ。なお， c ， d のどちらか一方は，kMaxInteger を含むこと。

大問2　インターネット接続システムにおける迷惑メール対策（配点50点）

問2 インターネット接続システムにおける迷惑メール対策に関する次の記述を読んで，設問1〜4に答えよ。 A社は，従業員数2,000名のスポーツ用品製造会社である。東京に本社，国内8か所に営業所，国内1か所に工場がある。A社では，本社にインターネット接続システムを導入し，電子メール（以下，メールという）やWeb閲覧などに利用している。本社，営業所及び工場のLANは，IP-VPNで接続されている…

設問

• 本文中の a に入れる適切な字句を，英字8字以内で答えよ。
• 図3中の b に入れる適切な字句を，英字記号5字以内で答えよ。
• 本文中の下線①について，増加した迷惑メールは，外部メールサーバにどのように送られていたか。表2のルール及び図3の設定を考慮して，35字以内で述べよ。
• 本文中で，IPアドレスWLを見直す必要があるのは，取引先でどのような事象が発生した場合か。25字以内で具体的に述べよ。
• 本文中の下線②について，迷惑メールを防ぐことができなくなる迷惑メール送信者の行為を，30字以内で述べよ。
• 本文中の c に入れる適切な機器名を図1中から選び，答えよ。また，本文中の下線③における，登録の効果は何か。15字以内で述べよ。
• 本文中の下線④について，迷惑メール対策装置が正常に稼働している場合，SMTP通信をどのように制御すべきか。30字以内で具体的に述べよ。

大問3　インターネットバンキングを狙うマルウェアへの対策（配点50点）

問3 インターネットを利用した銀行取引サービスを狙うマルウェアへの対策に関する次の記述を読んで，設問1〜3に答えよ。 X銀行は，従業員数2,000名の地方銀行である。X銀行では，PCからインターネットを利用して送金，取引照会などを行える銀行取引サービス（以下，ネットバンキングという）としてXネットサービスを提供している…

設問

• 本文中の下線①のようなWebサイトの一般的な総称を，10字以内で答えよ。
• 本文中の下線②の理由を，Xネットサービスにおける法人利用者の利用手順に着目し，35字以内で述べよ。
• 本文中の下線③について，利用者などはどのような事象で攻撃に気付くことができるか，35字以内で述べよ。
• 図3中の a ， b に入れる適切な口座番号と送金額をそれぞれ答えよ。また，マルウェアKが，送金内容確認画面を書き換える目的を，35字以内で述べよ。
• 表2中の c ， d に入れる適切な評価を“対策になる”又は“対策にならない”で答えよ。
• 本文中の e に入れる適切な字句を，5字以内で答えよ。
• 本文中の下線④について，HMAC計算ツールを，PC用のプログラムの形態で提供したときのセキュリティ上の問題点を，55字以内で述べよ。

この回の出題傾向と学習ポイント

平成26年度春期の午後Iは、Webアプリケーション開発のセキュアプログラミング、インターネット接続システムの迷惑メール対策、インターネットバンキングを狙うマルウェア対策の3問からの選択制です。開発・メール基盤・オンライン取引と分野が分かれており、自分の得意領域で選択しやすい構成の回です。

問1　Webアプリケーションのセキュリティとセキュアプログラミング

画像共有ストレージサービスの開発を題材に、前半はセッション管理方式の設計（HTTPヘッダのフィールド名を英字で答える設問など）、後半はC++で書かれた画像処理プログラムの不具合を扱います。不具合が発生する入力条件をkMaxIntegerという字句を用いて60字で述べる記述や、修正後の式を答える設問があり、整数値の上限を意識した入力検査の考え方が問われます。コードを読む練習をしておきましょう。

問2　インターネット接続システムにおける迷惑メール対策

スポーツ用品製造会社の迷惑メール対策装置とFWの運用が題材です。ログ転送プロトコルを英字8字以内で答える穴埋め、SPFの設定に関する英字記号の穴埋め、迷惑メールが外部メールサーバへどのように送られていたかをFWルールと設定から導く35字の記述、ホワイトリスト運用の見直しなどが並びます。SPFによる送信ドメイン認証の仕組みと、FWルール表を前提にした経路の推理が得点の鍵です。

問3　インターネットバンキングを狙うマルウェアへの対策

地方銀行のネットバンキングを狙うマルウェアが題材です。感染PCで表示される偽画面の流れを追い、法人利用者が影響を受けにくい理由を利用手順に着目して35字で述べる記述、送金内容確認画面を書き換える目的、対策になるか否かの判定、HMAC計算ツールをPCで提供した場合の問題点を55字で述べる設問があります。乱数表・クライアント証明書・取引内容の確認手段それぞれの防御範囲を比較整理しておきましょう。

3問とも図中の手順・ルール表が根拠です。特に問3は「その対策はどの攻撃段階を守るのか」を意識すると判定問題がぶれません。当時の携帯電話や乱数表といった前提も本文どおりに受け取って解答しましょう。