平成24年度 秋期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　Webサイトの診断と対策（配点50点）

問1 Webサイトの診断と対策に関する次の記述を読んで，設問1〜4に答えよ。 J社は，従業員数1,000名の衣料品販売会社であり，店舗での販売を主としている。12年前に開設したWebサイト（以下，サイトという）は企業紹介を目的としたコーポレートサイトであったが，8年前に一般の消費者がαブランドの商品を検索したり，J社に問合せをしたりすることができるサイト（以下，αサイトという）を開設した…

設問

• 本文中の下線①の修正プログラムの適用に際して考慮すべきリスクは何か。20字以内で述べよ。
• (1)のリスクに対する対策として，検知及び回復の観点から修正プログラム適用前に実施しておくべき作業は何か，それぞれ30字以内で述べよ。
• 本文中の a に入れる適切な字句を15字以内で答えよ。
• 本文中の b に入れる適切な字句を5字以内で答えよ。
• 本文中の下線②について，SSHの何と呼ばれる機能を示しているか。15字以内で答えよ。
• 図4と図5から読み取れるWebサーバの好ましくない動作を50字以内で述べよ。
• Y氏がXSSの脆弱性があるかもしれないと判断したのは，図9の何行目か，行番号で答えよ。また，その理由を30字以内で述べよ。
• ブラウザのキャッシュにコンテンツが残留しないようにするためには，どのCache-Controlヘッダを出力すればよいか。適切な字句を解答群の中から選び，記号で答えよ。
• XSSの脆弱性が存在したと考えられるパラメタを，表6の字句を用いて二つ答えよ。
• リリース前の診断でXSSの脆弱性を検出できなかったのは，自動診断ツールの機能に限界があったからである。その限界を40字以内で具体的に述べよ。
• 表3の項番1の脆弱性が，今回のR社の診断で発見されるまで残存していたのは，新たに発見される脆弱性への対策の遅れが原因であった…
• γサイトでチェックシートを利用したにもかかわらず，エスケープ処理に漏れがあった。製造工程をどのように改善すればよいか。35字以内で述べよ。

大問2　無線LANの構築（スマートフォン・タブレットの無線LAN経由インターネット接続のセキュリティ）（配点50点）

問2 無線LANの構築に関する次の記述を読んで，設問1〜4に答えよ。 T社は，商品やサービスをインターネット上で販売するためのWebサイト（以下，ECサイトという）の開発，構築及び構築支援を主力事業とする企業であり，従業員数は150名である。T社には，ECサイト開発事業部，ECサイトコンサルティング事業部，情報システム部，営業部及び総務部の五つの部署がある…

設問

• 本文中の a ～ c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，C君が通信を暗号化する必要があると判断した理由を，T社の無線LAN上を流れる情報の特性の観点，及び無線LANの利用可能なエリアの観点から，それぞれ30字以内で述べよ。
• 本文中の下線②について，C君が必要なこととしている内容を，10字以内で答えよ。
• 本文中の下線③及び下線④の対策は，必ずしも効果が得られない。その理由を，それぞれ20字以内で述べよ。
• 本文中の下線⑤について，FWの設定はどのように変更すべきか。30字以内で述べよ。
• 本文中の下線⑥について，ノートPCを直接インターネットに接続する場合に，実効性が損なわれてしまう機能とは何か。二つ挙げて，それぞれ15字以内で答えよ。
• 本文中の下線⑦について，従業員のアカウントに応じて許可するOSのネットワーク設定とは何か…
• 本文中の下線⑧の状況を招くノートPCの不適切な扱いとは何か。20字以内で答えよ。
• 本文中の下線⑨について，規程のうち，見直しを要するとしている項目を二つ挙げて，図3の番号で答えよ。また，各項目について，来客の無線LAN利用が抵触する内容を，35字以内で述べよ。
• 無線LANのデバイスの認証方式を検討する上でC君が考慮した，運用上の負荷とは何か。30字以内で述べよ。
• 無線LANのデバイスの認証方式を検討した上でC君が考慮した，来客がインターネット上のWebサイトにアクセスできるようにするために，FWに追加すべき通信許可ルールを，送信元ネットワーク，宛先ネットワーク，通信プロトコルの三つの組で答えよ…

この回の出題傾向と学習ポイント

平成24年度秋期の午後IIは、通販サイト群の脆弱性診断と対策を扱う問1、無線LANの導入・運用を設計する問2の2問構成の選択制です。どちらも技術的な仕組みの理解に加えて、規程や運用ルールへの落とし込みまで問う、守備範囲の広い大問になっています。

問1　Webサイトの診断と対策

三つの通販サイトを運営するJ社の脆弱性診断が題材です。修正プログラム適用時に考慮すべきリスクと事前作業、HTTPのやり取りから読み取るWebサーバの好ましくない動作、XSSの疑いがある行番号とその理由、自動診断ツールの限界（40字）など、診断の現場を追体験する構成です。終盤は運用の改善点を50字で二つ挙げさせるなど、対策を継続する仕組みづくりまで問われます。

問2　無線LANの構築（スマートフォン・タブレットの無線LAN経由インターネット接続のセキュリティ）

ECサイト開発会社T社に無線LANを導入する検討が題材です。通信を暗号化すべき理由を情報の特性と利用可能エリアの二つの観点で述べる設問、必ずしも効果が得られない対策の理由、FWの設定変更、来客用無線LANのために見直す規程の項目、追加すべき通信許可ルール（送信元・宛先・プロトコルの組）など、無線LANのセキュリティを設計から運用まで一通り問う構成です。

問1はWebアプリ診断、問2は無線LANと対象は異なりますが、どちらも対策の限界や抜け道の理由を説明させる設問が目立ちます。仕組みを理解した上で、その弱点まで言語化する練習をしておきましょう。