平成24年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　Webアプリケーションの脆弱性検査とエスケープ処理（配点50点）

問1 脆弱性検査の結果とその後の対策に関する次の記述を読んで，設問1〜3に答えよ。 A社は，衣料品を取り扱う会員制インターネット通販会社である。A社では，セキュリティ専門会社のB社に依頼して，Webアプリケーションの脆弱性検査を，年に4回定期的に実施している。検査を実施した結果，会員の属性情報の登録，変更などを行う会員情報管理システム（以下，Pシステムという）において，指摘事項が2件報告された…

設問

• 本文中と表2中の a と，本文中の b に入れる適切な字句を，それぞれ8字以内で答えよ。
• 本文中の下線①について，正当なアクセスを誤って検出してしまう場合とはどのような場合か。40字以内で具体的に述べよ。
• 本文中の下線②について，不正なアクセスを検出できない場合とはどのような場合か。40字以内で具体的に述べよ。
• 本文中の下線③について，どのような条件のログを検出すればよいか。35字以内で具体的に述べよ。
• 本文中の c に入れる適切な行番号を一つ数字で答えよ。
• 図5中の d 〜 g について，d ，f には置換の対象文字を，e ，g には置換後の文字列を，それぞれ答えよ。（①の組（d→e）と②の組（f→g）は順不同）

大問2　Webシステムへの攻撃のインシデント対応（配点50点）

問2 Webアプリケーションのセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 O社は従業員数20名のインターネット通販会社であり，通販サイト（以下，Xサイトという）で会員向けに化粧品を販売している。XサイトはO社が開発し，運用している。 ある日，会員からの問合せがあり，Xサイトで管理している会員の個人情報が流出していることが判明した…

設問

• 本文中の a に入れるIPアドレスを一つ答えよ。
• 本文中の b に入れるcgiプログラム名を7字以内で答えよ。
• 表1に示されているIPアドレスipBによる攻撃は，ログを調査した結果，ある特徴から不正ログインの試行と判別した。その特徴を35字以内で述べよ。また，その不正ログイン試行への対策を35字以内で述べよ。
• 本文中の d ～ g に入れる字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，初期化する前のパスワードへの変更を禁止する以外に，会員に通知する理由は何か。その理由を50字以内で述べよ。
• 本文中の c に入れる字句を10字以内で答えよ。なお，会員のPCのOS及びブラウザ本体への攻撃は実施されなかったものとする。
• 本文中の下線①について，会員ID及びパスワードを詐取する方法を50字以内で具体的に述べよ。

大問3　保守作業の証跡確保（操作ログによる委託先作業の監視）（配点50点）

問3 保守作業の証跡確保のための対策検討に関する次の記述を読んで，設問1〜4に答えよ。 M社は，従業員数900名の保険会社である。M社は損害保険業務を支援する保険システムを稼働させている。保険システムの利用者は，M社の従業員である。M社は，保険システムの開発をソフトウェア開発会社のZ社に委託している…

設問

• ログサーバ上の操作ログの安全な保管について答えよ。表1中の b に入れる適切な字句を答えよ。
• ログサーバ上の操作ログの安全な保管について答えよ。表1中の下線④について，最も適切と考えられるアルゴリズムはどれか。解答群の中から選び，記号で答えよ。
• 案1及び案2の実現方式について答えよ。本文中の a に入れる適切な字句を，表1中の用語を用いて答えよ。
• 案1及び案2の実現方式について答えよ。本文中の c ， d に入れる適切な機器名を，それぞれ図1中又は表1中の用語で答えよ。
• 操作ログのセキュリティについて答えよ。本文中の下線②にある操作とは，どのような操作か。30字以内で述べよ。
• 操作ログのセキュリティについて答えよ。本文中の下線②について，本文中の下線②の操作ログの転送を妨害する方法以外に，Z社作業担当者が保険サーバで，どのような操作を行うことによって，要件2の実現を妨害できるか。25字以内で述べよ。
• 操作ログのセキュリティについて答えよ。上記設問3(2)の操作をM社が検知するために，案1の機能を用いた有効な手段を，35字以内で述べよ。
• M社のセキュリティについて答えよ。本文中の下線①の対策方針を実現することによって，Z社の作業担当者の機密ファイル操作違反を抑止する。さらに機密ファイル操作違反を効果的に行うためには，M社は何を実施すればよいか。40字以内で述べよ。
• M社のセキュリティについて答えよ。案2について，作業計画書に記載された作業担当者だけが特権IDを利用できるようにするために作業計画書ごとに設定する制御を，60字以内で述べよ。

大問4　標的型攻撃を題材としたセキュリティ技術者の育成（演習）（配点50点）

問4 情報セキュリティ技術者の育成に関する次の記述を読んで，設問1〜4に答えよ。 K社は，従業員数9,000名の機械製造会社であり，本社の他，全国に工場が8か所，営業所が10か所ある。図1に示すとおり，K社には本社，工場及び営業所を接続した社内ネットワークが構築されており，全社でサーバが200台，PCが5,000台接続されている…

設問

• 攻撃者が本文中の下線①及び下線②のような細工をする目的を，下線①について40字以内，下線②について30字以内で述べよ。
• 本文中の下線③の悪意あるプログラムを特定する方法は何か。その方法を50字以内で述べよ。
• 本文中の下線④について，ウイルス感染を広めることのないように，利用者が必要とするファイルをPCから取り出すにはどのような方法をとればよいか。その方法を50字以内で具体的に述べよ…
• 本文中の下線①及び下線②の特徴を持った標的型攻撃メールを受信した場合の被害を回避するためには，従業員にどのような指導を行えばよいか。添付ファイル付きメールの取扱いについて指導する内容を40字以内で述べよ。

この回の出題傾向と学習ポイント

平成24年度春期の午後Iは、Webアプリの脆弱性検査、SQLインジェクションによる情報流出のインシデント対応、委託先の保守作業の証跡確保、標的型攻撃演習による人材育成の4問構成の選択制です。Web系の問1・問2と、管理・運用系の問3・問4に大きく分かれる構成の回です。

問1　Webアプリケーションの脆弱性検査とエスケープ処理

会員制通販会社の会員情報管理システムに対する脆弱性検査で指摘された2件（クッキーの属性未設定と任意スクリプトの実行）を掘り下げる大問です。HTTPレスポンス・リクエストの図を手掛かりに、攻撃検出で誤検出や検出漏れが起きる場合を40字で述べる設問や、エスケープ処理の置換対象文字と置換後の文字列を答える設問があり、XSS対策を文字レベルで説明できる正確さが必要です。

問2　Webシステムへの攻撃のインシデント対応

通販サイトからの個人情報流出をHTTPアクセスログから調査する大問です。攻撃元IPアドレスや悪用されたcgiプログラムの特定、不正ログイン試行と判別できるログの特徴、SQLインジェクションによる改ざんと詐取の手口の記述に加え、パスワードの安全な格納方法を解答群から選ぶ設問もあります。SQLインジェクション被害の典型的な流れを一通り学べる問題です。

問3　保守作業の証跡確保（操作ログによる委託先作業の監視）

保険会社M社が委託先の保守作業を操作ログで監視する仕組みを検討します。ログサーバでの安全な保管に用いるアルゴリズムの選択、作業担当者がログ転送を妨害できる操作とその検知手段、作業計画書に記載された担当者だけが特権IDを利用できるようにする制御（60字）など、証跡を残される側の視点で穴を突く設問が特徴です。特権ID管理とログ保全の考え方を整理しておきましょう。

問4　標的型攻撃を題材としたセキュリティ技術者の育成（演習）

機械製造会社K社が標的型攻撃メールを想定した演習を行う、教育がテーマの大問です。設問は少なめで、全て30〜50字の記述式。攻撃者がメールに細工をする目的、悪意あるプログラムを特定する方法、ウイルス感染を広めずに必要なファイルをPCから取り出す方法、従業員への指導内容が問われます。標的型攻撃の手口と組織的対策を自分の言葉で説明する練習に向いています。

問1・問2はHTTPやログの具体的な読み取り、問3・問4は運用と教育の設計と、要求される力がはっきり分かれています。選択の前に設問をひととおり読み、根拠を探しやすいと感じる大問を選ぶ練習をしましょう。