平成23年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　セキュアプログラミング（C++とJavaの脆弱性対策の比較）（配点50点）

問1 セキュアプログラミングに関する次の記述を読んで，設問1〜3に答えよ。 E社は，従業員数100名の自動車部品販売会社であり，販売先は日本各地に散在している。5年前に社内LANを導入した際，営業報告管理システム（以下，Xシステムという）を開発し，社内LAN上で運用を始めた…

設問

• 図2〜4のコードについて答える。図2でSQLインジェクションの原因となるコーディング部分が複数ある。そのコーディング部分に書かれた変数名を，コード上から選び，全て答えよ。
• 本文中の a に入れる適切なプログラミング技法を12字以内で答えよ。
• 図4中の b に入れる適切な文字列を英字で答えよ。
• 本文中の下線①の代表的な脆弱性を解答群の中から選び，記号で答えよ。
• 本文中の c ， d について，d に入れる適切なプログラミング技法を10字以内で，その技法の対象を明確に示すc に入れる適切な字句を20字以内で答えよ。
• 上記(5)の技法の対象となる変数が図3中に複数ある。その変数名を図3中から選び，全て答えよ。
• 図5中の e に入れる適切な字句を6字以内で，図5中，表1中及び本文中の f ，並びに図6中及び表1中の g に入れる適切な字句を，それぞれ12字以内で答えよ。
• 図6及び表1には，脆弱性を狙った f 攻撃がC++では問題となるのに，Javaでは問題とならないと記されている。Javaで問題とならない，根本的な理由であるJavaの言語仕様上の特徴を20字以内で述べよ。

大問2　販売システムへの機能追加（利用者によるパスワード初期化機能）設計時のセキュリティレビュー（配点50点）

問2 販売システムへの機能追加設計に関する次の記述を読んで，設問1〜5に答えよ。 A社は，製品製造を営む従業員250名の中堅会社である。インターネットを介した販売システム（以下，Nシステムという）を利用し，企業向けに自社製品を販売している。Nシステムは，A社の販売部が3年前に開発し，運用している…

設問

• 表1中の a に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図3中の b ～ e に入れる適切な字句を，表1の属性名を用いて，b，d，eは15字以内で，cは30字以内で，それぞれ答えよ。
• 指摘1について，図1のセキュリティ要件がどのように満たされなくなるか，45字以内で具体的に述べよ。
• 上記(1)の問題点の発生を防止するためには，パスワード初期化機能にどのような修正が必要か，表1の属性名を用いて，35字以内で述べよ。
• 指摘2の内容が指摘された理由を，図2のヘルプデスクによる運用手順との違いを踏まえて，30字以内で述べよ。
• 指摘3について，攻撃者が不正に仮パスワードを取得する手口を45字以内で述べよ。

大問3　クラウドサービス上のWebサービス利用時のHTTPS通信とプロキシでのログ取得（配点50点）

問3 プロキシ経由のWebアクセスに関する次の記述を読んで，設問1〜3に答えよ。 T社は従業員数3,000名の食品卸売業を営む企業であり，全国10都市に支社を展開している。T社はデータセンタ（以下，T社DCという）内に各種サーバを設置し，本社と各支社間を広域イーサネットで接続している。 T社の従業員には1台ずつPCが貸与されている…

設問

• 本文中の下線①について，T社がHTTPS通信によるアクセスを原則として禁止しているのは，どのような理由からか。20字以内で述べよ。
• 図2について，HTTPS通信を行うことで利用目的を達成できなくなるものはどれか。図2中の項番(1)〜(5)から選び，全て答えよ。
• ブラウザのURL入力欄に次のURLを入力したときに，ブラウザがプロキシに最初に送信するHTTPメッセージのリクエストラインはどれか。解答群の中から選び，記号で答えよ。 入力したURL：https://○○.co.jp/index.html
• 本文中の a に入れる適切な用語を答えよ。
• サーバ証明書の検証においてブラウザが確認すべき内容のうち， a 攻撃のような攻撃への対策となるものを二つ，それぞれ35字以内で述べよ。
• 本文中の b に入れる，事前にブラウザで実施することは何か。40字以内で述べよ。
• 本文中の下線②について，上記(1)を実施しないとブラウザが証明書2の正当性を確認できないのはなぜか。40字以内で述べよ。
• 図4中の証明書2について，Lプロキシ自身のサーバ証明書を利用するのではなく，Webサーバのサーバ証明書と同じコモンネームのサーバ証明書をLプロキシが新たに作成する必要があるのはなぜか。40字以内で述べよ。

大問4　内部統制報告における情報セキュリティ（財務報告の信頼性）（配点50点）

問4 財務報告に係る内部統制に関する次の記述を読んで，設問1〜4に答えよ。 Q社は，従業員数500名の保険業を営む未上場会社であり，上場を目指している。2008年4月1日以後に開始する事業年度からは，財務報告の信頼性の確保を目的に，上場会社に対して内部統制報告書の作成が義務付けられた。そこで，Q社は，本年度から内部統制報告書を作成することにした…

設問

• 本文中及び図3中の a に入れる適切な字句を答えよ。
• 表2中の b 〜 e に入れる適切な字句を，b，cについては10字以内で，dについては15字以内で，eについては20字以内で答えよ。
• 〔IT全般統制に関する指摘〕について，指摘1は，どのようなリスクに対する対策の不備を指摘しているか。解答群の中から一つ選び，記号で答えよ。
• 指摘1について，どのような技術的対策が効果的か。30字以内で述べよ。
• 指摘1について，悪意をもった事務担当者による不正行為を防止できない。このためにどのような管理的対策が効果的か。情報セキュリティガイドラインの改定を前提として30字以内で述べよ。
• 本文中の f に入れる適切な字句を10字以内で答えよ。
• 本文中の下線①について，図2中の5.(2)に関して確認が必要な，具体的な項目を一つ挙げ，30字以内で述べよ。

この回の出題傾向と学習ポイント

平成23年度秋期の午後Iは、セキュアプログラミング、パスワード初期化機能の設計レビュー、プロキシ経由のHTTPS通信、財務報告に係る内部統制という4問構成の選択制です。コードの読解から証明書の検証、監査対応まで守備範囲が広く、得意分野での選択がしやすい回といえます。

問1　セキュアプログラミング（C++とJavaの脆弱性対策の比較）

C++で開発された社内Webアプリをインターネット経由で利用できるようにするに当たり、脆弱性対策を検討する大問です。図のコードからSQLインジェクションの原因となる変数を全て挙げさせる設問や、対策となるプログラミング技法の穴埋め、C++では問題になるがJavaでは問題にならない攻撃と、その言語仕様上の理由（20字）が問われます。コードを読んで脆弱箇所を指させる実装力が試されます。

問2　販売システムへの機能追加（利用者によるパスワード初期化機能）設計時のセキュリティレビュー

利用者自身がパスワードを初期化できる機能の設計をレビューする大問です。処理フローの穴埋めを表の属性名を用いて答えた後、レビューでの指摘1〜3について、セキュリティ要件が満たされなくなる理由、それを防止する修正、攻撃者が仮パスワードを不正に取得する手口（45字）を記述します。認証機能の設計に潜む穴を、要件と突き合わせて発見する視点を養える問題です。

問3　クラウドサービス上のWebサービス利用時のHTTPS通信とプロキシでのログ取得

プロキシ経由のWebアクセスを前提に、HTTPS通信を原則禁止としている企業のルールとその技術的背景を掘り下げます。ブラウザがプロキシに最初に送信するリクエストラインの選択、サーバ証明書の検証で確認すべき内容、プロキシがWebサーバと同じコモンネームの証明書を新たに作成する理由（40字）など、HTTPSとプロキシの動作を段階ごとに正確に理解しているかが問われます。

問4　内部統制報告における情報セキュリティ（財務報告の信頼性）

上場を目指す保険会社Q社を舞台に、財務報告の信頼性の観点からIT全般統制の状況を確認する大問です。用語の穴埋めと表の補完に続き、コンサルティング会社からの指摘に対する技術的対策と管理的対策をそれぞれ30字で記述させます。ASPサービスを提供する委託先の統制状況の確認項目も問われ、監査・統制系の語彙と考え方を確認しておきたい問題です。

技術寄りの問1〜3とマネジメント寄りの問4で性格が分かれます。特に問3は、プロキシを挟んだHTTPS通信の流れを自分で図に描いて整理しながら演習すると、証明書検証の設問への理解が深まります。