平成22年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　情報システム障害時の資料データに含まれる秘密情報の保護（配点50点）

問1 データ伝送のセキュリティ設計に関する次の記述を読んで，設問1〜4に答えよ。 Z社は，従業員数10,000名の保険会社である。Z社は，100ある社内システムの構築をシステムごとにSIベンダのA社，B社，C社，D社のいずれかに発注している。各SIベンダは，ネットワーク機器，サーバ機器，OS及びミドルウェアを販売するとともに，業務アプリケーションの開発とシステムの構築を行い，運用をZ社情報システム部門に引き継いでいる…

設問

• 表中の a 〜 c に入れる適切な字句を，それぞれ10字以内で答えよ。
• 指摘1について，(1)，(2)に答えよ。 (1) アクセス制御ルールの設計が特に案2において必要となる理由を，案1との違いを踏まえて，25字以内で述べよ。
• 案2において禁止すべきアクセスはどのようなアクセスか。アクセス対象とアクセス元の利用者を，それぞれ20字以内で述べよ。
• 指摘2について，(1)〜(3)に答えよ。 (1) 事後確認の具体的内容として，何と何を突き合わせるべきか。突き合わせるべきものを二つ挙げ，それぞれ7字以内で答えよ。
• 図3の運用手順に対して行った修正内容を，40字以内で述べよ。
• Webサーバにおける通信ログとして取得しなければならないデータ項目を三つ挙げ，それぞれ7字以内で答えよ。
• K主任が指摘3の内容を指摘した理由を，30字以内で述べよ。

大問2　ID（利用者ID）のライフサイクル管理（配点50点）

問2 利用者IDのライフサイクル管理に関する次の記述を読んで，設問1〜4に答えよ。 E社は，従業員数が500名，派遣社員数が常時200名程度の商社である。取扱商品分野ごとに事業部があり，メーカから商品を仕入れて販売店に卸している。E社には，販売管理，営業管理，会計，人事管理などの業務をそれぞれ支援する各サブシステムからなるシステム（以下，Eシステムという）がある…

設問

• 表中の a ， b に入れる適切な状態値は何か。図中の字句を用いて答えよ。
• 図中の c ， d に入れる適切な字句を，c は5字以内で，d は20字以内で答えよ。
• 図中の e に入れる適切な字句を15字以内で答えよ。
• 本文中の下線①について，追加すべき属性を15字以内で答えよ。
• 本文中の下線②の一定の時間とは何か月か。整数で答えよ。
• 本文中の下線④の追加する運用とは何か。具体的な運用を35字以内で述べよ。
• 本文中の下線③が起こるのはどのような場合か。65字以内で述べよ。
• 本文中の下線⑤で考えられる手続を40字以内で具体的に述べよ。

大問3　Webアプリケーション脆弱性へのWAF導入（配点50点）

問3 Webアプリケーションファイアウォール（WAF）の導入に関する次の記述を読んで，設問1〜4に答えよ。 R社は従業員数200名の健康食品販売会社であり，消費者向けに電話受付による販売を行っている。5年前からはインターネットを介した販売システムを利用した販売も行っている…

設問

• 本文中の a に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，判別できないとS主任が考えた理由を，30字以内で述べよ。
• 本文中の下線②について，クッキーの値を暗号化することで，図3の脆弱性を悪用した攻撃への対策が可能とQ氏が判断した理由を，40字以内で述べよ。
• 本文中の下線③について，販売システムへのログイン時に，次のSet-CookieヘッダをWebアプリケーションが送信した場合，WAFがそれを暗号化した結果のSet-Cookieヘッダはどれか。解答群の中から選び，記号で答えよ…
• 本文中の下線④の動作に異常が生じる場合とは，クッキーがどのように用いられる場合か。30字以内で述べよ。
• 本文中の下線⑤について，シグネチャを無効化しても問題ないと判断するためには，何を確認することが望ましいか。「シグネチャ」と「脆弱性」という字句を用いて，60字以内で具体的に述べよ。
• 本文中の下線⑥について，この措置を行う理由を55字以内で述べよ。

大問4　マルウェアを利用した複合的攻撃へのPC／サーバ両面の対策（配点50点）

問4 マルウェア対策に関する次の記述を読んで，設問1〜3に答えよ。 U社は従業員数3,200名の情報システム企業で，ホームページ制作部門，ホスティングサービス部門，営業部門，情報システム部門及びスタッフ部門からなる。 ホームページ制作部門には150名が従事し，そのホームページ制作事業は，洗練されたデザインと，検索エンジンによる検索結果の最適化に関する技術に定評がある…

設問

• 本文中の a ， b 及び図2中の c に入れる適切な字句を答えよ。a については10字以内で，b ， c については5字以内で答えよ。
• 表中の ア 〜 オ を埋め，再発防止策を完成させたい。表中の(a)，(c)〜(e)は，それぞれ図2中のどの攻撃フェーズに対応する再発防止策か。防止効果のある攻撃フェーズのうち効果の高いものを選び，項番(1)〜(4)で答えよ。
• 表中の(b)で，FTP専用PC以外の社内からのFTPアクセスを制限する技術的対策は，どのサーバで行えばよいか。サーバ名を図1中から選び答えよ。ただし，U社の各部門内は固定IPアドレスを使用しているものとする。
• 本文中の下線①で行った調査の具体的な内容を二つ挙げ，それぞれ40字以内で述べよ。
• 図2のG攻撃による世の中の被害が拡大してくると，W社と同じ方式のURLフィルタを採用してもテストサーバの改ざんを見過ごす場合がある。それはどのような場合か。図2中の字句を用いて55字以内で述べよ。

この回の出題傾向と学習ポイント

平成22年度秋期の午後Iは、障害対応で持ち出される資料データの保護、利用者IDのライフサイクル管理、WAF導入、マルウェアによる複合的攻撃への対策という4問構成の選択制です。設計・運用ルールを本文の条件から組み立てさせる出題が中心で、純粋な知識問題は少なめです。登場する組織の業務フローを正確に押さえることが得点の前提になる回です。

問1　情報システム障害時の資料データに含まれる秘密情報の保護

保険会社がSIベンダの保守担当者に渡す資料データ（ログやメモリダンプなど）の伝送方式を設計する問題です。字句穴埋めのほか、アクセス制御ルールの設計が必要となる理由、禁止すべきアクセス、事後確認で突き合わせるべきもの、Webサーバの通信ログとして取得すべきデータ項目などを短い字数で答えます。秘密保持契約という前提条件から要件を導く設計型の大問です。

問2　ID（利用者ID）のライフサイクル管理

商社のUID管理システム構築を題材に、入社・異動・退職・休職・出向といった人事イベントと利用者IDの状態遷移を整理させます。状態遷移図の穴埋めに加え、派遣社員向けに追加すべき属性や運用、問題が起こる場合の説明、必要な手続などを記述します。本文の表と図の整合を丁寧に確認していく問題で、アカウント管理の実務感覚があると解きやすい大問です。

問3　Webアプリケーション脆弱性へのWAF導入

健康食品販売会社の販売システムに見つかった脆弱性への対策としてWAFを検討します。クッキーの値の暗号化で攻撃への対策が可能と判断した理由、暗号化後のSet-Cookieヘッダの選択、動作に異常が生じる場合、シグネチャ無効化の判断に必要な確認事項などを30〜60字で記述します。WAFの動作原理とクッキーの仕組みを理解しているかが問われます。

問4　マルウェアを利用した複合的攻撃へのPC／サーバ両面の対策

ホームページ制作会社を襲う、マルウェア感染とテストサーバのページ改ざんを組み合わせた攻撃が題材です。攻撃フェーズを整理した図に対して各再発防止策がどのフェーズに効くかを対応付ける設問が特徴的で、FTPアクセスを制限するサーバの特定、改ざん調査の具体的内容、URLフィルタで改ざんを見過ごす場合なども記述します。攻撃の流れを段階で捉える練習に適した大問です。

4問とも、対策そのものより「なぜその対策が必要か」「どの条件で効くか」を説明させる設問が目立ちます。演習では理由や前提条件を自分の言葉で言語化する練習を重ねると、記述の精度が上がります。