平成21年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　パケットモニタによる社内LANの異常解析（配点50点）

問1 パケットログ解析に関する次の記述を読んで，設問1〜3に答えよ。 A社は，従業員数500名の小売業者である。A社では，ネットワークの構築，運用を自社で行っている。ある朝，社内LANからインターネット上のWebページを閲覧しているときの応答が遅いといった苦情が寄せられ，システム管理部門のJ主任と運用担当のK君が調査を行うことになった。 〔原因調査と対処〕 J主任とK君は，Webページの閲覧状況の確認から始めることにした…

設問

• 本文中の a に該当する最も適切な箇所を，図1中の(p)〜(r)から選び，記号で答えよ。
• 本文中の b に入れる適切な字句を解答群の中から選び，記号で答えよ。また，本文中の c に入れる適切な字句を，5字以内で答えよ。
• 本文中の d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の e に該当する適切な箇所を図3中の(I)，(II)から，f に該当する適切な箇所を(III)〜(V)からそれぞれ選び，記号で答えよ。また，本文中の下線①について，どのような修正を行うべきか。50字以内で述べよ。
• 本文中の下線②の不審な通信挙動について，30字以内で具体的に述べよ。また，本文中の g に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線③の通信の異常な偏りについて，該当するものを解答群の中から二つ選び，記号で答えよ。
• 本文中の下線④について，K君はどのような通信挙動のプロセスに注目したか。40字以内で述べよ。
• 本文中の下線⑤について，正常なPCを放置した場合，どのようなTCP/UDPパケットが観測されるべきなのか。図5を考慮して40字以内で述べよ。

大問2　ソフトウェアの脆弱性への対応（脆弱性情報の取扱いと修正プログラムの適用）（配点50点）

問2 ソフトウェアの脆弱性への対応に関する次の記述を読んで，設問1〜3に答えよ。 B社は，従業員数400名で昨年度の年間売上高が80億円の菓子製造業者であり，インターネット上のWeb販売システムにおいて自社製品の販売を行っている。このWeb販売システムの管理は社内のシステム運用部が行っている。Web販売システムの構成を図1に，Web販売システムの概略仕様を図2に示す…

設問

• 本文中の下線①において，P君が脆弱性について"緊急"に相当すると判定した具体的根拠は何か。50字以内で述べよ。
• 本文中の下線②において，Q課長が，攻撃が実際に行われる可能性が高いと考えた根拠は何か。25字以内で述べよ。
• 本文中の a に入れる適切なHTMLの要素名を，英文字6字以内で答えよ。
• 本文中の下線③について，情報漏えいの可能性が生じる理由を，"クエリストリング"という語を用いて70字以内で述べよ。
• 本文中の下線④について，暫定的対策を実現するために拒否条件としてIPSに登録すべきシグネチャの具体的内容を，40字以内で述べよ。
• 本文で述べているIPSによる対策に加えて，図2中の仕様の一部の設定を変更する対策も可能である。この一部とは図2中の(a)〜(g)のいずれであるかを記号で答えよ。また，対策の内容について30字以内で述べよ。
• 図5中の b に入れる適切な字句を，15字以内で述べよ。
• 本文中の下線⑤について，Web販売システムにおける修正プログラム適用後のトラブルを予防するために，T課長への説明の前に実施すべき作業がある。適切と思われる作業内容を，40字以内で述べよ。

大問3　Webベースシステムのアプリケーションレベルのセキュリティ対策（配点50点）

問3 アプリケーション開発時の脆弱性対策に関する次の記述を読んで，設問1，2に答えよ。 C社は，一般消費者向けにファックスや電話による，生活用品の通信販売を行っている，従業員数50名の会社である。C社の企画開発課は申込方法の多様化を目的として，インターネットで申込みを受けるためのXシステム（図1）を開発してきた…

設問

• 本文中の下線①について，悪意をもつ者が，どのようにして他人になりすますことができるのか。その方法を50字以内で具体的に述べよ。
• 本文中の下線③の原因となっている図3のプログラムの部分を，その行番号で答えよ。また，どのように修正すればよいかを25字以内で述べよ。ここで，a0.png〜a9.pngの画像ファイルは同じフォルダに配置されているものとする。
• 本文中の下線②の属性に該当するものを二つ挙げ，それぞれ15字以内で答えよ。
• 本文中の下線④について，DBに格納されている情報に対する不正閲覧のうち，透過的暗号化によって防止できるものを解答群の中から一つ選び，記号で答えよ。
• 本文中の下線⑤について，よく使われる文字列をパスワードにしていた場合でも，ハッシュ値から元のパスワードを突き止められないようにするためのハッシュ値の算出方法を，50字以内で述べよ。

大問4　情報システムの特権管理（特権ID管理・内部統制）（配点50点）

問4 情報システムの特権管理に関する次の記述を読んで，設問1，2に答えよ。 E社は，従業員数2,000名の上場している運輸会社である。E社の情報システム部では80台のサーバを管理しており，複数のOS及び，複数のDBMS及びアプリケーション（以下，APという）が稼働している…

設問

• 本文中の下線①で，上場企業を対象に，内部統制の評価及び報告を求める法律（又はその通称）を解答群の中から選び，記号で答えよ。
• 本文中の a に入れる適切な字句を，10字以内で答えよ。
• 本文中の b に入れる適切な字句を，10字以内で答えよ。
• 本文中の下線②を実施するに当たって適用した考え方を，解答群の中から選び，記号で答えよ。
• 本文中の c に入れる方式を，英文字10字以内で答えよ。
• 本文中の d に入れる，N課長がログサーバに対して実施しようとしている対策を，40字以内で述べよ。
• 本文中の下線③を検出するために，表に項番7を追加したい。このとき，アラートの発生条件として何を設定すべきか。20字以内で述べよ。
• 本文中の下線④及び下線⑤の指示のセキュリティ上の目的を，それぞれ35字以内で述べよ。
• 本文中の下線⑥において，財務報告の信頼性を担保するために，特権IDに関するDBのログの個々の記録について何を確認し，全体として何を立証しようとしているか…

この回の出題傾向と学習ポイント

平成21年度春期の午後Iは、パケットログ解析による異常PCの特定、公開Webシステムの脆弱性対応、Webアプリの脆弱性対策、特権ID管理という4問構成の選択制です。ログや構成図を素材にした分析型の問1・問2、開発寄りの問3、内部統制寄りの問4と方向性が分かれており、自分の得意分野を見極めて選択する練習に向いた回です。

問1　パケットモニタによる社内LANの異常解析

Web閲覧が遅いという苦情から始まり、パケットモニタのログを解析して、送信元を詐称したDNSクエリの多量送信を突き止める問題です。ログの読み取り、ルータ設定の修正内容、不審な通信挙動を示すPCの特定、正常なPCなら観測されるはずのパケットの説明と、通信の観察から異常を切り分ける手順を一貫して問います。DNSの問合せと応答の対応関係を意識してログを読む力が試されます。

問2　ソフトウェアの脆弱性への対応（脆弱性情報の取扱いと修正プログラムの適用）

菓子製造業者のWeb販売システムで、使用中のWebサーバプログラムの脆弱性情報を入手した場面から始まります。「緊急」と判定した具体的根拠、攻撃が行われる可能性が高いと考えた根拠、IPSに登録すべきシグネチャの内容、システム仕様の設定変更による対策、修正プログラム適用前に実施すべき作業などを記述します。脆弱性公表から暫定対策・恒久対策までの一連の判断を追体験できる大問です。

問3　Webベースシステムのアプリケーションレベルのセキュリティ対策

通信販売会社のWebシステムに対する疑似侵入テストと脆弱性診断の結果への対応が題材です。推測可能なセッション識別子によるなりすましの方法、cookieに設定すべき属性、プログラムの修正箇所の行番号指摘、透過的暗号化で防止できる不正閲覧の選択、ハッシュ値から元のパスワードを突き止められないようにする算出方法などを問います。Webアプリの定番脆弱性を実装レベルで説明できるかが鍵です。

問4　情報システムの特権管理（特権ID管理・内部統制）

運輸会社で10名のシステム管理者が特権IDとパスワードを共用している状態を改善する問題です。内部統制の評価・報告を求める法律の選択、認証方式の短答、ログサーバに対して実施する対策、アラートの発生条件の設定、財務報告の信頼性を担保するためにログから確認・立証すべきことを記述します。特権ID管理を内部統制と結び付けて考える、マネジメント色の強い大問です。

問1のログ解析は手を動かした経験の有無で差が付きます。演習では、図やログの各行が「誰から誰への何の通信か」を書き出してから設問に向かうと、分析型問題の時間配分が安定します。