令和5年度 秋期 情報処理安全確保支援士試験 午後 過去問・解説

大問1　Webアプリケーションプログラムの脆弱性（配点50点）

問1 Webアプリケーションプログラムの開発に関する次の記述を読んで，設問に答えよ。 Q社は，洋服のEC事業を手掛ける従業員100名の会社である。Webアプリ Q という Webアプリケーションプログラムで EC サイトを運営している。EC サイトのドメイン名は"〇〇〇.co.jp"であり，利用者は Webアプリ Q に HTTPS でアクセスする。Webアプリ Q の開発と運用は，Q 社開発部が行っている…

設問

• この攻撃で使われた XSS 脆弱性について答えよ。XSS 脆弱性の種類を解答群の中から選び，記号で答えよ。
• Webアプリ Q における対策を，30 字以内で答えよ。
• 図3について，入力文字数制限を超える長さのスクリプトが実行されるようにした方法を，50 字以内で答えよ。
• 図4のスクリプトについて答えよ。図4の 6〜20 行目の処理の内容を，60 字以内で答えよ。
• 攻撃者は，図4のスクリプトによってアップロードされた情報をどのようにして取得できるか。取得する方法を，50 字以内で答えよ。
• 攻撃者が(2)で取得した情報を使うことによってできることを，40 字以内で答えよ。
• 仮に，攻撃者が用意したドメインのサイトに図4と同じスクリプトを含む HTML を準備し，そのサイトに Webアプリ Q のログイン済み会員がアクセスしたとしても，Web ブラウザの仕組みによって攻撃は成功しない…

大問2　無線LAN環境のセキュリティ対策（配点50点）

M社は，L社の子会社であり，アパレル製品を手掛ける従業員100名の会社である。M社のオフィスビルは，人通りの多い都内の大通りに面している。 昨年，M社の従業員が，社内ファイルサーバに保存していた秘密情報の商品デザインファイルをUSBメモリに保存し，競合他社に持ち込むという事件が発生した。この事件を契機として，L社からの指導でセキュリティ対策の見直しを進めている。既に次の三つの見直しを行った…

設問

• 本文中の a ， b に入れる適切な字句を答えよ。
• 図2中の c ， d に入れる適切な字句を，それぞれ40字以内で答えよ。
• 本文中の下線①について，エラーメッセージが表示される直前までのWebブラウザの動きを，60字以内で答えよ。
• 本文中の下線②について，M社外からファイルをダウンロード可能にするためのファイル共有機能の悪用方法を，40字以内で具体的に答えよ。
• 本文中の e に入れる適切な字句を答えよ。
• 本文中の下線③について，認証サーバがEAPで使うUDP上のプロトコルを答えよ。
• 本文中の f に入れる適切な字句を答えよ。
• 本文中の g に入れる適切な字句を，20字以内で答えよ。
• 本文中の下線④について，その理由を，40字以内で答えよ。
• 本文中の下線⑤について，変更内容を，70字以内で答えよ。
• 本文中の h に入れる適切な字句を答えよ。
• 本文中の下線⑥について，表3及び表4の削除すべき項番を，それぞれ全て答えよ。

大問3　継続的インテグレーションサービスのインシデント対応（配点50点）

N社は、Nサービスという継続的インテグレーションサービスを提供している従業員400名の事業者である。Nサービスの利用者（以下、Nサービス利用者という）は、バージョン管理システム（以下、VCSという）にコミットしたソースコードを自動的にコンパイルするなどの目的で、Nサービスを利用する。VCSでは、リポジトリという単位でソースコードを管理する。 Nサービスの機能の概要を表1に示す…

設問

• 本文中の下線①について，該当するものはどれか。解答群の中から全て選び，記号で答えよ。
• 本文中の下線②について，攻撃者による不正ログインの方法を，50字以内で具体的に答えよ。
• 本文中の下線③について，RFC 9162で規定されている技術を，解答群の中から選び，記号で答えよ。
• 本文中の下線④について，このような手法の名称を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，プロセスYがシークレットを取得するのに使った方法として考えられるものを，35字以内で答えよ。
• 図2の下線⑥について，仮に，利用者が偽サイトでログインを試みてしまっても，攻撃者は不正ログインできない。不正ログインを防ぐWebAuthnの仕組みを，40字以内で答えよ。
• 図2中の a に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑦について，Kさんが開始した対応を踏まえ，予想される攻撃を，40字以内で答えよ。
• 本文中の下線⑧について，必要な対応を，20字以内で答えよ。
• 本文中の下線⑨について，コード署名を付与する際にHSMを使うことによって得られるセキュリティ上の利点を，20字以内で答えよ。
• 本文中の下線⑩について，影響と対応を，それぞれ20字以内で答えよ。

大問4　百貨店と運送会社のリスクアセスメント（配点50点）

G百貨店は，国内で5店舗を営業している。G百貨店では，贈答品として販売される菓子類のうち，特定の地域向けに配送されるもの（以下，菓子類Fという）の配送と在庫管理をW社に委託している。 〔W社の配送業務〕 W社は従業員100名の地域運送会社で，本社事務所と倉庫が同一敷地内にあり，それ以外の拠点はない。 G百貨店では，贈答品の受注情報を，Sサービスという在庫管理SaaSに登録している…

設問

• 表4及び表5中の ［ア］〜［エ］ に入れる適切な字句を答えよ。［ア］は，表2中から該当する項番を全て選び，数字で答えよ。該当する項番がない場合は，“なし”と答えよ。［イ］は答案用紙の大・中・小のいずれかの文字を○で囲んで示せ…
• 次の問いに答えよ。 (1) 表4中の ［あ］ に入れる適切な字句を，本文に示した状況設定に沿う範囲で，あなたの知見に基づき，答えよ。 (2) 解答した ［あ］ の内容に基づき，表4及び表5中の ［い］〜［き］ に入れる適切な字句を答えよ…
• 表4中の ［a］，［b］ に入れる適切な字句について，表2中から該当する項番を全て選び，数字で答えよ。該当する項番がない場合は，“なし”と答えよ。

この回の出題傾向と学習ポイント

令和5年度秋期の午後は、Webアプリケーションの脆弱性、無線LAN環境のセキュリティ対策、継続的インテグレーション（CI）サービスのインシデント対応、リスクアセスメントという構成です。技術寄り3問＋マネジメント寄り1問の選択制で、スクリプト読解からリスク評価表の作成まで、大問ごとに要求される力がはっきり分かれる回です。

問1　Webアプリケーションプログラムの脆弱性

ECサイトの商品レビュー機能に潜むXSS脆弱性が題材です。脆弱性の種類の選択に始まり、入力文字数制限を超えるスクリプトを実行させた方法、攻撃スクリプトの処理内容、盗んだ情報の取得方法と悪用まで、攻撃の一部始終を30〜60字で記述させます。最後はWebブラウザ側の仕組みで攻撃が防がれる理由まで問われるため、XSSを原理から説明できる準備が必要です。

問2　無線LAN環境のセキュリティ対策

内部不正事件を契機にセキュリティを見直したアパレル会社の無線LAN環境が題材です。クラウドストレージのファイル共有機能の悪用方法、認証サーバがEAPで使うプロトコル名などの知識穴埋め、設定の変更内容を70字以内で書かせる記述まで形式が幅広い大問です。無線LANの認証方式と、社内からのファイル持出し経路の洗い出しを整理しておくと対応しやすくなります。

問3　継続的インテグレーションサービスのインシデント対応

CIサービス事業者でシークレットが漏えいするインシデントが題材です。不正ログインの方法やシークレット取得の手口を35〜50字で記述させるほか、RFC 9162で規定される技術の選択、WebAuthnが不正ログインを防ぐ仕組み、コード署名にHSMを使う利点など、認証・署名まわりの知識問題も並びます。開発パイプラインを狙う攻撃という近年の題材に慣れておきたい大問です。

問4　百貨店と運送会社のリスクアセスメント

百貨店から配送業務を受託する運送会社を舞台にしたリスクアセスメントです。リスク評価表の穴埋めが中心で、被害の大きさや評価値を選ばせるほか、「あなたの知見に基づき」リスクを自分で挙げ、それに沿って表を埋めさせる形式が特徴です。アカウント貸与を含む業務の流れからリスク源を自力で洗い出す練習が、そのまま得点につながります。

問1〜問3は攻撃の手口を具体的に記述させる設問が多く、問4は評価表を一貫した論理で埋める力が問われます。演習を通じて、自分がスクリプト読解型とリスク分析型のどちらで戦うかを見極めておきましょう。