令和4年度 秋期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　IoT製品の開発とセキュリティ（配点50点）

問1 IoT製品の開発に関する次の記述を読んで，設問に答えよ。 J社は，家電の製造・販売を手掛ける従業員1,000名の会社である。J社では，自社の売れ筋製品であるロボット掃除機の新製品（以下，製品Rという）を開発し，販売することになった。製品Rの仕様を図1に示す。 〔製品Rの仕様（抜粋）〕 製品Rは，掃除機能に加え，無線LANへの接続機能を搭載する…

設問

• 本文中の a に入れる攻撃手法の名称を15字以内で答えよ。
• 本文中の b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，攻撃者が送信したDNS応答が攻撃として成功するために満たすべき条件を，30字以内で答えよ。
• 本文中の下線②について，どのような実装か。40字以内で答えよ。
• 本文中の c に入れる適切な字句を答えよ。
• 本文中の d に入れる適切な字句を，35字以内で答えよ。
• 本文中の下線③について，罠サイトではどのような仕組みを使って利用者に脆弱性Bを悪用する攻撃リクエストを送信させることができるか。仕組みを50字以内で具体的に答えよ。
• 本文中の e に入れる，トークンがもつべき特徴を15字以内で答えよ。
• 脆弱性A及び脆弱性Bが該当するCWEを，それぞれ解答群の中から選び，記号で答えよ。

大問2　ソフトウェア脆弱性によるインシデント対応（配点50点）

問2 脆弱性に起因するセキュリティインシデントへの対応に関する次の記述を読んで，設問に答えよ。 U社は，従業員200名の食品製造業である。情報システム部がシステムを管理している。U社のネットワーク構成を図1に，サーバの機能概要を表1に示す。 U社のネットワークは，インターネット—FW—PC-LANという構成で，FWの先にDMZがある。DMZには予約サーバ及び会員サーバが（L2SW経由で）接続されている…

設問

• 本文中の a に入れる適切なIPアドレスを，表4中の宛先から選び，答えよ。
• 本文中の下線①について，Tソフトを調べれば分かると判断した理由を，40字以内で具体的に答えよ。
• 表7中の b ， c に入れる適切な時刻，表7中の d ～ f に入れる適切な字句を答えよ。
• 本文中の下線②について，その理由を，40字以内で具体的に答えよ。
• 本文中の下線③について，攻撃が失敗した理由を，40字以内で具体的に答えよ。
• 表8中の g ～ i に入れる適切な字句を答えよ。

大問3　サプライチェーン攻撃とインシデントハンドリング（配点50点）

問3 オンラインゲーム事業者でのセキュリティインシデント対応に関する次の記述を読んで，設問に答えよ。 M社は従業員100名のオンラインゲーム事業者である。M社のゲームは利用者がWebブラウザからインターネット経由でアクセスして利用する。M社には開発部及び運用部があり，各従業員にはPCが貸与されている。M社の各PC及び各サーバには，固定のIPアドレスが割り当てられており，コンテナエンジンがインストールされている…

設問

• 本文中及び図3中の a に入れる適切な番号を答えよ。
• 本文中の下線①について，どのような命令か。30字以内で答えよ。
• 本文中の b に入れる適切な字句を15字以内で答えよ。
• 本文中の下線②が示す攻撃の名称を答えよ。
• 本文中の下線③について，レスポンスに含まれる内容のうち，攻撃者がレジストリサーバと判断するのに用いたと考えられる情報を，25字以内で答えよ。
• 本文中の下線④について，行うべき対処を，25字以内で答えよ。
• 本文中の c に入れる適切なIPアドレスを答えよ。
• 本文中の d に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，有効ではないのはどのような場合か。25字以内で答えよ。
• 本文中の e に入れる適切な機器名を，解答群の中から選び，記号で答えよ。

この回の出題傾向と学習ポイント

令和4年度秋期の午後Iは、IoT製品（ロボット掃除機）の開発、ソフトウェア脆弱性によるインシデント対応、コンテナ環境を狙うサプライチェーン攻撃という構成です。開発時の設計検討が1問、インシデント発生後の調査・対応が2問で、いずれも字数指定付きの記述が中心となる選択制の回です。

問1　IoT製品の開発とセキュリティ

ロボット掃除機のWebアプリとファームウェアアップデート機能のセキュリティ設計が題材です。攻撃手法の名称、偽のDNS応答が攻撃として成功する条件、罠サイト経由の攻撃を防ぐトークンがもつべき特徴などを15〜50字で記述させ、最後は脆弱性が該当するCWEを選択させます。同一セグメントからのアクセスやファームウェア配布といったIoT機器特有の構成に沿って攻撃経路を考える練習が有効です。

問2　ソフトウェア脆弱性によるインシデント対応

食品製造業のDMZ上のサーバで起きたインシデントの調査が題材です。プロキシサーバのURLフィルタリング仕様を読み込んだ上で、通信ログから宛先を特定する穴埋めや、調査判断の理由・攻撃が失敗した理由を40字以内で記述させます。フォワードプロキシやFWの仕様の細部が解答の根拠になるため、機能概要の表を丁寧に読む姿勢がそのまま得点になります。

問3　サプライチェーン攻撃とインシデントハンドリング

オンラインゲーム事業者のコンテナ環境で、OSSの取り込みを起点とするサプライチェーン攻撃への対応が題材です。攻撃の名称を答える知識問題に加え、攻撃者がレジストリサーバと判断した材料や行うべき対処を25〜30字で簡潔に記述させます。ソースコードサーバからレジストリサーバ、本番環境へと至るビルド・配備の流れを図で追い、どこに統制を入れるかを考える大問です。

3問とも本文のネットワーク図と機器仕様の表が解答の根拠になる回です。演習では、攻撃の通信が図のどの経路を通るかを矢印で書き込みながら解くと、字数指定の記述の精度が上がります。