情報セキュリティスペシャリスト試験 平成21年度春期

問1 では，社内ネットワークから発信される攻撃に対して，踏み台となっているPC やDNS サーバの不備 を，ネットワークモニタを使って突き止める手法について出題した。全体として正答率はやや低かった。 設問1(4)は，正答率が低かった。企業のDNS サーバにおいて，本来応答する必要のない外部ホストからの 外部アドレスの問合せを許していると，DNS Reflection 攻撃の踏み台に悪用されるおそれがある。“修正”につ いての解答には，問合せ元と問合せ対象の両者を含めてほしかった。DNS サーバには，そのプロトコル上の性 質から様々な ぜい 脆弱性が指摘されており，設定には細心の注意が必要であることを理解してほしい。 設問2(1)では，パケットモニタの状況から異常を読み取る能力を問うている。正しい通信手順とマルウェア の通信パターンの差異についての理解を求めているが，“パケット量が多い”などのあいまいな解答が散見さ れた。 設問3(2)は，マルウェアがhosts ファイルを改ざんして，ウイルス対策ソフトのアップデート機能を無効に することで，PC に現れる異常について考える問いであった。マルウェアは自身の発見を逃れるために，様々 な設定を改ざんするが，パケットの送信状況を外部からモニタすることで異常を検知できる場合があることを 理解しておいてほしい。

問2 では，Web サーバプログラムの脆弱性対策について出題した。全体として正答率は想定どおりだった。 設問1 は，正答率がやや低かった。(2)では，攻撃が成功する可能性や，攻撃が成功した場合の被害の大きさ を解答した誤答が散見された。攻撃が試みられる可能性が高いことと，その攻撃が成功する可能性が高いこと は，それぞれ別の特性であることを考えて解答してほしかった。 設問2 は，正答率が低かった。特に(2)は正答率が著しく低く，その中でも，“クエリストリングは暗号化さ れない”という誤った解答が目立った。今後もWeb アプリケーションの利用は増加すると思われるので， HTTPS において暗号化される範囲とGET，POST メソッドの動作の違いについて，確実に理解しておいてほ しい。 設問3 は，正答率が高かった。修正プログラムは日々提供されるものだが，修正プログラムそのものに起因 してトラブルが発生する可能性について考えた上で適用作業を実施する必要があることは，おおむね理解でき ていた。

問3 では，Web アプリケーション開発時の脆弱性対策について出題した。全体として正答率は，低かった。 設問1(1)では，どのような方法で他人になりすますかを問うたが，“cookie の値が容易に書き換えられるか ら”のように原因だけを述べ，方法が明示されていない解答が多かった。また，クロスサイトスクリプティン グ対策を問うた(3)は，正答率が低かった。<>&”’などのHTML 構造に影響を与える文字を適切に置換して も，出力される箇所によってはスクリプトが動作してしまうことを理解しておいてほしい。 設問2 は，全体的に正答率が高かった。透過的データ暗号化機能によるリスク対策や，Web アプリケーショ ンで管理される利用者のパスワード情報の保護については，適切に理解されているものと推察できる。

問4 では，特権ID 管理の重要性と課題，及びその改善方法について出題した。全体として，正答率は低か った。 設問1(1)は，選択肢からの解答であったにもかかわらず正答率が低かった。セキュリティの関連技術と同様 に，セキュリティの関連法規についても世の中の動向を知っておいてもらいたい。 設問2(3)は，正答率が低かった。特に，ログサーバ内のログに対してアクセス権を設定することだけを記述 した解答が多かった。特権ID は，システムに対して強力な権限をもったID であるので，その管理を改善する 際には，システム設定などの技術的側面だけでなく，使用者の範囲や使用手続など，運用に関する部分も含め て検討する必要があることを理解しておいてほしい。

問1 では，自営CA を利用したシステムの構築について出題した。全体として，正答率は想定どおりだっ た。 設問1 では，a，b の正答率が低かった。暗号の2010 年問題のような安全性に関わる環境変化に起因する話 題や，暗号の強度や ぜい 脆弱性についてもよく理解しておいてほしい。 設問4 は，正答率が低かった。特に電子署名について，“推測した秘密鍵でメール本文を暗号化する”な ど，正確には理解していないと思われる解答が散見された。 設問5 では，(3)の正答率が低かった。自営CA を利用したシステムでは，公開鍵証明書の発行者が鍵ペアの 生成も行うことがあるが，その場合のリスクやリスク対応方法についても，理解しておいてほしい。 設問6 は，正答率が低かった。自営CA を利用したシステムを構築する場合，想定した範囲外で公開鍵証明 書が使用されたときの影響についても考慮する必要があることを，理解しておいてほしい。

問2 では，衣料小売業者における情報セキュリティの見直しを例に取り，情報セキュリティ標準の知識，セ キュリティ検査やWeb アプリケーションの保護の手法などについて出題した。全体として，正答率は想定どお りだった。 設問2(1)b は正答率が低かった。事業継続計画（BCP）は，事業継続管理（BCM）の中核を成し，組織が予 期せぬ災害や事故，広範囲の伝染病などに遭遇した際の対応をあらかじめ定めておくものである。BCM は国 際標準化が計画されているので，今後の動向を注目しつつ理解を深めてほしい。 設問4(1)は正答率が低く，“回避”を選んだ解答が多かった。リスク対応の観点からは，リスクの原因を排 除する“回避”は題意を満たさない。同様の考えからか，(2)においては“トランザクションログを消去する” という誤った解答が散見された。また，前提として問題文中に“暗号化を施してカード番号を判読困難にする ことは難しい”と記述されているのに，“暗号化を施す”という解答も多かった。問題に含まれる条件をよく 吟味して解答してほしかった。 設問5 では，ISMS の審査の意義について考察が不足している解答が見られた。ISMS の審査の目的は，組織 においてPDCA サイクルが有効に機能していることを確認することにある。したがって，本文中で記述した 様々な管理策を実行するだけではなく，講じた管理策に対するCheck とAct が必要であることについて言及し てほしかった。