情報セキュリティスペシャリスト試験 平成24年度秋期

問1 は，最近では広く利用されることが多くなってきたAjax の基本概念について出題した。全体として正 答率は低かった。 設問1 のa については正答率が高かったが，b については，正答率が低かった。XMLHttpRequest という用語 は知っていても，その制限までは知らない受験者が多いようだった。是非，最新のブラウザの仕組みを知って おいてほしい。 設問2 は正答率が低かった。HTTPS 通信において，サーバ認証の場合，サーバだけの認証であるので，サー バ証明書だけを用意すればよいのに対して，クライアント認証の場合，相互認証であるので，利用者ごとにク ライアント証明書の管理が必要となることに気がついてほしかった。 設問4(1)は，正答率が低かった。この問題は，攻撃に対する一般的な対策方針に基づき安全なポイント表示 サービスを設計する問題であった。攻撃を防ぐためには，トップページへのアクセスの際，正規に認証されて いることを一般サイト側に知らせる仕組みが必要であることに気がついてほしかった。

設問1 は，全体的に正答率が高かった。システムが採取しているログとモニタリングの要件を基に，機械処 理可能なモニタリング条件を決定していく手順は，おおむね理解されているようであった。 設問2 では，モニタリング条件の設定とその運用について出題した。条件を正確に記述している解答は少な かった。モニタリングを適切に実装・運用するためには，モニタリングの対象とするシステムの利用パターン を，モニタリング条件として正確に定義できる力が必要である。 設問3 では，モニタリングの有効性と効率性を維持するための施策について出題した。モニタリング条件の 見直しに利用部門が協力する点について言及している解答は少なかった。 モニタリングは，情報にアクセスする権限をもった利用者による権限の濫用を防ぐコントロールとして有効 であるが，その条件設定が不適切であったり，また，システムが置かれている状況の変化に対応していなかっ たりすると，形骸化してしまう危険がある。モニタリングがもつそのような特性をよく理解しておいてほし い。

問3 は最近話題として取り上げられることが多い標的型攻撃について出題した。全体として，正答率は低か った。 設問1 ではメールヘッダから読み取れる内容について出題した。選択問題にもかかわらず，正答率は低かっ た。普段から電子メールが届く経路がメールヘッダにどのように記録されるかを理解しておいてほしい。 設問2 では送信ドメイン認証技術のSPF（Sender Policy Framework）について出題した。(1)は正答率が高 かったが，(2)は正答率が低かった。SPF のような標準的な技術については，何を基準にしているか，何をどの ように確認しているか基本事項を理解しておいてほしい。 設問3 では標的型攻撃について出題した。(1)の正答率は高かったが，(3)，(4)の正答率は低かった。(4)で は，現在，一般的な製品になっているWeb フィルタを利用する対策の記述を期待したが，正答率は低かった。 設問3(1)，(3)は，問題文中に記述されている内容を落ち着いて読めば，正解を導けるはずである。設問 3(2)，(4)は，それぞれ問題文中に記述されている状況での対策を問うているので，問題文中の背景をしっかり 理解して正解を導きだしてほしい。IPA が公開して“安全なウェブサイトの作り方”で扱っているように脆 ぜい 弱 性を作りこまない根本的な対策を確実にすることだけではなく，攻撃による影響を軽減する保険的対策も有効 なことを，区別して理解してほしい。

問4 では，インシデント発生時のログ調査から対策までの一連のプロセスについて出題した。全体として正 答率は低かった。 設問1 は，今回のようなインシデントでのログ調査では，LB のサービス稼働チェックログに加え，Web サー バ群のリソースグラフを確認することでログの調査範囲を絞り込むという手法は理解されているようであっ た。しかし，調査範囲を絞り込んだ後に判明した結果について述べられていた解答のように，設問の主旨を捉 えていない解答も見られた。落ち着いて問題文を読んで解答してほしい。 設問3(1)は，ｄの正答率が低かった。IDS 製品だけではなく，WAF 製品でも秘密鍵を利用して，HTTPS 通信 を監視できるようになってきているので，一般的な知識として理解しておいてほしい。 設問3(3)は，設定内容について正答率が低かった。プロキシサーバやLB などを利用するシステム構成で は，X-Forwarded-For ヘッダフィールドは，送信元のIP アドレスを特定するために有効であることを，基本知 識として理解しておいてほしい。

問1 ではWeb サイトのセキュリティ対策について出題した。全体としては正答率が高く，対策についておお むね理解されているようであった。 設問1(4)，(5)は，正答率が低かった。技術用語を問う問題だが，正確に記憶できていない受験者が多かっ た。 設問2(1)は，正答率が低かった。“セッションID の固定化”は，“ログイン時に新たなセッションID が発行 されていないこと”と“利用者に攻撃者があらかじめ用意したセッションID を使わせること”の二つの条件 がそろった場合に脆 ぜい 弱性となる。後者の条件をログイン時のリクエストとレスポンスから確認できれば，正解 を導けるはずである。 設問2(2)理由は，問題文中に“エスケープ処理を出力時に行っていましたが”という記述があるにもかかわ らず，“エスケープ処理がされていなかったから”といった誤った解答が多かった。また，“二重引用符”だけ は書かれていたが，具体的な理由が記載されていない解答も散見された。 設問3(1)は，正答率が低かった。表6 の項番5 の“PC での操作”に記載のパラメタ，“操作の結果”，そし て，図3 の入力した値が次画面で取り扱われるものだけ診断可能という仕様を確認できれば，正解を導けるは ずである。(2)の自動診断ツールの仕様と限界についても関連性を的確に解答してほしかった。 設問4(1)は，脆弱性情報の入手についての改善案を問う問題である。今回，専門業者の診断で脆弱性を発見 できたので，同様の効果が得られる運用を解答として期待していた。しかし，問題文中で修正プログラムの適 用にはリスクがあるとしているにもかかわらず，“自動アップデート機能を利用する”という誤った解答が散 見された。 日頃からセキュリティに関する知識を理解しておくことと，問題文をしっかりと読むことを期待する。

問2 では，無線LAN の導入を例にとり，社内ネットワークの構成変更が情報セキュリティ管理規程や既存の セキュリティ対策へ与える影響について出題した。全体として，正答率は高かった。 設問2(2)では，“ノートPC からインターネットへの直接の通信を許可する”といった誤った解答が多かっ た。OA-LAN からインターネットへのアクセスと同様に，会議室LAN からインターネットへのアクセスに対して も利用者認証やURL フィルタリングが必要である。そのため，会議室LAN からインターネットへのアクセスも プロキシサーバを経由する必要があるということを，問題文から読み取ってほしかった。 設問3(3)は正答率が低かった。単に“ノートPC を放置する”といった解答が多かったが，リスクの認識と いう点では不完全なので，第三者が操作可能な状態であることが具体的に分かるような説明を記述してほしか った。 設問4(2)も正答率が低かった。プロキシサーバでの利用者認証を行うために，“ディレクトリサーバ上で利 用者ID を登録する”といった誤った解答が散見された。来客のデバイスがインターネットにアクセスする際 はプロキシサーバを経由しないとなっていたので，問題文の設定をよく読み，解答してほしかった。