情報セキュリティスペシャリスト試験 平成24年度春期

問1 では，Web アプリケーションの脆 ぜい 弱性検査の指摘事項への対応策について出題した。全体として正答率 は低かった。 設問2(1)(2)では，攻撃状況をログから解析する場合に，正当なアクセスと不正なアクセスを判別すること が困難である具体的な状況を解答してほしかったが，正答率は低かった。特に(2)では，“IP アドレスを詐称し た”とする解答が多かったが，本問での状況ではIP アドレスの詐称は起き得ないことに気づいてほしかっ た。 設問3(2)は，正答率が低かった。エスケープ処理はいつも同じようにすればよいものではなく，プログラム が満たすべき要件や，出力が渡される処理系によって，適切に処理しなければならない。エスケープ処理の本 質をよく理解しておいてほしい。

問2 では，Web アプリケーションに対するSQL インジェクション攻撃を受けた際のログ分析と，DB に格納さ れているパスワード情報を題材に，Web アプリケーションにおけるインシデント対応とセキュリティ対策につ いて出題した。全体として正答率は低かった。 設問1(1)は，正答率が低かった。表1 のログを注意深く確認することで，窃取されていた会員ID （cust_id）とパスワード（pwd）をselect しているipH を選択できたはずである。(2)(3)は正答率が高く， 不正ログイン試行とその対策であるアカウントロックに対する理解は進んでいると思われる。 設問2(1)の中でg（選択平文）については正答率が著しく低かった。基本用語については理解を確実にして おいてほしい。(2)も正答率が低かった。利用者は複数のサイトで同じ認証情報の組合せを使い回している場 合が多い。二次被害拡大防止のためにも利用者にとって必要なアクションが取れるような通知を心がけてほし い。 設問3(1)は，外部サイトに誘導される場合にブラウザやそのプラグインの脆弱性を突かれるケースを題材に した。企業や組織内で頻発している事象であるので，誘導からマルウェアの感染とその後の活動までの仕組み を理解しておいてほしい。

問3 では，委託先作業担当者の操作内容の証跡確保を題材として，操作ログを取得するパッケージソフトの セキュリティ上の考慮点について出題した。 設問3(3)は，正答率が低かった。Z 社の作業担当者が保険サーバで行う不正な行為に関して，案1 の機能を 用いた検知手段を問う問題であったが，“M 社の従業員が操作ログをリアルタイムに監視する”といった，案1 の機能とは全く関係のない検知手段を述べる解答が多かった。一般的な知見での解答ではなく，本文の記載内 容に基づいて解答してほしかった。 設問4(2)は，作業計画書に記載された作業担当者だけが特権ID を利用できるようにするための制御を問う 問題であったが，“適切な特権管理を行う”といった曖昧な内容の解答が散見された。案2 を採用した後のシ ステム構成や保守作業時の運用を理解した上で，操作ログの取得と同様に中継サーバで制御する機能として， 表1 に示されるPP2 の機能“利用者ごとのリモートアクセスの許可と拒否の制御”に気がついてほしかった。

問4 では，標的型攻撃に関して出題した。この問で取り上げている標的型攻撃に遭遇した場合，設問1 から 4 の全てにおいて，ウイルス対策ソフトが本来の機能を発揮できない場合があることを理解した上での解答を 期待したが，その点の理解が不足している解答が目立った。 設問2 は，TCP セッションのパケットキャプチャを出発点として未知のウイルスの解析を行う場合を例にと り，常駐してしまったウイルスの検出方法について出題した。この場合は，TCP ポート番号が大きな手がかり になるという点を理解してほしかったが，正答率は低かった。 設問3 は，未知のウイルスに感染しているかもしれないという状況下で必要なデータファイルを確保する作 業の方法について出題した。既知であれ未知であれウイルスの感染が疑われるOS 環境では，そのOS を起動し てはいけないことを踏まえた解答を期待したが，正答率は低かった。

問1 では，インターネット向けサーバにおける災害対策を題材にして，そこで必要となる情報セキュリティ 対策について出題した。全体として正答率は高かった。 設問3(1)は，メールの転送を行わないサーバやインターネットとの間でメールの転送を行わないサーバを挙 げた解答が散見された。本文及び図表をよく読めば正答を導けるはずである。 設問3(2)は，正答率が低かった。SPF（Sender Policy Framework）の仕組みの説明が誤っている解答や， SPF 以外の手法を述べた解答が目立った。SPF は迷惑メールに対する有効な対策の一つである。SPF の仕組みを よく理解しておいてほしい。 設問4(2)は，プロキシサーバ及びプロキシDR サーバの機能を用いた解答を求めたにもかかわらず，存在し ない機能を述べた解答が目立った。本文，図表及び設問をよく読み，求められていることを理解した上で解答 してほしかった。

問2 では，社内システムのクラウドサービスへの移行及び個人所有の携帯端末の導入を題材に，クラウドサ ービス及び携帯端末を業務で利用する際のセキュリティ上のリスクとその対応について出題した。全体として 正答率は低かった。 設問1(2)は，正答率が低かった。クラウドサービスへの移行によってメールサーバが社外に置かれるという ことを考慮せずに，社外へのメールの誤送信や平文でのメールの送信を挙げた解答が多かった。 設問4(2)は，改造ツールに脆弱性が含まれる可能性について述べた解答が多かった。改造ツールをインスト ールした携帯端末に感染するマルウェアが存在することも事実ではあるが，そうしたマルウェアも携帯端末に 導入されているセキュリティ機構が無効化されて初めて動作が可能となることに気づいてほしかった。 設問5(2)は，技術的対策として，ファイアウォール又はIPS によるアクセス監視や，プロキシの設定の強制 によるアクセスの制限を挙げた解答が散見された。前者では無線LAN での通信を防ぐことはできず，後者では ブラウザを利用しない外部との通信を防ぐことができない。本文に記述された前提や設問で触れられた条件に 注意した上で，どのような対策が最も効果的かを十分に吟味して解答してほしかった。