情報セキュリティスペシャリスト試験 平成26年度秋期

問1 では，運用の観点も含めて，ソフトウエアにおける脆 ぜい 弱性の代表例の一つであるバッファオーバフロー について出題した。全体に正答率は想定以上に低く，バッファオーバフローの仕組みなどの技術について誤解 が多く見受けられた。 設問1 のb とd は，OS におけるセキュリティ技術に関する問題である。プログラミング開発においての知識 と併せて，セキュリティに関する知識として再度確認してほしい。 設問2 は，スタックバッファオーバフロー攻撃を具体的に理解し，説明できる能力を求める問題である。本 問のスタックバッファオーバフロー攻撃自体は，バッファオーバフロー攻撃の中でも基本的な例であるが，正 確な知識がなければ，解答は困難である。最近のOS のセキュリティ対策技術も，このような知識を前提とし ていると言えるので，受験者にはこの機会にこれらの知識を確認してほしい。 設問3 及び設問4 は，バッファオーバフロー攻撃の仕組みとは別に，潜在的に脆弱性をもつシステムを運用 する場面での脅威及びその対処をストーリーに合わせて解答する問題である。脆弱性やその対策に関する技術 的知識を前提としており，それらを含めた周辺技術の理解を深めてほしい。

問2 では，暗号に関する知識，及びSSL クライアント認証を利用した認証システムの設計について出題し た。全体として，正答率は平均的であった。 設問1(1)及び(2)は，攻撃への耐性の視点から，様々な種類の暗号技術を比較する問題であった。本問の正 答率はおおむね想定どおりであった。本問にあるように，攻撃への耐性の視点から，異なった種類の暗号技術 を比較評価する方法を理解し，今後活用してほしい。 設問2(1)は，正答率が若干低かった。端末のディスク内のデータの削除に言及する解答が目立ったが，本問 の状況においては，端末に発行された証明書を利用停止させる方法が最も適切である。 設問3(1)は，正答率が低かった。代理店内に設置されたネットワークの管理に言及する解答が散見された が，Q システムはインターネット経由でアクセスできるので，代理店内のネットワーク管理で対応できる範囲 は限られている。 設問2 や設問3 が解答できるように，また，技術一辺倒ではなく，弱点を補う運用や役割分担など，幅広い 視点をもって，目標とするセキュリティレベルを達成するシステムの設計を行えるように，理解を深めてほし い。

問3 では，マルウェア感染への対応について出題した。全体として正答率は高かった。 設問1 は，標的型攻撃の入口対策として，メールのフィルタリングルールについて出題した。正答率は高か った。ただし，設問1(2)は，フィルタリングルールの仕様を正確に記述していない解答も散見された。記載さ れている機能仕様をよく理解して解答してほしい。 設問2 は，標的型攻撃の出口対策として，ファイアウォール及びプロキシサーバでの対策について出題し た。正答率は高かった。 設問3 は，マルウェアの感染拡大を抑制するための内部ネットワークでの対策に関して出題した。実際に運 用されている事例を理解してほしい。 設問4 は，パスワードとハッシュの知識について出題した。正答率は低かった。ソルトの使用による効果に ついては，基本的な知識であり，仕組みを含めて理解してほしい。 標的型攻撃対策では，IPA が2014 年9 月に“「高度標的型攻撃」対策に向けたシステム設計ガイド”を公開 しており，体系的に学習するとともに，実運用にも役立ててほしい。

問1 では，ID 管理システム及び認証システムの設計及び運用上の考慮点に関する知識と対応能力につ いて出題した。全体として正答率は低かった。 設問1 は，認証システム及び利用者ID 管理プロセスに関する問題である。(3)は，正答率が低かった。 各地域のID 管理プロセスを比較した上で，アジア地域におけるID 管理プロセスの問題点を解答してほし かった。 設問2 は，認証システムの方式比較に関する問題である。(1)と(2)は正答率が低かった。エージェント 型と呼ばれる認証システムの方式の一般的な考慮点について理解しておいてほしい。 設問3 は，ID 管理システムの設計に関する問題である。正答率は期待どおりだった。 設問4 は，認証システムとポータルシステムの連携に関する問題である。地域は正答率が期待どおりだ ったが，サーバ名の正答率が低かった。通信シーケンスを理解した上で解答してほしかった。 設問5 は，2 要素認証及びシンクライアントに関する問題である。正答率は低かった。一般的知識であ る，認証の3 要素(記憶，所持，バイオメトリクス情報)，読取り装置を利用した2 要素認証における考慮 点，シンクライアントにおける考慮点について，理解してほしい。 設問6 は，認証システムの統合に関する問題である。(2)は正答率が低かった。SPNEGO プロトコルを利 用した統合認証について，本文中の通信シーケンス並びにPC 及び認証サーバに必要な設定内容を理解し て解答してほしかった。複雑なシステムの設計においては，システムの動的な側面を通信シーケンスとし て図示することによって，設計を検証することがしばしば行われる。セキュリティ技術者もこのような設 計技法を身に付け，セキュリティシステムの設計で実践し，役立ててほしい。

問2 では，SQL インジェクション，セキュリティ診断及びWeb サイトの新しいセキュリティ対策につい て出題した。全体として正答率は高かったが，一部，正答率が非常に低い問題が見受けられた。 設問1 は，SQL インジェクションに関する問題である。(1)と(2)は，正答率が期待よりも低かった。攻 撃を受けた場合に，Web サーバのアクセスログがどのように残るかを理解しておいてほしい。 設問2 は，Web サイトの脆 ぜい 弱性診断に関する問題である。(1)は，正答率が低かった。IPS やWAF が遮断 するのは攻撃文字列を含む通信である。診断時には攻撃文字列と同じ文字列が送られることを理解して， 解答してほしかった。(2)と(3)については，正答率は高かった。 設問3 は，Web サイトの新しいセキュリティ対策に関する知識についての問題である。全体として正答 率は低かった。(1)と(2)は，反射型のXSS とDOM ベースのXSS についての問題であったが，仕組みを正し く理解していない解答が目立った。クリックジャッキングは，数年前から問題視されてきた脆弱性である が，対策を行っているWeb サイトはまだ少ない状況である。これらの脆弱性や攻撃に関する知識を確認し てほしい。