情報セキュリティスペシャリスト試験 平成26年度春期

問1 では，プログラム作成プロセスでの脆 ぜい 弱性の排除について出題した。全体として正答率が低く，理解が 不足しているようであった。 設問1 は，全体として正答率が高かった。Web アプリケーションにおけるクライアントサイドスクリプトの 役割とセキュリティ上の限界については，脆弱性を排除するために確実に理解しておく必要がある。 設問2 は，全体として正答率が低かった。設問2(2)において，単にファイルサイズに着目した解答が多かっ たが，攻撃用にヘッダ部を改ざんするなどの特別な作り込みがされたファイルについても考慮することが必要 である。 設問3 は，全体として正答率が低かった。設問に挙げた不等式において，左辺及び右辺それぞれの演算で整 数オーバフローが発生する可能性についての考慮が不足した解答が目立った。

問2 では，電子メールの情報セキュリティ対策について出題した。全体として正答率は低かった。 設問1(2)は，正答率が低かった。電子メールにおけるなりすましを拒否してもらうために，SPF(Sender Policy Framework)レコードの設定方法を是非知っておいてほしい。 設問3(1)は，正答率が高かった。“MX レコードの設定を変更する”というように，IP アドレスとは関係ない 設定について述べた解答が散見された。IP アドレスWL が，IP アドレスをマッチングに使うことについて注意 して解答してほしい。 設問3(2)は，正答率が低かった。“送信元のIP アドレスを詐称したパケットを送り込む”といった解答が目 立った。しかし，SMTP はTCP 上で動作しているので，事実上，IP アドレスを詐称することはできないことを 理解してほしい。 現在のメールシステムは，標的型攻撃の入口対策として重要な役割を果たしている。電子メールに関する情 報セキュリティ対策について，理解を深めてほしい。

問3 では，マルウェアへのセキュリティ対策について出題した。 設問1(2)は，正答率が高かった。法人利用者がクライアント証明書による端末認証を実施していることか ら，利用者ID とパスワードだけでは，X ネットサービスを利用できないことが，正しく理解されているようで あった。しかし，乱数表を使用していないことに言及する解答も多く，設問の趣旨を捉えていない受験者も散 見された。落ち着いて問題文を読んで解答してほしい。 設問3(3)は，正答率が低かった。特に“入力値の改ざん”ではなく，“HMAC 値の改ざん”と誤って解答して いる受験者が多く，送金内容認証及びHMAC の仕組みについて正しく理解されていないようであった。マルウ ェアの攻撃手法について正しく理解してほしい。

問1 では，PCI DSS が求める要件に関するセキュリティ対策について出題した。全体として正答率は高かっ た。 設問2 は，全体として正答率が高かった。本文や表，図に記載された細かい条件についても，よく理解され ているようであった。 設問3(1)は，正答率が低かった。ワイヤレスアクセスポイントの管理に関する設問であったが， L 社の外 のワイヤレスアクセスポイントへの接続について誤って解答する受験者が多かった。本設問は，図4 の要件 11.1 が前提にあり，適用範囲内に承認されていないワイヤレスアクセスポイントがないことを確認することが ポイントである。したがって，適用範囲内の承認されていないワイヤレスアクセスポイントに関する“セキュ リティ上の問題につながる事象”を解答する必要がある。 設問4 は，正答率が高かった。おおむね本文全体を通してのL 社の課題を把握し，対策方法を適切に理解し ているようであった。

問2 では，インターネット接続システムの情報セキュリティ対策について出題した。 設問1(1)は，正答率が高かった。Web サーバへの不正侵入時の調査方法に関して受験者の理解度が高かった ことがうかがえる。 設問3(1)不都合の内容は，正答率が低かった。EV SSL 証明書によるWeb サーバ利用者の利点を是非理解し てほしい。 設問5(1)は，正答率が低かった。何らかの方法で事前に入手した利用者ID とパスワードのリストを流用し たパスワードリスト攻撃と呼ばれる攻撃が増えている現状を考慮すると，利用者ID とパスワードによる認証 には限界がある。強度の高い認証方法について理解してほしい。 設問5(3)，(4)は正答率が低かった。ウイルス感染による情報漏えいを防ぐためには，PC に感染したウイル スが通信を行うことを考慮した出口対策が重要であることを理解してほしい。