情報セキュリティスペシャリスト試験 平成27年度秋期

問1 では，ソフトウェアの脆 ぜい 弱性への対応について出題した。 設問1 は，情報セキュリティの3 要素とその根拠となる理由を問う問題であったが，3 要素の意味を誤解し ている解答が散見された。情報セキュリティの3 要素は，基本的な知識であり，正確に理解してほしい。 設問2 は，攻撃コードによるアクセスログのファイルをどこに作成するかを表中の字句を用いて解答する問 題であり，正答率は高かった。 設問3(1)は，WAF の設定を攻撃内容から判断して，解答する問題であったが，正答率は低かった。問題文中 の全ての攻撃パターンとWAF のルールを比較することで解答できる問題であったが，完全には防御できない 組合せの解答が散見された。 設問4 は，WAF に関する検証内容を問う問題であったが，正答率は高かった。ただし，WAF ではなく修正 モジュール適用に関する検証内容を解答した例も散見された。問題文をよく読んで解答してほしい。 WAF の理解を手助けする資料として，IPA が“Web Application Firewall 読本”を公開しているので，学習の 参考とともに実運用にも役立ててほしい。

問2 では，特権ID の管理について出題した。 設問1 は，特権ID の管理者について問う問題であったが，正答率は高かった。 設問2(1)は，特権ID の種類によるモニタリングの可否について問う問題であったが，正答率が低かった。 特権ID の利用状況の違いによって，利用者の特定ができない場合があることを理解してほしい。 設問3(1)は，特権ID の利用に関し，委託先に確認すべき事項を問う問題であったが，正答率が低かった。 特権ID を管理するシステムを導入したとしても，不適切な利用を放置すればシステム導入の効果が期待でき ない。システムによる管理に加えて，人的，組織的な管理策が必要であることを理解してほしい。 特権ID の管理は，情報漏えいの防止対策として重要な役割を果たしている。特権ID の管理に関する情報セ キュリティ対策について，理解を深めてほしい。

問3 では，Web サイトでのインシデント対応について出題した。 設問1 は，サーバのOS のログイン履歴を基に侵入された順番を判断する問題であったが，最初に侵入され たサーバを正しく答えられていない解答が見受けられた。WebAP サーバ2 は，サーブレットコンテナから侵入 されているため，OS のログイン履歴には記録が残らないことを理解してほしい。 設問2 は，WebAP サーバ2 のアクセスログを読み解く問題であったが，ベーシック認証の仕組みを正しく理 解できていない解答が見受けられた。ベーシック認証のアクセスログ解析においては，ステータスコードに着 目してほしい。 設問4 は，セキュリティインシデントで発生した一連の攻撃を正しく理解できているか，対策の内容を通じ て問う問題だったが，設問4(b)は正答率が低かった。サーブレットコンテナの管理画面から侵入され，OS の 自動的なログインという仕様を利用して侵入が拡大したというポイントを理解し，それぞれの原因に対する適 切な対策が立案できるようになることを期待したい。

問1 では，近年，標的型攻撃対策としても使われているシンクライアント技術を題材に，セキュリティ対策 について出題した。 設問1 は，設計案における通信経路の特定，マルウェア感染時の動作についての問題である。設問全体の正 答率は高めで，多くの受験者が条件設定を正しく理解していたと思われる。 設問2 は，マルウェア対策として改善すべき点についての問題である。設問2(2)は正答率が低かった。要件 を満たせない理由及び技術的要因を正確に記述できていない解答が多かった。使用する構成要素の仕様を正し く理解し，趣旨を表現する能力を身に付けてほしい。 設問3 は，業務要件の実現及びマルウェア感染の仕組みについての問題である。設問3(1)は正答率が低かっ た。セキュリティ技術者も，業務要件を正確に理解する必要があることを認識してほしい。 設問4 は，パフォーマンス検証及びDMZ におけるセキュリティ対策についての問題である。設問4(1)は正 答率が低かった。セキュリティ対策の設計においては，セキュリティ以外の非機能要件とのバランスをとるこ とも重要であり，設計したセキュリティ対策が，非機能要件を満たすことを検証する能力を身に付けてほし い。 設問5 は，監査の客観性についての問題である。正答率は低かった。客観性は監査における重要な要件であ ることを理解しておいてほしい。

問2 では，活用が広がるクラウドベースのオンラインストレージを題材に，データの適切な管理及び保護に 焦点を当てて出題した。全体として，正答率は低かった。 設問1 は，マルウェア感染の経路とその対策についての問題である。設問1(2)は，正答率が低かった。マル ウェア対策としてどのような措置が必要か，置かれた状況を深く理解し判断する能力を身に付けてほしい。 設問2 は，データの保護に関係する法令についての問題である。設問2(1)の(d)，(e)及び(f)は，正答率が高か った。設問2(2)は，正答率が低かった。技術だけでなく，法令も考慮した上で，効果的なデータ保護を実現で きるようになってほしい。 設問3 は，データの保護に利用される暗号技術についての問題である。設問3(1)，(3)の(i)と(k)，及び(4)の 正答率は高く，ほかは低めであった。暗号は，“AES だから安全”，“鍵が長いから安全”と簡単に決まるもの ではなく，同時に利用される様々な技術に依存して，特性に大きな違いが生まれる。セキュリティ技術者とし て，暗号技術を適切に利用するために，十分な知見を身に付けてほしい。 設問6 は，委託先管理についての問題である。正答率は低かった。重要なデータを委託先に開示する場合に は，守秘義務を含めた契約を委託先と締結するだけでなく，監査によって委託先のデータ管理の実態を把握し 監督するなどの手法が有効である。本文中に示したガイドラインなどを参考に，様々な手法を理解し，実務に 役立てられるようになってほしい。