情報セキュリティスペシャリスト試験 平成27年度春期

問1 では，脆 ぜい 弱性検査の技能試験を題材に，Web サイトの脆弱性と対策について出題した。HTTP ヘッダイン ジェクションやセッションフィクセーションの脆弱性について，ある程度の知識が必要であったためか，全体 として正答率は低かった。 設問2(1)と(3)は，正答率が低かった。(1)は改行コードを二つ続けるHTTP ヘッダインジェクション攻撃に 関する問題であったが，攻撃の仕組みを理解していないと思われる解答が多かった。(3)は改行コードの処理 に関して，具体的な対策内容を期待したが，そのような解答は少なかった。 設問3 は，正答率が高かった。セッションフィクセーションの脆弱性や対策については，よく理解されてい るようであった。ただし，(1)のような少し実践的な問題については，正答率が低かった。

問2 では，運用担当者のPC へのマルウェア感染を題材に，侵入経路及び被害の調査から暫定対策実施まで の情報セキュリティインシデント対応について出題した。全体として正答率は低かった。 設問2 は，(1)，(2)共に正答率が低かった。ネットワーク構成を理解し，侵入及び漏えいの経路をあらかじ め想定しておくことは，インシデント対応だけでなくセキュリティ対策を考える上で重要である。ネットワー ク上及びPC 上でのマルウェアと侵入者の動きを具体的にイメージできるよう，ネットワーク及びコンピュー タの動作原理並びにそれらに対する攻撃手法への理解を深めてほしい。 設問3(2）は，正答率が低かった。不正アクセスされる可能性はあるが，不正操作が行われた形跡はないサ ーバにおける，サービス停止が業務に大きく影響する場合の対策を問う問題であったが，サービス停止を伴う 対策，又は実施までに時間が掛かる対策が解答として散見された。インシデント対応では，業務影響を抑えな がら速やかに被害の拡大を食い止める対策を立案・実施することが重要であることを理解してほしい。

問3 では，Web サイトに対するパスワード攻撃について出題した。全体として正答率は高かった。 設問1 は正答率が低かった。ハッシュ化だけが施されたパスワードファイルに対する具体的な攻撃方法を問 う問題であったが，ソルトなどの対策やレインボーテーブルを用いた攻撃が成功しない理由などを述べる解答 が多かった。一般的な知見で解答するのではなく，本文に記載された事例に即して解答してほしかった。 設問2(2)と(3)は，正答率が高かった。パスワード攻撃の検知について問う問題であったが，パスワード攻 撃手法ごとの特徴や，その検知方法ついて，よく理解されているようであった。 設問4 は正答率が高かった。パスワードリスト攻撃の具体的な方法を問う問題であったが，Web サイトに対 するパスワード攻撃は，マスコミに取り上げられることも多かったので，理解が進んでいると思われる。

問1 では，連休明けの標的型攻撃によるウイルス感染を題材にして，ウイルス対策について出題した。 設問1(2)のb は，正答率が低かった。オープリゾルバを踏み台にする攻撃事例もあるので，DNS の仕組みと 設定をよく理解しておいてほしい。 設問1(2)のc は，正答率が低かった。不正中継防止を確実に行うために，SMTP の仕組みをよく理解してお いてほしい。 設問4(2)は，正答率が低かった。パターンマッチングの方式を誤った解答が目立った。パターンマッチング は，URL フィルタリングだけでなく，ログ分析でも使用される。パターンマッチングについて学習しておいて ほしい。 設問4(3)は，ウイルス感染が同報メールによるものであることを理解していない解答が散見された。同報メ ールによってウイルス感染が発生した場合の，調査及び対処の範囲を理解しておいてほしい。

問2 では，マルウェアの感染方法を想定した上で，LAN の分離，他の組織と接続したネットワークの構築に ついて出題した。全体として，正答率は高かった。 設問1 及び設問3 は，LAN を分離した上で安全にデータを送受信する仕組みについて出題した。このような 仕組みの設計に当たっては，脅威を洗い出した上で，それらの脅威に直面した場合に情報資産を守れるのかを 検討する必要がある。セキュリティ技術者として，日々現れる新しい脅威について理解するとともに，各種の 対策が脅威に対して有効かどうか評価する能力を身につけてほしい。 設問4 は，Web サーバへアクセスする端末の認証に関する問題である。(2)は，PKI の基本とも言える内容で ある。また，(3)及び(4)では，証明書の有効性検証では，端末がもっている秘密鍵（鍵ペア）の正当性を検証 していることを理解していない解答が目立った。これらを理解できていなければ，PKI を応用したシステムを 設計することができないので，確実に理解してほしい。