情報セキュリティスペシャリスト試験 平成28年度秋期

問1 では，組込み機器を利用したシステムのセキュリティ対策について出題した。 設問2(2)は，パスワード強度に依存しないSSH のログイン認証方式について問う問題である。正答率は低か った。辞書攻撃への対策には，公開鍵認証を有効にすることに加えて，パスワード認証を無効化する設定が必 要であるということを理解してほしい。 設問3(2)は，SSH のホスト鍵が組込み機器の同一モデルで全て同じである場合に，同じホスト鍵を使ってど のような攻撃が行われるかについて問う問題である。ホスト鍵は，SSH サーバの真正性を担保するものである が，その目的を理解していない解答が多く見受けられた。同一のホスト鍵が使われた場合，SSH サーバのなり すましに気付くことができないので，中間者攻撃による通信内容の盗聴や改ざんが行われてしまうということ を理解してほしい。 設問3(4)は，イメージファイルを復号するための鍵を，攻撃者がどのように入手するかについて問う問題で ある。平文の状態の鍵を探すといった攻撃側の視点を踏まえて対策が立案できるようになることを期待した い。

問2 では，ソフトウェアの脆 ぜい 弱性，特に，バッファオーバフロー（以下，BOF という）脆弱性の対策につい て出題した。 設問2(1)は，C / C++での関数呼出し時のスタックの状況に関する問題である。正答率は低かった。いわゆ る攻撃ベクタの一つなので，基本的な知識として確認をしてほしい。 設問3(3)は，ヒープベースBOF 脆弱性を悪用する攻撃を引き起こすコードの改修に関する問題である。正 答率は低かった。この問題では，プログラムの引数は仕様でサイズの上限が定義されており，この上限を利用 することによってオーバフローを防ぐ。受験者には，この観点で正しい改修に気が付いてほしかった。 設問4 は，いずれも，BOF 脆弱性を悪用する攻撃とその対策技術の有効範囲を問う問題である。正答率は低 かった。今回のヒープベースBOF 脆弱性を悪用する攻撃は，常に成功するものではなく，このケースではOS に依存することを問うている。データ実行防止機能は，スタックベースBOF 脆弱性の対策技術であり，ヒー プベースBOF 脆弱性には効果がない。セキュリティ技術者としては，これらの知識は身に付けておいてほし い。

問3 では，プロキシサーバを用いたマルウェア対策について出題した。 設問3(1)は，プロキシサーバのログに関する問題である。正答率は低かった。ログから送信元PC を特定で きない理由について，他者に誤解なく伝わるように，必要な情報を正確に記述してほしかった。 設問3(2)は，プロキシサーバが処理するHTTP ヘッダに関する問題である。正答率は低かった。広く使われ ているHTTP プロトコルについての知識を深めてほしい。 設問4(1)は，プロキシサーバの認証機能を通過する最新のマルウェアに関する問題である。正答率は低かっ た。認証機能を通過する仕組みについて，他者に誤解なく伝わるように，必要な情報を正確に記述してほしか った。

問1 では，暗号技術及び認証技術と，IC カードを利用した利用者認証システムの設計について出題した。 設問1 は，基礎的な暗号技術及び認証技術について問う問題である。正答率は高かった。 設問2 は，IC カードとPKI を用いた利用者認証システムの運用設計について問う問題である。設問2(3)“改 善すべき不備”の問いについての正答率は低かった。PKI を利用した利用者認証システムにおいて，利用者証 明書の失効情報が遅滞なく開示されることは重要である。このことを再度確認してほしい。 設問3 は，サーバ証明書の検証について問う問題である。正答率は低かった。サーバ証明書及びTLS は，現 時点において不可欠な基盤技術である。本設問で採り上げた事項も含め，サーバ証明書関係技術の特徴及び限 界について理解を深めてほしい。 設問4 は，IC カードを利用した利用者認証システムの設計及び効果について問う問題である。正答率は低か った。各種セキュリティ技術の特徴及び限界をよく理解し，条件・状況に照らして最適なセキュリティ技術及 び適用方法を選び，最適なシステムを構築及び運用を設計できる人材になるように努めてほしい。

問2 では，bash の脆 ぜい 弱性と，技術面と運用面における脆弱性対策の立案について出題した。 設問1 は，脆弱性対応の基本的な考え方について問う問題である。正答率は高かった。 設問2 は，bash の脆弱性に関する問題である。設問2(4)のフィールド値として指定される文字列の問いにつ いての正答率は低かった。脆弱性を理解する上で，どのようなコマンドがその要因となるかを把握することは 重要である。コマンドを読み取る能力を深めてほしい。 設問3 は，WAF による脆弱性対策について問う問題である。設問3(3)のクラウド型WAF の導入方法の問い についての正答率は低かった。外部のセキュリティサービスを利用する場合の設定は基本的な知識であるた め，よく理解してほしい。 設問4 は，脆弱性を悪用した攻撃手法について問う問題である。正答率は低かった。Web サーバに関する技 術的な知識を深めるとともに，状況設定を勘案した上で，脆弱性を悪用することによってどのような攻撃手法 が可能となるかを推測する能力を深めてほしい。 設問5 は，運用面を考慮した脆弱性対策について問う問題である。適切な脆弱性対策を維持していくために は，運用面の配慮が不可欠となる。実現可能な対策を立案できる人材になるように努めてほしい。