情報セキュリティスペシャリスト試験 平成28年度春期

問1 では，懸賞システムの開発を題材に，XSS（クロスサイトスクリプティング）脆 ぜい 弱性及びCSRF（クロ スサイトリクエストフォージェリ）脆弱性に関する知識と対策方法について出題した。全体として正答率は低 かった。 設問1(4)は，正答率が低かった。図7 の攻撃用HTML ではフレームを使用しているものの，反射型XSS 脆 弱性の典型的な攻撃パターンについて理解していれば正答できる問題であった。基本的なXSS 脆弱性の原理に ついてよく理解しておいてほしい。 設問3(1)は，正答率が低かった。攻撃者の視点から，ページ遷移に基づく解答を期待したが，Web ブラウザ の設定によるスクリプトの無効化に関する解答をした受験者が多かった。

問2 では，DMZ 上の機器のセキュリティ設定の点検を題材に，システム管理者に必要となるネットワーク セキュリティに関する設計及び運用の知識について出題した。全体として正答率は低かった。 設問1b は，正答率が低かった。標的型攻撃の多くは偽装した電子メールから開始される。電子メールを悪 用した攻撃手法とそれに対する対策について理解を深めてほしい。 設問3(1)は，正答率が低かった。DNS 名前解決通信ではUDP が使われている。UDP の仕組みも理解した上 で，DNS サーバのセキュリティ設定を行ってほしい。 設問4 変更内容では，エンベロープとメールヘッダの違いを理解していない解答が散見された。SMTP の仕 組み及び電子メールの構造は，偽装した電子メールへの対策を行う上で基本となるので，よく理解しておいて ほしい。

問3 では，スマートフォンアプリケーションの試験を題材に，サーバ証明書の検証不備に焦点を当て，検証 機能を確認するための試験方法及び試験環境，並びにサーバ証明書の検証不備を用いた中間者攻撃の基礎的な 知識及び攻撃環境について出題した。全体として正答率は高かった。 設問1 は，全体的に正答率は高かったが，(1)と(2)については，S システムの構成とサーバ証明書の検証試験 環境の対応を理解していない解答が散見された。 設問2 は，(1)e と(2)の正答率が低かった。(1)e については，中間者攻撃が成功するサーバ証明書として，プ ライベート認証局で発行されたサーバ証明書だけを選んだ解答が散見された。サーバ証明書の検証不備の状況 によっては，商用認証局が発行したサーバ証明書でも中間者攻撃が成功することを理解しておいてほしい。(2) については，無線LAN アクセスポイントへの接続の仕組みを理解していない解答が散見された。

問1 では，CSIRT 構築とセキュリティ設計について出題した。 設問3 は，正答率が低かった。(1)は，運用管理セグメントを新設すれば防げるが，現状の構成では防げない 具体的な攻撃のシナリオを問うたが，攻撃のシナリオが不明確なままOA 用PC がマルウェアに感染するとい う状況だけを説明した解答や，運用管理セグメントを新設しても防げない攻撃のシナリオについての解答が散 見された。(2)は，リバースブルートフォース攻撃の検知方法を問うたが，A 社のLDAP サーバの運用管理への 考慮がない解答や，単にリバースブルートフォース攻撃を説明した解答が散見された。 設問6 は，正答率が高かった。ファイアウォールに関する脆 ぜい 弱性をA 社のケースについて評価する設問であ ったが，CVSS についてよく理解されているようであった。

問2 では，モバイル端末のマルウェア感染を題材に，セキュリティインシデント発生時の対応について出題 した。全体として正答率は高かった。 設問1(1)は，正答率が低かった。C&C サーバが，HTTP リクエストヘッダのUser-Agent に応じてHTTP ス テータスコードを変化させていることを，表3 と本文から読み取ってほしかった。攻撃の仕組みを理解するた めにも，HTTP についてはよく理解しておいてほしい。 設問2 及び設問3(1)b は，正答率が低かった。マルウェアをダウンロードさせ実行させる攻撃方法，及び不 正なコードを実行するための攻撃方法を理解しておいてほしい。 設問5(4)は，VDI からクラウドサービスにアクセスする方式をよく理解していない解答が散見された。