情報処理安全確保支援士試験 平成29年度春期

問1 では，ARP ポイズニングを題材に，通信の盗聴とその対策方法について出題した。 設問1(1)はa がb，c と比較して正答率が低かった。他セグメントとの通信を盗聴される場合，ゲートウェイ との間の通信が攻撃者に中継されてしまうことを理解し，ARP の仕組みを理解していれば正答できる問題であ った。ARP テーブルがどのように改ざんされると盗聴が成立するのか，理解しておいてほしい。 設問2 は正答率が低かった。中間者攻撃によって，通信を経路の途中で一度復号し，再度暗号化するという 形で中継されると，暗号化通信を利用していても通信内容を盗聴され得る。そのような攻撃を防ぐためには， サーバ証明書検証などの手段で通信相手の真正性を確認する必要があることを理解しておいてほしい。 設問3(1)は正答率が高かった。ネットワークセグメントを分離したことによって，対象通信がPC セグメン トを通過しなくなり，盗聴を防げるようになることが良く理解されているようであった。

問2 では，Web サイトにおける脆 ぜい 弱性を題材に，脆弱性に関する知識とその対策方法について出題した。全 体として正答率は低かった。 設問1 は，正答率が低かった。ログイン記録が取得する情報から何をL 氏に確認すればよいかが分かれば正 答できる問題であった。不正ログインされていないことを結論づけるために，何と何の値が一致していること が確認できればよいかを本文中から読み取ってほしかった。 設問2(3)d は，パスワード変更画面で現在のパスワードを入力させることがなぜCSRF（クロスサイトリク エストフォージェリ）の対策になるかを理解していれば正答できる問題であった。CSRF の対策についてよく 理解しておいてほしい。 設問3(3)は，正答率が低かった。利用者が一部のHTML の要素の入力を許可されているという仕様を考慮 した対策を期待したが，エスケープ処理を行うなどの一般的なXSS（クロスサイトスクリプティング）の対策 を解答した受験者が多かった。アプリケーションソフトウェアの仕様によっては，一般的な対策が必ずしも適 切な対策とはならないことを理解しておいてほしい。

問3 では，クラウドサービスに対する認証連携を題材に，SAML を用いた認証連携と，その仕組みを利用し たアクセス制御の方法について出題した。全体として正答率は高かった。 設問1 は正答率が高かった。クラウドサービス側に記録されるログイン記録について，よく理解されている ようであった。 設問2 は全体的に正答率が高かった。ただし，設問2(5)については，IdP とSP が直接通信できない点を考慮 していない解答が散見された。SAML ではIdP とSP 間での認証情報の連携方式が複数存在し，本文中に記載 した通信内容は一例である。今回の方式だけでなく，SAML の認証連携の仕組みを広く理解しておいてほし い。 設問3 は正答率が低かった。特に交通費精算サービスへのログインに失敗する理由については，IdP と LDAP サーバの役割を混同した解答が一部に見られた。SAML における各主体の役割を理解しておいてほし い。

問1 では，マルウェアの解析について出題した。 設問2 は，正答率が低かった。HTTPS のセッション開始時の仕組みが理解できていれば正答が導き出せる問 題である。HTTPS は通信の安全の確保のため重要な技術であるので，確実に理解しておいてほしい。 設問3 は，正答率が低かった。攻撃者は，マルウェアの発見を遅らせるために様々な技法を用いている。マ ルウェアの技術動向について学習を進めてほしい。 設問4 及び設問5 は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手 順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めて ほしい。

問2 では，社内システムの情報セキュリティ対策強化を題材に，ネットワークセキュリティ及びマルウェア 対策に関する設計と運用について出題した。 設問1(1)は，正答率が低かった。セキュリティに関するプロトコルについて，名称だけでなく，その仕組み について理解を深めてほしい。 設問1(3)は，正答率が高かった。電子メールのオープンリレー対策について，受験者の知識が高いことがう かがわれる。 設問2(2)h は，正答率が低かった。電子メールによる情報漏えいが疑われる場合，関連するメールサーバの ログの調査が重要であることを理解して解答してほしかった。 設問5 は，IDS の導入について述べている解答が散見された。IDS には，不審な通信を検知する機能はある が，IPS とは異なり，不審な通信を遮断する機能はない。IDS とIPS の機能の違いを理解してほしい。