情報処理安全確保支援士試験 平成30年度秋期

問1 では，ソフトウェア開発の現場で採用されている，メモリ破壊攻撃に対する対策技術について出題し た。 設問1 は，メモリ破壊攻撃自体の仕組みについて問う問題であった。これは，バッファオーバーフローなど のメモリ破壊攻撃についての動作の概要を問う問題である。基本については理解されているようだったが，(2) と(3)についての正答率は低かった。受験者は，メモリ破壊攻撃の具体的な動きについての理解を確認された い。 設問2 は，メモリ破壊攻撃に対する対策技術についての問題であった。本文中の説明を理解すれば解ける問 題であったので，正答率は高かった。 設問3 は，メモリ破壊攻撃に対する対策技術の制約についての問題であった。おおむね正答率は低かった。 (1)はAutomatic Fortification の仕組みを理解した上で，Automatic Fortification が対処できない箇所をソースコー ドから見つける問題であった。なぜ対処できないのかの理由を正しく理解していない解答が多かった。(2)は， SSP はコンパイラに依存するので，脆 ぜい 弱性があるコードにSSP が適用されない場合，脆弱性が防げないことに 気付いてほしかった。

問2 では，セキュリティインシデント対応について出題した。 設問1 は，ミラーポートを使ったネットワークのパケット取得について問う問題であった。正答率は高かっ たが，STIX を答える問題については，正答率が低かった。 設問2(2)は，本問で扱ったワームのスキャンの特徴の場合，IP アドレス別件数の上位に登場しない理由を問 う問題であった。(a)のスキャンの場合，感染したPC と同一セグメントの範囲をスキャンするため，ネットワ ークの構成上，NSM ではパケットを取得できないということを正しく理解していない解答が多かった。 設問4(2)は，有線LAN のL2SW に接続されたPC 同士のワーム感染を防ぐ対策について問う問題であった が，正答率は低かった。L2SW に接続されたPC 同士が直接通信を行うというワームの特性を踏まえて，VLAN によるセグメントの分離といったネットワークのレイヤでの対策が立案できるようになることを期待したい。

問3 では，ソフトウェアの脆 ぜい 弱性対策について出題した。全体として，正答率は高かった。 設問2 は，基本評価基準，現状評価基準，環境評価基準の三つの基準で脆弱性の深刻さを評価するCVSS の 名称を問う問題であったが，正答率は低かった。基礎的な知識であり，正確に覚えてほしい。 設問3 は，セキュリティインシデント発生後の被害拡大防止のために必要な措置を問う問題であったが，正 答率は高かった。 設問4 は，攻撃が拡散したかを調査する方法を問う問題であったが，正答率は高かった。ただし，攻撃内容 とかけ離れた解答も散見された。攻撃内容から，何を調査すべきかをよく見極めて解答してほしい。 設問5 は，WAF に関する対策を問う問題であったが，(3)は正答率が低かった。クラウド型WAF サービスを 使用する上での留意点をよく理解してほしかった。WAF の理解を手助けする資料として，IPA が“Web Application Firewall 読本”を公開しているので，学習の参考にしてほしい。

問1 では，クラウド環境におけるセキュリティ対策について出題した。全体として，正答率は高かった。実 務的な設問が多かったため，実務経験者にとっては解きやすい問題だったと思われる。 設問1 は，正答率が低かった。欧州だけでなく，日本における個人情報保護にも影響を与える規則であるの で，知識として知っておいてほしい。 設問2(2)は，正答率は高かったが，要件や仕様を言葉で正確に表現できていない解答が多く見受けられた。 文書において，要件や仕様を言葉で正確に表現する能力を身につけてほしい。 設問4(2)は，正答率が低かった。この設問においても，不都合の内容を言葉で正確に表現できていない解答 が多く見受けられた。文書において，言葉で正確に表現する能力を身につけてほしい。 設問4(3)は，正答率が低かった。運用管理ツールの効果を正しく理解し，ツールを有効に活用する能力を身 につけてほしい。

問2 では，セキュリティインシデント（以下，インシデントという）対応の準備とインシデントの調査活動 について出題した。 設問2(2)i は，正答率が低かった。インシデント発覚時には，様々な機器が出力したログを見比べて，経緯 などを調査する必要が生じる。各ログに記録された時刻が正しいこと，及び，時刻のタイムゾーンが同じであ ることが重要である。ログ間でタイムゾーンが異なると，認識違いによって，調査が難航する場合がある。 設問3(2)及び(3)は，正答率が低かった。社内に侵入した遠隔操作機能をもつマルウェアは，攻撃者が準備し たC&C サーバと通信して攻撃者の指示を受け取り，これに従って動作する場合が多い。この動作を正しく理 解しておくことは，侵入の検知や被害の未然防止のために重要である。マルウェアが検知されたPC をネット ワークから即座に切り離すことには長所と短所がある。これを正しく理解した上で，マルウェア検知時の初動 活動を設計してほしい。