情報処理安全確保支援士試験 平成30年度春期

問1 では，Use-After-Free脆 ぜい 弱性を題材に，メモリ上の任意のアドレスへの書き込みから攻撃コードが実行さ れる仕組みとその対策方法について出題した。全体として，正答率は低かった。 設問6 は，正答率が低かった。実行コードが置かれることを想定していないメモリ領域であれば，全てデー タ実行防止機能の保護対象にできる。一方，実行コードが置かれることを想定しているメモリ領域は，実行を 防止するわけにはいかないので，通常は保護対象にできないことを理解しておいてほしい。 設問7 は，正答率が低かった。シェルコマンドの実行に使われるsystem 関数について知っておいてほしい。 設問8 は，正答率が低かった。メモリアドレスを特定するためには，何らかの手段でメモリアドレスを出力 させる必要がある。メンバ関数一つ一つについて，メモリの内容を出力させられるかどうかを読み取れていれ ば，解答できる問題であった。

問2 では，サーバの情報セキュリティ対策強化を題材に，サーバ及びファイアウォールの設定，並びに運用 業務用PC のセキュリティ対策強化について出題した。全体として，正答率は低かった。 設問1(1)は，正答率が低かった。T 社におけるインターネットへのメール転送経路を理解した上で解答して ほしかった。迷惑メール対策において，SPF（Sender Policy Framework）は重要であるので，よく理解してお いてほしい。 設問2(2)は，図3 に示した通信がプロキシサーバから外部メールサーバへのSMTP 通信であることを理解し ていない解答が散見された。インターネットとの通信でよく使用されるポート番号は，知っておいてほしい。 設問3(2)は，正答率が低かった。運用業務用PC であっても，脆 ぜい 弱性修正プログラムの適用やマルウェア定 義ファイルの更新のためには，インターネット上の各ベンダのサイトとの通信が必要となることを理解してお いてほしい。

問3 では，ネットワーク分離の設計について出題した。 設問1 は，全体的に正答率が高かった。リスクアセスメントのプロセスについて，一定の理解がされている ことがうかがわれる。 設問3 は，全体的に正答率が高かったが，i では“研究開発PC はマルウェアに感染しないから”という解答 が一部に見られた。分離されたネットワークであっても，マルウェア感染は起き得ることを前提にセキュリテ ィ対策を検討する必要があることを理解しておいてほしい。 設問4 は，正答率が低かった。マルウェアが既にパスワードを窃取していることを読み取れていない，“再 度パスワードを入力する”という解答が散見された。秘密情報を窃取するマルウェアは実際に存在するので， その仕組みを理解した上で対策を検討してほしい。

問1 では，セキュリティ対策の評価について出題した。全体として，正答率は高かった。 設問1(1)，(2)は，DOM-based XSS に関する設問であったが，反射型XSS について言及した解答が散見され た。DOM-based XSS が引き起こされる原理についてよく理解しておいてほしい。また，設問1(3)は，正答率が 低かった。HttpOnly 属性はCookie の値を不正に操作されることを防ぐために有効なので，よく理解しておい てほしい。 設問3 は，全体的に正答率が高かった。本文中に示したデータベースサーバの移設に伴うリスクについて， 正しく理解できていることがうかがわれた。 設問4 は，全体的に正答率が高かった。設問4(1)では，コンテナ方式だけに該当する確認事項について問う たが，DRM（Digital Rights Management）方式とコンテナ方式の両方に該当してしまう確認事項についての解 答が一部に見受けられた。本文をよく読み，解答してほしかった。

問2 では，Web サイトのセキュリティガイドラインの整備やセキュリティ診断の内製化を題材に，脆 ぜい 弱性に 関する知識，管理方法及び検出方法について出題した。 設問1(1)，(3)は，正答率が低かった。HTTP メソッドとWeb サーバのアクセスログの関係は攻撃の監視・ 分析において，SSH の認証方式はシステム運用管理において，それぞれ必要となる知識であるので，よく理解 しておいてほしい。 設問2 は，正答率が高かった。脆弱性管理にはソフトウェア構成管理が必要なことについて，受験者の理解 が進んでいることがうかがわれる。 設問4(1)g は，DB に登録されていた全件数である100 件という解答が散見された。SQL インジェクション が存在する場合にどのようなSQL 文が実行されるかを考えて，解答してほしかった。 設問4(4)k，l は，正答率が低かった。アクセス制御や認可制御の診断方法について，よく理解しておいてほ しい。