情報処理安全確保支援士試験 令和3年度春期

問1 では，認証システムの開発を題材に，OAuth を用いたソーシャルログインシステムの実装，及びそのセ キュリティについて出題した。全体として正答率は平均的であった。 設問1(2)は，正答率が平均的であった。認証を行うSNS と連携する場合における可用性の観点での欠点を問 うたが，SNS と連携しない場合にも該当する欠点について記述した解答が散見された。題意をよく読んで解答 してほしい。 設問1(3)は，正答率が低かった。OAuth がどのように使われているかを問うたが，仕組みを理解していない 解答が多かった。OAuth のプロトコルをよく理解しておくとともに，図のシーケンスから仕組みを正確に読み 取ることにも注力してほしい。 設問2(2)は，正答率が低かった。攻撃者が用意したアカウントに利用者が導かれてしまうことを問うたが， 利用者のアカウントによって行われると記述した解答が多かった。セキュリティ対策においては攻撃の手口を 理解することが必要になるので，シラバスにあるような攻撃の手口を学習してほしい。

問2 では，ネットワークのセキュリティ対策を題材に，DNS のセキュリティ対策について出題した。全体と して正答率は平均的であった。 設問1(4)は，正答率が低かった。DNS に対する攻撃の仕組みやDNS の仕組みをよく理解してほしい。 設問1(7)は，正答率が低かった。DNS 通信を暗号化するDNS over TLS は，DNS のセキュリティ対策にとっ て重要な技術の一つである。この仕組みを学習してほしい。 設問2(1)は，正答率がやや高かった。DNS サーバをホスティングサービス上に新設した後のシステム構成に ついて正しく理解した上で解答できていたと思われる。 設問2(3)は，正答率がやや高かったが，j ～ m 全てが正答となる解答は少なかった。ゾーン転送要求に対す る許可を必要最小限にするためには，どのようなアクセス制御にすればよいかを，ゾーン情報の流れを理解し た上で考えるようにしてほしい。

問3 では，セキュリティ運用を題材に，脆 ぜい 弱性修正プログラムの，組織に適した配信手順及び関連知識につ いて出題した。全体として正答率は平均的であった。 設問1 は，正答率がやや高かった。脆弱性修正プログラムを組織内に展開する前にすべきことを正しく理解 していたと思われる。 設問3(3)は，正答率が低かった。WoL の制限事項とその制限に対する解決方法について正しく導き出せてい ない解答が多かった。セキュリティ対策を講じる中でシステムやネットワークの構成による制限に直面した場 合，その制限を解決するためには，要因となる仕組みを理解しておく必要がある。WoL の仕組みを理解すると ともに，その仕組みに起因する制限事項についても理解を深めてほしい。 設問4(2)は，正答率がやや低かった。EDR に着目した解答は多かったが，EDR を利用した上で，どのように して対策を実現するかを記述した解答は少なかった。セキュリティ運用では，導入済のシステムを最大限に活 用することが重要である。EDR など，主要なセキュリティ製品の活用方法を理解してほしい。

問1 では，インシデント対応体制の整備を題材に，情報セキュリティを構築し維持するための技術について 出題した。全体として正答率は平均的であった。 設問1(1)は，正答率が低かった。パスワードリスト攻撃の知識を問うたが，総当たり攻撃（ブルートフォー ス攻撃）やパスワードスプレー攻撃と区別ができていない解答が多かった。パスワードに対する各種攻撃がど のような攻撃なのか，是非知ってもらいたい。 設問3 は，正答率が高かった。インシデント対応の体制やライフサイクルについて，よく理解していたと思 われる。 設問4 は，(1)の正答率が低かった。攻撃に悪用されたIP アドレスを特定することは，効率的な追加調査や， 脅威インテリジェンスについて外部と連携するためにも重要である。また，(3)と(5)の正答率がやや低かった。 “/etc/hosts.allow”ファイルの設定やファイアウォールによる接続元制限は，よく使われる対策方法なので， よく理解してほしい。 設問5 は，正答率が平均的であった。脆 ぜい 弱性管理は，サイバー公衆衛生とも呼ばれる基本的対策の一つであ る。脆弱性の評価の仕方をよく理解し，効果的かつ妥当な脆弱性管理を実現してほしい。

問2 では，クラウドセキュリティを題材に，クラウドサービス利用をIT 統制していく上で必要な技術につい て出題した。全体として正答率は平均的であった。 設問1(3)は，正答率が平均的であった。不正なDHCP サーバの検出方法を問うたが，不正な無線LAN アク セスポイントの検出方法と混同している解答が散見された。設問文をよく読んで解答してほしい。また， DHCP の仕組みを理解していない解答も散見された。インシデントを分析する上で必要となる基本的なネット ワーク技術を身に付けてほしい。 設問2 は，正答率がやや低かった。情報漏えいがあった場合の最大の被害を想定する必要があったが，題意 に沿わない解答が多かった。対象となるサービスの仕様と，本文中に明示してあるトラブルについての状況を よく読んで解答してほしい。 設問3(2)は，正答率がやや低かった。IEEE 802.1X のシーケンスについて，DHCP サーバからIP アドレスを 割り当てられるタイミングを問うたが，基本的なシーケンスの理解ができていない解答が多かった。主なネッ トワークプロトコルは概要を理解してほしい。 設問6(1)は，正答率が低かった。個人所有機器の利用を禁止するために，秘密鍵を，会社が管理するPC か らコピーできないようにする必要があるが，パスワードによる利用者認証など，効果のない解答が多かった。 本文中に明示してある要件を正しく理解した上で，その要件を実現する方法を導いてほしい。