情報処理安全確保支援士試験 令和4年度春期

問1 では，情報共有用のWeb システムの開発を題材に，システム開発における脆 ぜい 弱性の分析と対策方法につ いて出題した。全体として正答率は平均的であった。 設問1(1)は，正答率がやや低かった。ウのHTML 改行タグの解答が多かった。HTTP とHTML の理解が不 十分である結果と想定される。 設問2(3)は，正答率がやや低かった。Statement でもSQL の実装は可能であるが，本文に示されているプレ ースホルダの実装にはStatement を継承したPreparedStatement が必要である。脆弱性対策手法については，理 論や用語だけではなく，その具体的な方法を理解してほしい。 設問3 は，正答率がやや低かった。SQL の構文が誤っている解答が見受けられた。データベースのアクセス 制御の設計，実装及びレビューを行うために，SQL の構文やE-R 図の表記法を知っておいてほしい。

問2 では，IoT 機器の製品を題材に，セキュリティインシデント対応と脆 ぜい 弱性対策について出題した。全体 として正答率は平均的であった。 設問2(3)は，正答率が平均的であった。本文に示した認証なしでアクセスできるURL では除外リストとの比 較に漏れがないように，URL デコードを行った上で，“ ../ ”などを含んだパス名を正規化してから，除外リ ストとの比較を行う必要があることを理解してほしい。 設問3(2)は，正答率が平均的であった。ファームウェアのアップデート時にアーカイブファイルを展開する ために使っているtar コマンドが，製品X では不要なオプションも使える設定であり，本設問は，そのような オプションの悪用を防ぐ対策を問うているので，sudo の設定でオプションの使用を制限するなど，具体的に解 答してほしい。 設問4 は，正答率が低かった。インターネット上でIoT 機器を検出する方法と，それを抑止する方法を知っ ておいてほしい。

問3 では，スマートフォン向けQR コード決済サービスを題材に，決済サービスで不正利用が発生するリス クとその対策について出題した。全体として正答率は平均的であった。 設問2(4)は，正答率が低かった。公開鍵暗号の仕組みにおいて，電子証明書の有効性を確認する方法が必要 となるが，このことを理解していないと思われる解答が多かった。公的個人認証サービスでは，地方公共団体 情報システム機構（J-LIS）がOCSP による方法とCRL による方法を提供している。これらの方法について知 っておいてほしい。 設問2(5)は，正答率がやや低かった。Q アプリが表示するランダムな数字について，“当該数字を撮影する” という解答が多かった。そういった方法では，撮影したのが本人なのかを確認できない。オンラインにおける 本人確認手法は，今後も様々な手法が提案されると思われるが，現在使われている最新の手法を理解しておい てほしい。 設問3(1)は，正答率が平均的であった。オンラインサービスの設計では，どのような不正が発生するのかを 洗い出して，対策を検討することを心掛けてほしい。

問1 では，Web サイトのセキュリティを題材に，脆 ぜい 弱性に関する知識，開発プロセスについて出題した。全 体として正答率は平均的であった。 設問3(2)は，正答率が低かった。クリックジャッキングの対策に使うレスポンスヘッダについては，標準化 の動向を含めて正しく理解しておいてほしい。 設問5(2)は，正答率が低かった。脆弱性対策のために必要な実装は，システムによって異なる場合がある。 システムごとに最適な方法を検討できるようにしておいてほしい。 設問6(1)は，正答率が低かった。脆弱性の種類によって，検出に有効な手段が異なる。それぞれの脆弱性に ついて，どのような検出手段が有効かを理解しておいてほしい。 設問6(4)は，正答率が低かった。ソフトウェア開発に使われているフレームワークにどのような脆弱性対策 が組み込まれているかを知っておいてほしい。

問2 では，クラウドサービスへの移行を題材に，各種認証の仕組み，認証に関するセキュリティ対策につい て出題した。全体として正答率は平均的であった。 設問1(3)及び(5)は，正答率が低かった。HTTP とTLS に関する問題であったが，DNS と混同していると思 われる解答が多かった。CDN を悪用したドメインフロンティング攻撃は，標的型攻撃などでもよく登場する攻 撃手法なので，是非知っておいてほしい。 設問2(2)は，正答率が平均的であった。オフラインにおける総当たり攻撃の問題であったが，パスワードス プレー攻撃などパスワードに対するオンラインの攻撃手法に言及した解答も散見された。パスワードに対する 攻撃手法の種類や違いについて，理解を深めてほしい。 設問4(3)は，正答率が低かった。OAuth 2.0 のメカニズムと攻撃手法は，安全なAPI アクセスの実現のために 必要な知識なのでよく理解してほしい。 設問5(4)は，正答率が低かった。OpenID Connect のメカニズムと攻撃手法は，安全な認証基盤の実現のため に必要な知識なのでよく理解してほしい。