情報処理安全確保支援士試験 令和5年度春期

問1 では，Web アプリケーションプログラム開発を題材に，セキュアプログラミングについて出題した。全 体として正答率は平均的であった。 設問1(3)は，正答率が低かった。“PreparedStatement”とすべきところを“Statement”と解答した受験者 が多かった。“PreparedStatement”を使う方法は，セキュアプログラミングの基本であり，理解してほしい。 設問2(3)は，正答率が低かった。“レースコンディション”は個人情報漏えいなどにつながる可能性がある ので，設計，実装，テストでの対策を確認しておいてほしい。 設問2(5)は，正答率がやや高かったが，“注文番号”と解答した受験者が見受けられた。注文番号は既に抽 出条件に入っているので，E-R 図とJava ソースコードから，保険的対策として適切な抽出条件を導き出す方法 を理解してほしい。

問2 では，セキュリティインシデントを題材に，ログ及び攻撃の痕跡の調査について出題した。全体として 正答率は平均的であった。 設問1 は，正答率が低かった。FTP 通信の動作を理解し，“アクティブモード”，“パッシブモード”のデータ コネクションがそれぞれFW のログにどのように記録されるかについて理解してほしい。 設問2 は，(3)，(4)ともに正答率が高かった。攻撃の調査では，マルウェアの“バインドモード”，“コネク トモード”のそれぞれの通信の方向を理解した上で，プロセスの起動，ポートの利用，FW の通信記録など複数 の情報の関連性を正しく把握する必要がある。複数の情報を組み合わせて調査することの必要性を認識してほ しい。 設問3(2)は，正答率が平均的であった。時間の経過とともにURL 上のファイルが変わっている可能性がある ことを認識し，証拠保全や不審ファイルの取扱方法について理解を深めてほしい。

問3 では，クラウドサービスの導入を題材に，プロキシのクラウドサービスへの移行に伴うネットワーク構 成の見直しについて出題した。全体として正答率は平均的であった。 設問3(1)は，正答率が低かった。“見直し前”と“見直し後”の通信経路について理解していないと思われ る解答が散見された。クラウドサービスのセキュリティを確保するためには，クラウドサービスとの通信経路 を把握する必要があるので，ネットワーク構成の見直しによってどのように通信経路が変わるかを理解してほ しい。 設問3(5)は，正答率が平均的であった。表5 の番号1 と番号2 について，逆に解答した受験者が散見され た。適用されるルールの順番によって動作が変わってしまう。セキュリティ製品のフィルタリングルールで は，適用の順番に注意してほしい。

問1 では，Web サイトに対する脆 ぜい 弱性診断を題材に，脆弱性診断で注意すべき点と脆弱性に関する知識や対 策について出題した。全体として正答率は平均的であった。 設問2(2)は，正答率が低かった。“入力したスクリプトが二つ先の画面でエスケープ処理されずに出力”と いう具体的な事象に着目して，ツールV の設定を行う必要があった。脆弱性診断に使用するツールやマニュア ルを正確に理解することは基本的なことである。脆弱性がある場合のWeb アプリケーションの動き及びツール での脆弱性を検知する方法も踏まえて，脆弱性診断を行ってほしい。 設問2(3)は，正答率が低かった。診断対象URL 自体を誤って解答した受験者が多かった。拡張機能を用いる と，診断対象URL の応答だけでなく，別のURL の応答も判定対象になる。データを入力する画面のURL とその データが出力される画面のURL が異なるということに着目してほしい。 設問4(2)は，正答率が低かった。XSS を悪用した攻撃の手口は，様々あり，大きな被害にもつながり得る。 対策を考える際にも必要な知識となるので，よく理解してほしい。

問2 では，Web サイトのクラウドサービスへの移行と機能拡張を題材に，権限設定及び認可に関連するセキ ュリティ対策について出題した。全体として正答率は平均的であった。 設問3(2)q は，正答率がやや低かった。HTTP レスポンスである(8)と誤って解答した受験者が多かった。 HTTP プロトコルの理解を深め，HTTP リクエストとHTTP レスポンスとのデータの違いをよく確認しておいてほ しい。 設問4 は，(1)，(2)ともに正答率が低かった。OAuth 2.0 のメカニズムについては，用語だけではなく，その 具体的な方法を理解してほしい。また，ハッシュ関数など，暗号技術の基礎的な仕組みを理解しておくことが 認証認可の中で使われるPKCE などのメカニズムを理解する上でも重要であることを知ってほしい。 設問5(1)は，正答率が低かった。インシデントの再発防止では，受けた攻撃の経路を特定することが重要で あることを知っておいてほしい。 設問5 は，(2)，(3)ともに正答率がやや高かった。権限は，利用者には必要最小限しか与えないよう，慎重 に検討することが求められる。業務などの要件と照らし合わせて，設定が必要最小限かどうかを確認してほし い。