情報処理のWeb教科書―IPA情報処理試験対策のお供に!

平成28年秋の情報セキュリティスペシャリスト試験(SC)午前Ⅱ―過去問と解説

トップ 各試験用の問題と解説 情報処理安全確保支援士 平成28年秋の情報セキュリティスペシャリスト試験(SC)午前Ⅱ

平成28年秋の情報セキュリティスペシャリスト試験(SC)午前Ⅱの過去問と解説を掲載しています。

▲記事トップへ

ご利用について

このページを表示した場合、答えと解説が、表示される設定になっています。 ページ全体の答えと解説の表示、非表示は以下で、個別は各問題のところのリンクで切り替えてください。

目次

このページの目次です。

平成28年秋 問1 AAAフレームワーク―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

RADIUSやDIAMETERが提供するAAAフレームワークの構成要素は、 認証(Authentication)及び認可(Authorization)の他にどれか。

【ア】Accounting

【イ】Activation

【ウ】Audit

【エ】Augmented Reality

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問1

答えと解説

答え 【ア】

AAAフレームワーク

RADIUSやDIAMETERが提供するAAAフレームワークは、 認証(Authentication)及び認可(Authorization)、アカウンティング(Accounting)という 3つの異なるセキュリティ機能を設定するためのフレームワークです。

もっと知識を広げるための参考

  • 認証プロトコル

    dnssecとは?SMTP-AUTH認証とは?など、なりすましによる不正接続、サービスの不正利用を防ぐ認証プロトコルについてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問2 NTPリフレクション攻撃―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

NTPリフレクション攻撃の特徴はどれか。

【ア】攻撃対象であるNTPサーバに高頻度で時刻を問い合わせる。

【イ】攻撃対象であるNTPサーバの時刻情報を書き換える。

【ウ】送信元を偽って、NTPサーバにecho requestを送信する。

【エ】送信元を偽って、NTPサーバにレスポンスデータが大きくなる要求を送信する。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問2

答えと解説

答え 【エ】

NTPリフレクション攻撃

NTPリフレクション攻撃には、送信元を偽ってNTPサーバにレスポンスデータが大きくなる要求を送信するという特徴があります。

もっと知識を広げるための参考

  • NTPリフレクション攻撃

    NTPリフレクション攻撃は、NTPを悪用しておこなう反射型DoS攻撃の一つです。

  • 攻撃手法

    情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。 またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問3 POODLE(CVE-2014-3566)攻撃―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

POODLE(CVE-2014-3566)攻撃の説明はどれか。

【ア】SSL3.0のサーバプログラムの脆弱性を突く攻撃であり、 サーバのメモリに不正アクセスして秘密鍵を窃取できる。

【イ】SSL3.0を使用した通信において、ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり、 パディングを悪用して暗号化通信の内容を解読できる。

【ウ】TLS1.2のプロトコル使用の脆弱性を突く攻撃であり、 TLSの旧バージョンにダウングレードして暗号化通信の内容を解読できる。

【エ】TLS1.2を使用した通信において、Diffie-Hellman鍵交換アルゴリズムの脆弱性を突く攻撃であり、 交換されたセッション鍵を窃取して暗号化通信の内容を解読できる。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問3

答えと解説

答え 【イ】

POODLE攻撃

POODLE攻撃は、脆弱性識別子のCVE-2014-3566であるSSL3.0を使用した通信のブロック暗号のCBCモード利用時の脆弱性を突く攻撃です。 パディングを悪用して暗号化通信の内容を解読する攻撃です。

もっと知識を広げるための参考

  • POODLE攻撃

    POODLE攻撃は、脆弱性識別子のCVE-2014-3566であるSSL3.0を使用した通信のブロック暗号のCBCモード利用時の脆弱性を突く攻撃です。 パディングを悪用して暗号化通信の内容を解読する攻撃です。

  • 攻撃手法

    情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。 またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問4 XMLデジタル署名―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

XMLディジタル署名の特徴のうち、適切なものはどれか。

【ア】XML文書中の、任意のエレメントに対してデタッチ署名(Detached Signature)を付けることができる。

【イ】エンベローピング署名(Enveloping Signature)では一つの署名対象に必ず複数の署名を付ける。

【ウ】署名形式として、CMS(Cryptographic Message Syntax)を用いる。

【エ】署名対象と署名アルゴリズムをASN.1によって記述する。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問4

答えと解説

答え 【ア】

XMLデジタル署名は、XMLにデジタル署名を行う技術です。

XMLデジタル署名では、署名対象や署名アルゴリズムをXMLで記述します。 署名の対象となるXML文書全体だけでなく、文書の一部(エレメント)に対しても署名することができます。

なお、XMLデジタル署名には、Enveloped署名、Enveloping署名、Detached署名の3つがあります。

もっと知識を広げるための参考

  • 認証技術

    XMLデジタル署名、メッセージ認証符号、チャレンジレスポンス認証方式など、認証の種類、仕組み、特徴、脅威を防止するためにどのような認証技術が用いられるか、認証技術が何を証明するかなど、認証技術についてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問5 ダイナミックパケットフィルタリング―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。

【ア】IPアドレスの変換が行われるので、ファイアウォール内部のネットワーク構成を外部から隠蔽できる。

【イ】暗号化されたパケットのデータ部を復号して、許可された通信かどうかを判断できる。

【ウ】パケットのデータ部をチェックして、アプリケーション層での不正なアクセスを防止できる。

【エ】戻りのパケットに関しては、過去に通過したリクエストパケットに対応付けられるものだけを通過させることができる。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問5

答えと解説

答え 【エ】

ダイナミックパケットフィルタリングとは、最初にコネクションを確率する方向のみを意識した基本的なルール(あらかじめ設定されたルール)を事前に登録しておき、 実際に接続要求があると、個々の通信をセッション管理テーブルに登録するとともに必要なルールが動的に生成され、フィルタリング処理を行う方式です。

ダイナミックパケットフィルタリングでは、戻りのパケットに関しては、過去に通過したリクエストパケットに対応付けられるものだけを通過させることができます。 過去の通信の状態が記録されており、それと矛盾するパケットは不正パケットとして遮断することができます。

もっと知識を深めるための参考

  • パケットフィルタリング

    パケットフィルタリングは、外部から受信したパケットを管理者などが設定した一定の基準に従って通したり破棄したりする通信機器やコンピュータの持つネットワーク制御機能です。

  • ネットワークセキュリティ

    VLAN、OP25B、ダイナミックパケットフィルタリングなどネットワークに対する不正アクセス、不正利用、サービスの妨害行為などの脅威に対するネットワークセキュリティの実装技術についてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問6 リスクベース認証―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

リスクベース認証に該当するものはどれか。

【ア】インターネットからの全てのアクセスに対し、トークンで生成されたワンタイムパスワードで認証する。

【イ】インターネットバンキングでの連続する取引において、 取引の都度、乱数表の指定したマス目にある英数字を入力させて認証する。

【ウ】利用者のIPアドレスなどの環境を分析し、いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

【エ】利用者の記憶、持ち物、身体の特徴のうち、必ず二つ以上の方式を組み合わせて認証する。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問6

答えと解説

答え 【ウ】

リスクベース認証

リスクベース認証は、利用者のIPアドレスなどの環境を分析し、 いつもと異なるネットワークからのアクセスに対して追加の認証を行う方法です。

もっと知識を深めるための参考

  • 認証技術

    XMLデジタル署名、メッセージ認証符号、チャレンジレスポンス認証方式など、 認証の種類、仕組み、特徴、脅威を防止するためにどのような認証技術が用いられるか、認証技術が何を証明するかなど、 認証技術についてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    テクノロジ系の分野のサイトオリジナル教科書です。テクノロジ系の各分野の解説と情報処理の過去問をマッピングしています。

平成28年秋 問7 CRL(Certificate Revocation List)―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

X.509におけるCRL(Certificate Revocation List)についての説明のうち、適切なものはどれか。

【ア】PKIの利用者は、認証局の公開鍵がWebブラウザに組み込まれていれば、CRLを参照しなくてもよい。

【イ】認証局は、発行した全てのディジタル証明書の有効期限をCRLに登録する。

【ウ】認証局は、発行したディジタル証明書のうち、失効したものは、 失効後1年間CRLに登録するよう義務付けられれている。

【エ】認証局は、有効期限内のディジタル証明書をCRLに登録することがある。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問7

答えと解説

答え 【エ】

CRL

CRLとは、Certificate Revocation Listを省略した呼び方で証明書失効リストのことをいいます。 X.509ではCRLの実装に関する標準も含んでいます。

CRLは、電子証明書(ディジタル証明書)の悪用やご発行などの不測事態が発生したことによって 有効期限内に失効させる必要が生じた電子証明書(ディジタル証明書)が登録されたリストです。 CRLは、申請者からの証明書廃棄申請を受けて検証期間もしくは認証局が発行し、公開します。

認証局は、有効期限内の電子証明書(ディジタル証明書)のシリアル番号をCRLに登録することがあります。

もっと知識を深めるための参考

  • 公開鍵基盤

    公開鍵基盤とは、PKI(Publuic Key Infrastructure)ともいい、 公開鍵暗号技術に基づき、電子証明書(ディジタル証明書)やCAによって実現される相互認証の基盤です。 電子証明書とは何か、PKIの仕組み、特徴、活用場面について見ていきます。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    テクノロジ系の分野のサイトオリジナル教科書です。テクノロジ系の各分野の解説と情報処理の過去問をマッピングしています。

平成28年秋 問10 サイドチャネル攻撃―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

サイドチャネル攻撃の手法であるタイミング攻撃の対策として、最も適切なものはどれか。

【ア】演算アルゴリズムに対策を施して、機密情報の違いによって演算の処理時間に差異が出ないようにする。

【イ】故障を検出する機構を設けて、検出したら機密情報を破壊する。

【ウ】コンデンサを挿入して、電力消費量が時間的に均一になるようにする。

【エ】保護層を備えて、内部のデータが不正に書き換えられないようにする。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問10

答えと解説

答え 【ア】

サイドチャネル攻撃

主にICチップなどに対して行う攻撃で、正規でない入出力経路から、内部動作に応じて変化する電流や電圧、電磁波、処理時間など、観測できるあらゆる情報を使って、暗号LSIの内部のデータを読み取ろうとする攻撃のことをいいます。

暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処理時間や消費電流など)やエラーメッセージから、攻撃対象の機密情報を得えます。

タイミング攻撃

タイミング攻撃は、代表的なサイバーチャネル攻撃の1つです。 暗号化や復号に要する時間の差異を精密に測定することにより、用いられている鍵を推測する方法で、 演算アルゴリズムに対策を施して、機密情報の違いによって演算の処理時間に差異が出ないようにするなどの対策があります。

もっと知識を深めるための参考

  • サイドチャネル攻撃

    サイドチャネル攻撃とは、主にICチップなどに対して行う攻撃で、正規でない入出力経路から、内部動作に応じて変化する電流や電圧、電磁波、処理時間など、観測できるあらゆる情報を使って、 暗号LSIの内部のデータを読み取ろうとする攻撃のことをいいます。

  • 攻撃手法

    情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策方法についてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問13 DNSSEC―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

DNSSECで実現できることはどれか。

【ア】DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証

【イ】権威DNSサーバとDNSキャッシュサーバとの通信を暗号化することによる、ゾーン情報の漏えいの防止

【ウ】長音”-”と漢数字”一”などの似た文字をドメイン名に用いて、正規サイトのように見せかける攻撃の防止

【エ】利用者のURLの打ち間違いを悪用して、偽サイトに誘導する攻撃の検知

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問13

答えと解説

答え 【ア】

DNSSEC

DNSSECとは、DNS Security Extentionsの略で、DNSのセキュリティ拡張方式です。 DNSキャッシュポイズニング攻撃への対策となります。

DNSのセキュリティ拡張機能

DNSSECは、DNSサーバーから送られてくるIPアドレスとホスト名の対応情報の信頼性を証明するセキュリティ拡張機能です。

DNSSECは、名前解決要求に対して応答を返すDNSサーバが、自信の秘密鍵を用いて応答レコードにディジタル署名を付加して送信します。 応答を受け取った側は、応答を返したDNSサーバの公開鍵を用いてディジタル署名を検証することで、応答レコードの正当性、完全性を確認します。

DNSキャッシュポイズニング攻撃への対策

DNSSECには、DNSキャッシュポイズニングなどのDNS応答のなりすまし攻撃を防ぐ、DNSキャッシュサーバからの応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証する機能があります。

もっと知識を広げるための参考

  • 認証プロトコル

    dnssecとは?SMTP-AUTH認証とは?など、なりすましによる不正接続、サービスの不正利用を防ぐ認証プロトコルについてまとめています。

  • 情報セキュリティ

    情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

平成28年秋 問20 TCP―情報セキュリティスペシャリスト試験(SC)午前Ⅱ

TCPに関する記述のうち、適切なものはどれか。

【ア】OSI基本参照モデルのネットワーク層の機能である。

【イ】ウィンドウ制御の単位は、バイトではなくビットである。

【ウ】確認応答がない場合は再送処理によってデータ回復を行う。

【エ】データの順序番号をもたないので、データは受信した順番のままで処理する。

出典:平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問題 問20

答えと解説

答え 【ウ】

TCP

TCPとは、OSIモデルのトランスポート層に相当し、コネクション型のプロトコルです。

TCPヘッダには、ホスト内の通信相手を特定するための送信元ポート番号や宛先ポート番号の情報が設定されます。

TCPでは、HTTPなどアプリケーション層から受け取ったデータを通信しやすいようにバラバラにし、 それぞれに通し番号とポート番号を付けてネットワーク層に渡します。

TCPでは、ACKというパケット単位の動作の完了を知らせる信号を送って、正常に送信できたか確認します。 確認応答のACKがない場合は再送処理によってデータ回復を行います。

また、パケットに呼応したACKの往復の通信で発生する往復時間(ラウンドトリップ)を減らす仕組みとして、 まとめてパケット送信し、一時的にコンピュータのバッファに保存しておこなうウィンドウ制御という方式を取り入れています。 ウィンドウ制御の単位はバイトです。

もっと知識を深めるための参考

  • トランスポート層のプロトコル

    TCPとUDPの役割、機能、使い分けなどトランスポート層のプロトコルについてまとめています。

  • ネットワーク

    通信プロトコル、osi基本参照モデル7階層の覚え方などネットワーク関連の知識をまとめています。

  • テクノロジ系

    情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

更新履歴

戻る

スポンサーリンク

情報処理の知識体系

各試験の問題と解説

ランダム出題・採点アプリ

プログラミング

スポンサーリンク