平成30年春の情報処理安全確保支援士試験（SC）午前Ⅱ―過去問と解説

答えと解説

答え　【ア】

CVSS v3

CVSS v3の評価基準には、基本評価基準、現状評価基準、環境評価基準の三つがあります。 基本評価準では、機密性への影響、どこから攻撃が可能かといった攻撃元区分、 攻撃する際に必要な特権レベルなど、脆弱性そのものの特性を評価するします。

もっと知識を深めるための参考

• CVSS

  CVSS（ITのセキュリティ用語）は脆弱性の特徴とインパクトを採点するための共通脆弱性評価システムです。基本値（ベーススコア）などの解説をまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【イ】

OSコマンドインジェクション

OSコマンドインジェクションとは、OSの操作コマンドを利用するアプリケーションに対して、 攻撃者が、OSのディレクトリ操作コマンドを渡して実行する攻撃です。

攻撃例

以下は、OSコマンドインジェクションWebサーバへの攻撃と思われるHTTPリクエストヘッダが記録例です。

もっと知識を深めるための参考

• OSコマンドインジェクション

  OSコマンドインジェクション（comand injection）とはどのようなサイバー攻撃かまとめています。例や対策についても記載しています。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。 またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

XMLデジタル署名

XMLデジタル署名は、XMLにデジタル署名を行う技術です。

XMLデジタル署名では、署名対象や署名アルゴリズムをXMLで記述します。 署名の対象となるXML文書全体だけでなく、文書の一部（エレメント）に対しても署名することができます。

XMLデジタル署名には、Enveloped署名、Enveloping署名、Detached署名の3つがあります。 XML文書中の任意のエレメントに対しては、デタッチ署名（Detached Signature）を付けることができます。

もっと知識を広げるための参考

• 認証技術

  XMLデジタル署名、メッセージ認証符号、チャレンジレスポンス認証方式など、認証の種類、仕組み、特徴、脅威を防止するためにどのような認証技術が用いられるか、認証技術が何を証明するかなど、認証技術についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

エクスプロイトコード

脆弱性を見つける際に使用する攻撃用のコードをエクスプロイトあるいはエクスプロイトコードと呼びます。

エクスプロイトコードは、攻撃コードとも呼ばれ、脆弱性を悪用するソフトウェアのコードのことでですが、 使い方によっては脆弱性の検証に役立つこともあります。

もっと知識を深めるための参考

• 脆弱性検査

  脆弱性検査とは、その単語のとおりで、OSやアプリケーション、ネットワークを含めたサイト全体の脆弱性を検査することをいいます。ペネトレーションテストの方法やツールなど脆弱性検査について見ていきます。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

ダイナミックパケットフィルタリング

ダイナミックパケットフィルタリングは、 最初にコネクションを確立する方向のみを意識した基本的なルール（あらかじめ設定されたルール）を事前に登録しておき、 実際に接続要求があると、個々の通信をセッション管理テーブルに登録するとともに必要なルールが動的に生成され、 フィルタリング処理を行う方式です。

ダイナミックパケットフィルタリングでは、戻りのパケットに関しては、 過去に通過したリクエストパケットに対応付けられるものだけを通過させることができます。 過去の通信の状態が記録されており、それと矛盾するパケットは不正パケットとして遮断することができます。

もっと知識を深めるための参考

• パケットフィルタリング

  パケットフィルタリングは、外部から受信したパケットを管理者などが設定した一定の基準に従って通したり破棄したりする通信機器やコンピュータの持つネットワーク制御機能です。

• ネットワークセキュリティ

  VLAN、OP25B、ダイナミックパケットフィルタリングなどネットワークに対する不正アクセス、不正利用、サービスの妨害行為などの脅威に対するネットワークセキュリティの実装技術についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

公開鍵基盤とハッシュ関数を利用したメッセージのディジタル署名の手法

公開鍵基盤とハッシュ関数を利用したメッセージのディジタル署名の手法では、 受信者は、ハッシュ関数を用いてメッセージからハッシュ符号を生成し、送信者の公開鍵で複合したハッシュ符号と比較します。 発信者がメッセージのハッシュ値からディジタル署名を生成するのに使う鍵は発信者の秘密鍵になります。

もっと知識を深めるための参考

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

X.509とは

X.509は、ITU-Tが1988年に勧告したディジタル証明書およびCRLの標準仕様です。 ISO/IEC9594-8として国際規格化されています。

CRLとは

CRLとは、Certificate Revocation Listを省略した呼び方で証明書失効リストのことをいいます。 認証局は、有効期限内のディジタル証明書のシリアル番号をCRLに登録することがあります。

CRLは、デジタル証明書の悪用やご発行などの不測事態が発生したことによって 有効期限内に失効させる必要が生じたデジタル証明書が登録されたリストです。 CRLは、申請者からの証明書廃棄申請を受けて検証期間もしくは認証局が発行し、公開します。

もっと知識を広げるための参考

• 公開鍵基盤

  公開鍵基盤とは、PKI（Publuic Key Infrastructure）ともいい、公開鍵暗号技術に基づき、電子証明書（ディジタル証明書）やCAによって実現される相互認証の基盤です。電子証明書とは何か、PKIの仕組み、特徴、活用場面について見ていきます。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【イ】

虹彩認証

虹彩認証は、個人の目の虹彩の高解像度の画像にパターン認識技術を応用して行われる認証です。網膜認証とは異なります。 成人の虹彩は、経年変化がなく、虹彩認証では、認証デバイスでのパターン更新がほとんど不要です。

もっと知識を深めるための参考

• 生体認証技術

  生体認証（英語でBiometric authentication）は、別名バイオメトリックス認証といいます。生体認証とはどのような認証か、種類や特徴、ディメリットなどをまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

サイバー情報共有イニシアティブ（J-CSIP）

サイバー情報共有イニシアティブ（J-CSIP）は、 検知したサイバー攻撃の情報を公的機関に集約し、標的型サイバー攻撃などに関する情報を参加組織間で共有し、 高度なサイバー攻撃対策につなげていく取り組みです。

具体的には、IPAと各参加組織間で締結した秘密保持契約のもと、 参加組織およびそのグループ企業において検知されたサイバー攻撃等の情報をIPAに集約します。 情報提供元に関する情報や機微情報の匿名化を行い、IPAによる分析情報を付加した上で、情報提供元の承認を得て共有可能な情報とし、 参加組織間での情報共有を行っています。

出典：サイバー情報共有イニシアティブ（J-CSIP（ジェイシップ）） https://www.ipa.go.jp/security/J-CSIP/

もっと知識を深めるための参考

• 情報セキュリティ組織・機関

  不正アクセスによる被害受付の対応、再発防止のための提言、セキュリティに関する啓発活動などを行うセキュリティ機関があります。 jvn、cryptrec暗号リスト、サイバー情報共有イニシアティブなど情報セキュリティ組織・機関についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

cookieのsecure属性

この属性は、HTTPのレスポンスのヘッダー部に設定されるSet-Cookieのsecure属性です。 これは、ブラウザにURLのスキームがhttpsのときだけ、Webブラウザからcookieが送出するよう指示を与えます。

もっと知識を深めるための参考

• HTTPレスポンスヘッダのセキュリティ設定

  HTTPレスポンスヘッダにセキュリティ対策用のパラメータがあります。Set-Cookieのsecure、httplonlyなどHTTPレスポンスヘッダのセキュリティ設定一覧をまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

DKIM（DomainKeys Identified Mail）

DKIM（DomainKeys Identified Mail）は、スパムメールへの対策のための技術です。 受信側メールサーバにおいてディジタル署名を電子メールのヘッダに付加し、 受信側メールサーバにおいてそのディジタル署名を公開鍵によって検証する仕組みとなっています。

もっと知識を深めるための参考

• 認証プロトコル

  dnssecとは？SMTP-AUTH認証とは？など、なりすましによる不正接続、サービスの不正利用を防ぐ認証プロトコルについてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

テンペスト攻撃

テンペスト攻撃とは、テンペスト技術を用いて、 PCのディスプレイ装置や接続ケーブルなどから放射される微弱な電磁波を傍受し、 それを解析することによって、入力された文字や画面に表示された情報を盗む攻撃です。

テンペスト技術とは、英語でTEMPEST（Transient Electromagnetic Pulse Surveillance Technology）といい、 ディスプレイやケーブルなどから放射される電磁波を傍受し、内容を観察する技術です。 電磁波遮断が施された部屋に機器を設置することによって対抗します。

もっと知識を深めるための参考

• テンペスト攻撃

  テンペスト攻撃とは、テンペスト技術を用いて、 PCのディスプレイ装置や接続ケーブルなどから放射される微弱な電磁波を傍受し、 それを解析することによって、入力された文字や画面に表示された情報を盗む攻撃です。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策方法についてまとめています。

• セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

URLフィルタ

URLフィルタは、インターネット上の危険なWebサイトの情報を保持し、 危険なWebサイトとそうでないWebサイトを振り分ける技術のことをいいます。

内部ネットワークのPCがダウンロード型マルウェアに感染したとき、 そのマルウェアがインターネット経由で他のマルウェアをダウンロードすることを防ぐ方策として有効です。

もっと知識を深めるための参考

• 情報セキュリティ対策

  情報セキュリティ対策（英語でInformation security measures）は、人的、技術的、物理的セキュリティの側面から対策が必要です。ビヘイビア検出ソフトも含め、各種セキュリティ対策の概要を把握する一覧としてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

ルートキット

ルートキットは、英語でrootkitまたはroot kitのことで、コンピュータシステムへのアクセスを確保したあとで第三者によって使用されるソフトウェアツールのセットのことをいいます。 ルートキットの特徴にはOSなどに不正に組み込んだツールを隠蔽などがあります。

もっと知識を深めるための参考

• マルウェア・不正プログラム

  マルウェア・不正プログラムとはどのようなものかをテーマに、マルウェアの挙動やランサムウェア、ボット、mirai、pentyaなどの種類についてまとめています。

• 脅威

  情報セキュリティを考えるうえで、まずは、どのような脅威があるか理解しておく必要があります。 脅威の種類、マルウェアとコンピュータウイルスの種類を見ていきます。またPCやスマホの感染時の駆除方法も補足していきます。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

DNSSEC

DNSSECとは、DNS Security Extentionsの略で、DNSのセキュリティ拡張方式です。 DNSキャッシュポイズニング攻撃への対策となります。

DNSSECで実現できることは、 DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、 改ざんされていないことの検証です。

もっと知識を深めるための参考

• 認証プロトコル

  dnssecとは？SMTP-AUTH認証とは？など、なりすましによる不正接続、サービスの不正利用を防ぐ認証プロトコルについてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

SQLインジェクション

SQLインジェクションとは、 Webページ上の入力フォームなどパラメータとして送信される文字列から生成されたSQL文を不正なものにするようにパラメータを変更して、 Webアプリケーションを誤動作させたり、データベースの内容を不正に閲覧したりするサイバー攻撃のことをいいます。

原因

SQLを実行するアプリケーションで、SQL文のリテラル部分の生成処理のチェック不備が原因です。

フォームや入力値、GETやPOSTなどの入力値を使用して、実行するSQL文に組み立てる際に入力値に害のあるコードが含まれていないか十分にチェックされないことが原因になります。

対策

対策方法はいくつかあります。複数合わせて多層防衛するのが望ましいです。

Webアプリケーションの実装における対策

SQLインジェクション攻撃を防ぐ方法は、SQLとして解釈されないように文字列をチェックします。

対策としては、以下のような方法があります。

• プレースホルダを利用する

Webアプリケーションの実装以外の対策

入力された文字列が、データベースへの問合せや操作において、特別な意味を持つ文字として解釈されないようにします。

対策としては、以下のような方法があります。

• データベースのアカウントがもつデータベースアクセス権限を必要最小限にする

もっと知識を深めるための参考

• SQLインジェクション

  SQLインジェクションは、アプリケーションのSQL文生成処理の不備を突いたサイバー攻撃です。SQLインジェクションのメカニズム、攻撃例、対策、IPA情報処理試験の問題など、サイバー攻撃の種類の一つSQLインジェクションについての情報をまとめています。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

ICMP

IPv4において、IPパケットで送られているデータが、ICMPメッセージであることはIPヘッダのプロトコル番号で識別できます。

もっと知識を深めるための参考

• ネットワーク層のプロトコル

  サブネットマスクとは何かや計算方法、ブロードキャストアドレスへICMP（Pingコマンド）を実行するとどうなる？などの話題も含めて、ネットワーク層のプロトコルについてまとめています。

• ネットワーク

  通信プロトコル、osi基本参照モデル7階層の覚え方などネットワーク関連の知識をまとめています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

VLAN

VLANは、 Virtual LANの略で、物理的な接続形態とは独立して、仮想的なLANセグメントを作る技術のことをいいます。

トランクポート

IEEE 802.1QのVLAN機能を有したスイッチにおいて、複数のVLANに所属しているポートをトランクポートといいます。

もっと知識を深めるための参考

• ネットワークセキュリティ

  VLAN、OP25B、ダイナミックパケットフィルタリングなどネットワークに対する不正アクセス、不正利用、サービスの妨害行為などの脅威に対するネットワークセキュリティの実装技術についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【イ】

WebDAV

WebDAVは、Webサーバ上のファイル管理を目的とした分散ファイルシステムを実現するHTTPを拡張したプロトコルです。 HTTPを拡張したプロトコルを使って、サーバ上のファイルの参照、作成、削除及びバージョン管理が行えるという特徴があります。

もっと知識を広げるための参考

• アプリケーション層のプロトコル

  HTTP、SMTP、POP、FTP、DNS などの役割、機能、IMAPとPOPの違いなどアプリケーション層のプロトコルについてまとめています。

• ネットワーク

  通信プロトコル、osi基本参照モデル7階層の覚え方などネットワーク関連の知識をまとめています。

• テクノロジ系

  テクノロジ系の分野のサイトオリジナル教科書です。テクノロジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【エ】

DBMSがトランザクションのコミット処理を完了とするタイミング

DBMSがトランザクションのコミット処理を完了とするタイミングは、ログファイルへのコミット情報書込み完了時点です。

もっと知識を広げるための参考

• 排他制御

  排他制御とは、英語でexclusive controlといいます。デットロックなど、具体例を用いてデータベースの排他制御について解説しています。

• トランザクション処理

  トランザクションとは、利用者から見たデータベースに対する処理の単位です。 利用者からみた場合は1つのデータベース更新処理ですが、データベースから見れば複数の利用者からの処理依頼があり、 データベースの更新を矛盾なく行う必要があります。 データベースにおけるトランザクションの意味、ACID特性などの解説をまとめています。

• データベース

  データベースの方式、設計、データ操作、トランザクション処理、応用など。データベース関連のオリジナルテキストと情報処理試験の過去問もまとめています。

• テクノロジ系

  テクノロジ系の分野のサイトオリジナル教科書です。テクノロジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【ウ】

シーケンス図

シーケンス図とは、オブジェクト間の相互作用を、時系列的な視点から表現する図です。 相互作用図の1つで時系列に沿った処理の流れを、ライフライン同士のメッセージのやり取りで表現します。

もっと知識を広げるための参考

• UML

  UMLは、システムの設計結果を可視化し、文書化するために用いられる言語です。クラス図の集約の矢印など、図の種類、意味、書き方など、UMLとはどのようなものかまとめています。

• 業務分析や要件定義に用いられる手法

  ヒヤリングやユースケース、モックアップ及びプロトタイプ、DFDによる業務分析の手順など、 業務分析や要件定義に用いられる手法をまとめています。

• システム要件定義・ソフトウェア要件定義

  システムとソフトウェア要件定義のあらましについてまとめています。

• システム開発技術

  システム開発技術をテーマに要件定義、方式設計、詳細設計、構築、テスト、導入、受入れ、保守など、 システムやソフトウェア開発の考え方、手順、手法、留意事項をまとめています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

テスト駆動開発

エクストリームプログラミング（XP：eXtreme Programming）におけるテスト駆動開発は プログラムを書く前にテストケースを作成するなどの特徴があります。

もっと知識を深めるための参考

• アジャイル

  アジャイル開発手法は、スクラムやイテレーションなど、 顧客・技術・経営をつなぐ協調的ソフトウェア開発手法として期待される手法です。 迅速かつ適応的にソフトウェア開発を行う軽量な開発手法であるアジャイルについてまとめています。

• ソフトウェア開発

  ソフトウェア開発をテーマに、アジャイル開発手法など工程知識と著作権と職務著作など法律知識についてまとめています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにマテクノロジ系の知識をまとめています。