基本情報技術者試験過去問 - 分野別(科目A) - セキュリティ技術評価

令和6年12月修了問30

IoTデバイスの耐タンパ性の実装技術とその効果に関する記述として，適切なものはどれか。

ア	CPU処理の負荷が小さい暗号化方式を実装することによって，IoTデバイスとサーバとの間の通信経路での情報の漏えいを防止できる。
イ	IoTデバイスにGPSを組み込むことによって，紛失時にIoTデバイスの位置を検知して捜索できる。
ウ	IoTデバイスに光を検知する回路を組み込むことによって，ケースが開けられたときに内蔵メモリに記録されている秘密情報を消去できる。
エ	IoTデバイスにメモリカードリーダを実装して，IoTデバイスの故障時にはメモリカードをIoTデバイスの予備機に差し替えることによって，IoTデバイスを復旧できる。

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価

同一問題 ：〔令6修1問30〕〔令5修1問41〕

解説：
「XML署名」とは，XML形式で作られた文書に対して，電子署名（作成者の証明や改ざんの検出を行うための情報）を付ける仕組みです。

XML署名の大きな特徴の1つは，文書全体に対してまとめて1つの署名を付けるだけでなく，文書の中の一部分だけに対して署名を付ける「部分署名」や，1つの文書に対して複数の異なる署名を重ねて付ける「多重署名」といった，複雑で柔軟な署名の付け方に対応できる点です。従って，正解は「ウ」です。

「ア」は，TLSという通信の暗号化の仕組みに関する説明であり，XML署名そのものの機能とは異なる文脈の話です。「イ」は，XMLHttpRequestなどを使ってWebページの内容を書き換える「Ajax」と呼ばれる技術の説明であり，電子署名とは直接関係がありません。「エ」は，メッセージを画像データなどに隠して埋め込む「ステガノグラフィ」という別の技術の説明であり，署名の存在を明示するXML署名とは，むしろ考え方が反対の技術です。

令和6年公開問題問9

ペネトレーションテストに該当するものはどれか。

ア	検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。
イ	公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。
ウ	公開Webサーバや組織のネットワークの脆弱性を探索し，サーバに実際に侵入できるかどうかを確認する。
エ	内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価
解説：
ペネトレーションテストに該当するものを選ぶ問題です。「ペネトレーションテスト」とは，公開されているWebサーバや組織のネットワークに対して，実際に攻撃者と同じ手法で脆弱性を突く試みを行い，本当にサーバへ侵入できてしまうかどうかを検証するテストのことです。正解は選択肢「ウ」です。

「ア」は設計書やソースコードを確認してセキュリティ上の問題がないかを調べる手法であり，これはソースコードレビューやセキュリティ診断に該当し，実際に侵入を試みるものではありません。

「イ」はWebサーバのファイルのハッシュ値を管理し，改ざんの有無を確認する仕組みであり，これは改ざん検知の手法であってペネトレーションテストとは異なります。

「エ」はネットワーク機器の通信情報から異常な振る舞いを検知する仕組みであり，これは異常検知システムの説明にあたります。

ペネトレーションテストの特徴は「実際に侵入を試みて安全性を検証する」という点にあることを押さえておきましょう。

令和3年1月修了問42

ファジングに該当するものはどれか。

ア	サーバにFINパケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。
イ	サーバのOSやアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。
ウ	ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視ぜいして，脆弱性を見つけ出す。
エ	ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断する。

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価

平成31年春期問45

ファジングで得られるセキュリティ上の効果はどれか。

ア	ソフトウェアの脆弱性を自動的に修正できる。
イ	ソフトウェアの脆弱性を検出できる。
ウ	複数のログデータを相関分析し，不正アクセスを検知できる。
エ	利用者IDを統合的に管理し，統一したパスワードポリシを適用できる。

答え：イ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価

平成30年12月修了問44

コンピュータやネットワークのセキュリティ上の脆弱性を発見するために，システムを実際に攻撃して侵入を試みる手法はどれか。

ア	ウォークスルー
イ	ソフトウェアインスペクション
ウ	ペネトレーションテスト
エ	リグレッションテスト

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価

同一問題 ：〔平29秋問45〕〔平28修7問44〕〔平27春問46〕〔平25修12問45〕〔平24秋問44〕

平成28年12月修了問37

暗号アルゴリズムの危殆化を説明したものはどれか。

ア	外国の輸出規制によって，十分な強度をもつ暗号アルゴリズムを実装した製品が利用できなくなること
イ	鍵の不適切な管理によって，鍵が漏えいする危険性が増すこと
ウ	計算能力の向上などによって，鍵の推定が可能になり，暗号の安全性が低下すること
エ	最高性能のコンピュータを用い，膨大な時間とコストを掛けて暗号強度をより確実なものにすること

答え：ウ
分野：テクノロジ系 › 技術要素 › セキュリティ › セキュリティ技術評価

同一問題 ：〔平27修7問39〕