情報セキュリティマネジメント試験過去問 - 分野別(科目A) - セキュリティ実装技術

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「SPF」（Sender Policy Framework）は，送信元のなりすましメールを見破るための仕組みです。送信側ドメインの管理者が，そのドメインのメールを送ってよい正規のメールサーバのIPアドレスをDNSに登録しておきます。

メールを受け取った側のメールサーバは，送信元のIPアドレスがDNSの登録内容と一致するかを確認し，一致しなければ偽物の疑いがあると判定します。差出人の住所が本物かを，公式の名簿と照らして確かめるイメージです。したがって正解は「ア」です。

「イ」は，送信側でメッセージにデジタル署名を付け，受信側で検証する仕組みで，「DKIM」の説明です。SPFがIPアドレスで確認するのに対し，DKIMは署名で確認します。

「ウ」は，第三者が提供するスパム送信元のIPアドレスのデータベースを参照して判定する方法で，「DNSBL」などのブラックリスト方式の説明です。

「エ」は，ファイアウォールを通過した要求パケットに対する応答かどうかを見て通信を制御する，「ステートフルインスペクション」の説明で，メールの送信元確認とは別の技術です。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › アプリケーションセキュリティ
解説 ：
Webアプリケーションの脅威と対策の組合せを問う問題です。SQLインジェクションは，入力欄などに不正なSQL文を紛れ込ませて，データベースを不正に操作する攻撃です。対策としては，プレースホルダを使って，入力値を「単なるデータ」として扱い，SQL文の一部として解釈されないようにする方法が有効です。したがって正解は「イ」です。

「ア」は，推測困難な乱数をセッションIDに使うのは，セッションIDを推測されて乗っ取られるセッションハイジャックへの対策で，OSコマンドインジェクションの対策ではありません。

「ウ」は，Webサーバ内のファイルを外部から直接参照できないようにするのは，ディレクトリトラバーサルのような攻撃への対策です。クロスサイトスクリプティングの対策は，出力時に特殊文字をエスケープ処理することなどです。

「エ」は，Webアプリケーションからシェルを起動できないようにするのは，OSコマンドインジェクションの対策であり，セッションハイジャックの対策ではありません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「SPF」は「Sender Policy Framework」の略で，送信元ドメインの詐称を見破るための仕組みです。送信側のドメイン管理者は，そのドメインのメールを送ってよいサーバのIPアドレスをDNSに登録しておきます。受信側のサーバは，メールの送信元ドメインと，実際に送ってきたサーバのIPアドレスを照らし合わせ，登録と一致するかを確認します。したがって「イ」が正解です。

「ア」はディジタル署名を使って確認する方式で，「DKIM」の説明です。SPFが「送信サーバのIPアドレス」で確認するのに対し，DKIMは「署名」で確認すると区別しましょう。

「ウ」は，メールを保存するアーカイブの説明であり，送信元の認証とは関係がありません。

「エ」は，上司の承認を得るまで送信を保留する仕組みで，メールの内容を社内で確認する運用の話です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › アプリケーションセキュリティ
解説 ：
「MITB攻撃」（マン・イン・ザ・ブラウザ攻撃）は，利用者のブラウザにマルウェアを潜り込ませ，インターネットバンキングの取引内容を，画面上では正しく見せたまま裏で書き換える攻撃です。ログイン後の通信の途中で振込先が書き換えられるため，ログイン時の認証を強化しても防げません。

「トランザクション署名」は，振込先口座番号などの取引内容そのものを，PCとは別のデバイスに入力し，そこで得た値を送信する対策です。PCが乗っ取られていても，別のデバイスで内容を確認するため，改ざんに気付けます。したがって「ウ」が正解です。

「ア」と「エ」は，ワンタイムパスワードによる認証強化ですが，取引内容の改ざんを検知できません。

「イ」は，電子証明書による利用者認証で，ログイン時のなりすましを防ぐ対策であり，取引内容の改ざんには対応していません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › セキュアプロトコル
解説 ：
「IPsec」はIPのレベルで通信を暗号化するプロトコルで，データの暗号化にはAESなどの共通鍵暗号方式が使われます。共通鍵暗号方式では，暗号化と復号に同じ鍵を使うため，通信する双方のPCとサーバが，同じ鍵を共有している必要があります。したがって「イ」が正解です。

「ア」のPCだけが持つ秘密鍵は，公開鍵暗号方式で使う鍵で，サーバが復号に使えません。

「ウ」のPCの公開鍵と，「エ」のサーバの公開鍵も，公開鍵暗号方式で使う鍵です。AESは共通鍵暗号方式なので，公開鍵や秘密鍵は使いません。

なお，実際の通信では，共通鍵を安全に共有するために，公開鍵暗号方式を使って鍵の受渡しを行います。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › セキュアプロトコル
解説 ：
「WPA3」は，無線LANのセキュリティ規格です。無線LANの通信は電波で飛ぶため，盗聴や不正接続を防ぐ暗号化と認証の規格が必要で，「WEP」→「WPA」→「WPA2」と進化してきました。WPA3はその最新世代にあたり，パスワードの総当たり攻撃への耐性が強化されています。したがって「エ」が正解です。

「ア」のHTTP通信の暗号化規格は，HTTPSやTLSのことです。

「イ」のTCP/IP通信の暗号化規格は，IPsecなどが該当します。

「ウ」のWebサーバで使うディジタル証明書の規格は，X.509などがあります。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
ドメインAの送信者が，ドメインAのメールサーバにメールを送る際に，利用者を認証するための仕組みが「SMTP-AUTH」です。SMTPは本来，送信者を確認する仕組みがなく，第三者に悪用される恐れがあったため，メール送信の前に利用者のIDとパスワードで認証する拡張として生まれました。したがって「エ」が正解です。

「ア」の「APOP」は，メールを受信するときの認証方式で，パスワードを暗号化して送ります。送信ではなく受信用です。

「イ」の「POP3S」は，受信プロトコルであるPOP3を，TLSで暗号化したものです。これも受信用です。

「ウ」の「S/MIME」は，メール本文の暗号化やディジタル署名を行う規格で，メールサーバへの送信者の認証が目的ではありません。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › ネットワークセキュリティ
解説 ：
「ハニーポット」とは，わざと侵入されやすいように設定した，おとりの機器やシステムです。インターネット上に置き，攻撃者がどのような手法で侵入してくるのか，マルウェアがどのように振る舞うのかを観察して，調査や研究に役立てます。蜜に誘われてくる虫を観察するようなイメージです。したがって「エ」が正解です。

「ア」は，実際の攻撃に近い手法で検査して被害範囲を予測する，「ペネトレーションテスト」の説明です。

「イ」は，社内ネットワークに接続する前のPCを，検査専用のネットワークで調べて安全性を確認する，「検疫ネットワーク」の説明です。

「ウ」は，保護された領域でプログラムを動かして挙動からマルウェアを検出する，「サンドボックス」の説明です。いずれも別々の対策なので，役割の違いを整理しておきましょう。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「SPF」（Sender Policy Framework）とは，メールの送信元ドメインのなりすましを検知するための仕組みです。あらかじめドメインの持ち主がDNSに「このドメインのメールは，このIPアドレスのサーバから送る」と登録しておき，受信側がメールの送信元サーバと照合して，本物かどうかを確認します。郵便で，差出人の住所と実際に投函された郵便局が一致するか確かめるイメージです。正解は「エ」です。

「ア」の中間者攻撃の検知は，電子証明書を使ったTLSなどの役割です。

「イ」のLANへの不正なPC接続の検知は，MACアドレス認証や検疫ネットワークなどの役割です。

「ウ」の内部ネットワークへの侵入の検知は，IDS（侵入検知システム）などの役割です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「S/MIME」とは，電子メールに電子署名や暗号化を付ける規格です。署名を付けると，受信者は，そのメールがA氏本人が作ったものであり，途中で改ざんされていないことを確認できます。封筒に押された封印を見て，差出人本人が封をしたもので，開けられていないと分かるようなものです。正解は「ウ」です。

「ア」は，暗号化するにはB氏の公開鍵が必要なので誤りです。

「イ」は，S/MIMEは送信者と改ざんの確認までで，内容が事実かどうかを保証するものではないため誤りです。

「エ」は，S/MIMEにマルウェアを防ぐ機能はなく，添付ファイルを開けば感染する可能性があります。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › データベースセキュリティ
解説 ：
データベースのアカウントには，必要最小限の権限だけを与えるのが基本（最小権限の原則）です。データ構造の定義用アカウントは，テーブルを作成，削除する担当で，レコードの更新権限は不要です。

一方，データの入力，更新用アカウントは，日々のデータ登録，更新を行う担当で，テーブルを作成，削除する権限は不要です。この考え方に合うのは，定義用がテーブルの作成，削除だけを持つ「イ」です。

「ア」は，定義用アカウントに不要なレコード更新権限があるので不適切です。

「ウ」は，入力，更新用アカウントに，不要なテーブルの作成，削除権限があり，さらに危険です。

「エ」は，入力，更新用に更新権限がなく，テーブルの作成，削除権限だけがあり，役割と逆になっています。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › セキュアプロトコル
解説 ：
SSHの公開鍵認証では，利用者が鍵のペアを作り，公開鍵をあらかじめサーバに登録しておきます。ログイン時，クライアントは手元の秘密鍵で署名などを作り，サーバは登録された公開鍵でそれを確かめます。

つまり，サーバが使うのは，登録されたクライアントの公開鍵で，クライアントが使うのは自分の秘密鍵です。南京錠（公開鍵）をサーバに預け，その鍵（秘密鍵）は自分だけが持っているイメージです。正解は「イ」です。

「ア」は，クライアント側が公開鍵を使うことになり，本人を証明できません。「ウ」と「エ」は，秘密鍵をサーバに登録することになり，秘密鍵の意味が失われてしまいます。秘密鍵は，手元から出さないのが鉄則です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › ネットワークセキュリティ
解説 ：
正解は「ウ」です。「ハニーポット」とは，侵入者やマルウェアの挙動を調査するために，わざと脆弱性をもたせたシステムやネットワークのことです。ミツバチを蜜で誘うように，攻撃者をおびき寄せて，手口を観察します。

「ア」の「DMZ」（非武装地帯）は，インターネットと社内ネットワークの間に設ける緩衝地帯で，公開サーバなどを置きます。調査用に脆弱にしたものではありません。

「イ」の「SIEM」は，様々な機器のログを集めて分析し，脅威を検知する仕組みです。

「エ」の「ボットネット」は，マルウェアに感染して攻撃者に操られるPCなどのネットワークのことです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › セキュアプロトコル
解説 ：
「SSH」（Secure Shell）は，ネットワーク経由でほかのコンピュータに安全にログインしたり，ファイルをコピーしたりするためのプロトコルと，それを実装したコマンドです。通信が暗号化されるため，盗聴を防げます。したがって「エ」が正解です。

「ア」は，MIMEを拡張してメールの暗号化とディジタル署名を行う標準である「S/MIME」の説明です。

「イ」は，オンラインショッピングで安全にクレジットカード決済を行う仕様である「SET」（Secure Electronic Transaction）の説明です。

「ウ」は，共通鍵暗号と公開鍵暗号を併用してメールを暗号化，復号するソフトウェアである「PGP」の説明です。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › データベースセキュリティ
解説 ：
データベースの監査ログは，誰がいつどのような操作をしたかを記録したものです。操作の履歴が残るため，問題のあるデータベース操作が起きたときに，事後に調査し，原因や責任を明らかにするために使います。したがって「エ」が正解です。

「ア」は，権限のない利用者のアクセスを拒否するのは，アクセス制御の役割です。

「イ」は，チェックポイントからのデータ復旧に使うのは，更新ログなどのデータ復旧用の情報であり，監査ログではありません。

「ウ」は，監査ログは操作の記録なので，不正な書換えや削除を「事前に」検知するものではありません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「SPF」（Sender Policy Framework）は，メールの送信元ドメインの詐称を見破るための仕組みです。受信側のサーバが，メールを送ってきたサーバのIPアドレスを，送信元ドメインのDNSに登録された送信を許可するIPアドレスの一覧と照合して，なりすましでないかを確認します。正解は「イ」です。

「ア」は，ディジタル署名を使って送信元ドメインの詐称がないことを確認する仕組みで，「DKIM」の説明です。SPFは署名ではなくIPアドレスで確認する点が違います。

「ウ」の上司の承認が出るまで送信を保留する仕組みや，「エ」の全メールをアーカイブする仕組みは，SPFとは関係がありません。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「S/MIME」とは，電子メールの暗号化とディジタル署名を行うための規格です。公開鍵暗号の仕組みを使って，本文を暗号化して盗み見を防いだり，送信者の確認や改ざんの検知ができたりします。正解は「エ」です。

「ア」の「BASE64」は，画像などのバイナリデータをテキスト形式に変換する方式で，暗号化ではありません。誰でも元に戻せるので，秘密を守る効果はありません。

「イ」の「GZIP」は，データを圧縮する形式で，容量を減らす技術です。

「ウ」の「PNG」は，画像のファイル形式です。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › データベースセキュリティ
解説 ：
情報セキュリティの基本に，各人の業務執行に最低限必要な権限だけを与えるべきとする「最小権限の原則」があります。

データ構造の定義用アカウントは，テーブルの作成や削除はできますが，日々のデータ更新は不要なので，レコードの更新権限は不要です。逆に，データの入力や更新用のアカウントは，レコードの更新はできても，テーブルの作成や削除は不要です。この組合せの「イ」が正解です。

「ア」は，定義用アカウントに更新権限だけを与えていて，役割と逆です。

「ウ」は，入力用アカウントに両方を与えていて権限が過剰です。

「エ」は，入力用アカウントの権限が逆になっています。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › セキュアプロトコル
解説 ：
「IPsec」（アイピーセック）は，OSI基本参照モデルのネットワーク層（IPの層）で動作し，通信を暗号化や認証によって保護するプロトコル群です。

通信の改ざん検知や送信元の認証を行う「AH」（認証ヘッダ）と，データの暗号化を行う「ESP」（暗号ペイロード）という，二つのプロトコルを含んでいます。VPNを構築する際にもよく使われます。したがって正解は「ア」です。

「イ」の「S/MIME」は，電子メールの暗号化や署名のための方式で，アプリケーション層で動作します。

「ウ」の「SSH」は，遠隔操作などを安全に行うためのプロトコルです。

「エ」の「XML暗号」は，XML文書の一部を暗号化する技術です。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › 認証技術
解説 ：
「SPF」（Sender Policy Framework）とは，メールの送信元ドメインを使って，送信元のなりすましを検知するための仕組みです。受信側のメールサーバが，送信元ドメインのDNSに登録された『送信を許可するサーバのIPアドレス』と，実際にメールを送ってきたサーバのIPアドレスを照合します。「エ」が正解です。

「ア」のHTTP通信の中間者攻撃の検知は，ディジタル証明書などの役割です。

「イ」のLANへのPCの不正接続の検知は，検疫ネットワークやMACアドレス認証などの役割です。

「ウ」の内部ネットワークへの侵入の検知は，IDSの役割です。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › セキュリティ実装技術 › ネットワークセキュリティ
解説 ：
Webメールでは，ブラウザからWebメールサーバまでの通信はHTTPSで暗号化されます。しかし，そこから先の，Webメールサーバと宛先のメールサーバの間のSMTPなどは暗号化されないことがあります。そのため，秘密情報を送る場合は，添付ファイル自体を暗号化しておくのが安全です。「イ」が正解です。

「ア」は，一部の区間しか暗号化されていないのに平文のまま送るので不適切です。

「ウ」は，全区間が暗号化されるという前提が，問題の環境と合っていません。

「エ」は，Base64は単なる符号化で，暗号化ではありません。誰でも元に戻せるので，盗聴は防げません。