マンガでわかる情報セキュリティマネジメント試験

情報セキュリティマネジメント試験の午後問題を、マンガにしました。情報セキュリティマネジメント試験の午後問題は、一つの問題だけで、6ページほどに渡ります。読むだけでも疲れますし、内容も簡単ではありません。マンガを見ながら、気楽に、そして具体的なイメージをつかんでいただければと思います。

カテゴリ: 8.午後の関連問題

情報セキュリティマネジメント試験は、H28年春に開催されたばかりですから、過去問がそれほど多くありません。そこで、他の情報処理技術者試験の午後問題に関して、セキュリティのマネジメント系の問題を集めました。

お時間に余裕があれ、チャレンジしてみられてはいかがでしょうか。
この試験独特の特徴は、問題文のヒントを使って解くということです。この点は、違う試験であっても身に付けることができるでしょう。

問1 ログ管理システムに関する次の記述を読んで,設問1~5に答えよ。

 中堅の製造業であるB社では,他社で発生した情報漏えい事件を受けて,社内の業務システムへの不正アクセスを早期に検知するための仕組みを強化することになった。
B社では,業務システムのアクセスログ(以下,ログという)を一元管理するために,ログ管理システムを構築することにした。ログ管理システムの対象になる業務システムは,図1のネットワーク構成図に示す,勤務管理システム,販売管理システム,生産管理システム及び品質管理システムの四つである。各管理システムには,1台のサーバが割り当てられている。
9b35e855.jpg


〔業務システムの利用とログの説明(抜粋)〕
 B社の社員は,固定のIPアドレスが設定されている端末から,一意に社員を特定できる社員IDで,業務システムのうちの一つにログインし1参照”,‘更新”。“ダウンロード”の操作を行う。社員が,業務システムにログインしたときに“参照”のログがログフアイルに書き込まれる。また,ダウンロードの都度,そのデータ量を記録したログがログフアイルに書き込まれる。一人の社員が,同時に複数の業務システムを使わないこと,及び,業務システム全体からデータを1日に5Mバイトを超えてダウンロードしないことを業務システムの利用規程で定めている。

〔ログ管理システムの概要(抜粋)〕
 業務システムの各サーバ上のログファイルにログが書き込まれると,各業務システムに組み込まれている検知処理が,ログの書込みを検知し,そのログをログ管理システムのサーバ上の業務システム別のログファイルに書き込む。書き込まれたログは,ログ管理システムのログ集積処理が,各業務システムのログを一元管
理するログ集積ファイルに書き込む。ログには,業務システムを識別するための業務IDや,社員が実施した操作を示す,“参照”,“更新”fダウンロード”の操作種別などが含まれている。

〔ログ管理システムの要件(抜粋)〕
(1)ログ集積ファイルを基に,いつ,誰が,どの端末からどの業務システムをどのように操作したかが追跡できる。
(2)ログ管理システムのサーバ上のログファイルに書き込む処理は,ログ管理システムヘのログインを必要とする。
(3)ログ管理システムの管理者(以下,ログ管理者という)と業務システムの管理者(以下,業務システム管理者という)だけが,ログ集積ファイルを参照できる。
(4)ログ管理者は,ログ集積ファイルをログ管理システムから外部の機器に出力することができる。
(5)ログ管理システムから外部の機器に出力される外部ログ集積ファイルには,改ざんと漏えいを防止する対策を講じる。
(6)各サーバ間の通信には,公開鍵暗号方式を利用する。
(7)①ログ集積ファイルに書き込まれたログが一定条件を満たした際には,電子メールでログ管理者に通報する。

 [ログ管理システムの概要(抜粋)〕及び〔ログ管理システムの要件(抜粋)〕を基に,表1のログ管理システムの仕組み(抜粋)と,表2のログ管理システムへのアクセス権限表(抜粋)を作成した。

974ed9ed.jpg

設問1 表1中の[     ]に入れる要件を満たす仕組みとして適切な答えを,解答群の中から選べ。

aに関する解答群
 ア 各業務システムの稼働状況を監視する
 イ 各業務システムの時刻を同期させる
 ウ 検知処理のログ管理システムへのアクセスを監視する
 エ ログ集積ファイル へのアクセスを監視する
 オ ログ集積ファイルを圧縮する

b,  cに関する解答群
 ア 同一内容の複数個のログ集積ファイルを出力する
 イ ログ集積ファイルに電子署名を付加する
 ウ ログ集積ファイルの出力に当たっては,推測しにくい名称を付ける
 エ ログ集積ファイルのログ中の個人情報を削除する
 オ ログ集積ファイルを圧縮する
 カ ログ集積ファイルを暗号化する

設問2 ログ管理システムの要件を満たすために,日時,操作種別以外で全てのログに共通して含むべき項目を全て挙げた適切な答えを,解答群の中から選べ

解答群
 ア 業務ID,社員ID
 イ 業務システムのサーバのIPアドレス,業務ID
 ウ 業務システムのサーバのIPアドレス,業務ID,社員ID
 エ 端末のIPアドレス,業務ID,社員ID
 オ 端末のIPアドレス,社員ID

設問3 表2中の[     ]に入れる適切な答えを,解答群の中から選べ。ここで,dlとd2に入れる答えは,解答群の中から組合せとして適切なものを選ぶものとする。平成27年秋FE午後の過去問(問1)_3

設問4 業務システムの検知処理はログ管理システムのサーバ上のログファイルヘ書き込む。この通信を暗号化するために最低限必要な公開鍵の数として適切な答えを,解答群の中から選べ。

解答群
ア  1  イ  4  ウ  8  エ 12

設問5 ログ集積ファイルを基に,業務システムへの不正アクセスを早期に検知するために,〔ログ管理システムの要件(抜粋)〕の下線①で言及している一定条件として適切な答えを,解答群の中から二つ選べ。ここで,解答群は,同じ社員IDのログに対する条件とする。

解答群
ア 1日中“参照”のログだけが書き込まれたとき
イ 1日の間に“更新”のログが1回以上,書き込まれたとき
ウ ある業務システムの連続しだ更新”のログの間に,別の業務システムのログが書き込まれたとき
エ 同じ業務システムの“参照”ど更新”のログが連続して書き込まれたとき
オ 業務システムからダウンロードされたデータ量が1日で5Mバイトを超えたとき
カ 特定の業務システムの“参照”のログが15分間,書き込まれていないとき


■解説
[設問1]
(a)
情報セキュリティマネジメント試験を目指す剣持成子_2 

ログの問題といえば、時刻同期は必ずといっていいほど問わます。
よって、直観で正解の選択肢イ「各システムの時刻を同期させる」と答えました。
その通りです。時刻がバラバラであれば、正確な時刻の把握や、複数のシステムのログを突合することなどができません。
さて、問題文を確認しましょう。問題文表1のNo.1の要件には「いつ,誰が,どの端末からどの業務システムをどのように操作したかが追跡できる」とあります。「いつ」というキーワードから、時刻を同期させることは、仕組みとして必要であることが分かります。アが正解です。

(b)(c)
表1のNo.2の要件は、「ログ管理システムから外部の機器に出力される外部ログ集積ファイルには,改ざんと漏えいを防止する対策を講じる」ことです。ここにある「改ざん」と「漏えい」のリスクに対する仕組みを選びます。
①「改ざん」対策
選択肢イの「ログ集積ファイルに電子署名を付加する」ことで改ざんを検知できます。電子署名を復号したものと、ファイルをハッシュしたものを比較し、一致していなければ改ざんがされていると判断できるのです。
②「漏えい」対策
選択肢カの「ログ集積ファイルを暗号化する」仕組みが最適です。暗号化すれば、万が一漏えいした場合でも、情報を読み取られる心配がありません。イとカが正解です。

【正解】
a イ
b イ(b,c順不同)
c カ

[設問2]
情報セキュリティマネジメント試験を目指す剣持成子_7 

設問に記載がある「ログ管理システムの要件」ってなんですか?
問題文に必ず書いてあるので必ず確認しましょう。今回は、「〔ログ管理システムの要件(抜粋)〕」に具体的に記載されています。「ログ集積ファイルを基に,いつ,誰が,どの端末からどの業務システムをどのように操作したかが追跡できる。」の部分です。

また、問題文には、以下のヒントがあります。
・「B社の社員は,固定のIPアドレスが設定されている端末から,一意に社員を特定できる社員IDで,業務システムのうちの一つにログインし"参照","更新"、"ダウンロード"の操作を行う。」
・「ログには,業務システムを識別するための業務IDや~」

このヒントを使うと、要件の「誰が」は「社員ID」、「どの端末から」は「固定のIPアドレスが設定されている端末」、「どの業務システム」は「業務ID」によって識別できることが分かります。

【正解】 エ

[設問3]
「ログ管理システムヘのログイン」に関して、問題文には「各業務システムに組み込まれている検知処理が,ログの書込みを検知し,そのログをログ管理システムのサーバ上の業務システム別のログファイルに書き込む。」「(2)ログ管理システムのサーバ上のログファイルに書き込む処理は,ログ管理システムヘのログインを必要とする。」とあります。
このことから、検知処理では、ログファイルに書き込むためにログ管理システムへログインします。よって、空欄d1は「可」です。
次に「ログファイルへのアクセス」であるが、「検知処理が,ログ管理システムのサーバ上のログファイルに書き込む。」の記述から、書き込みを示す「W」が入ります。選択肢イが正解です。
情報セキュリティマネジメント試験を目指す剣持成子_1 

RやEのアクセス権が付与されている可能性もありますが、選択肢はアの「RE」かイの「W」のどちらかしかないので、その可能性はないと分かりました。

【正解】 イ

[設問4]
問題文には「業務システムは,図1のネットワーク構成図に示す,勤務管理システム,販売管理システム,生産管理システム及び品質管理システムの四つである」という記述があります。このことから、ログ管理システムは、この4つのサーバと通信をすることが分かります。よって、公開鍵は最大でも4つあれば十分です。
次に、具体的にどのように暗号化がされているのかを考えましょう。この通信は、各業務システムからログ管理システムへの一方向の通信です。通信を第三者に見られないようにするには、ログ管理システムの公開鍵で通信を暗号化します。
よって、通信は4つあっても、どの通信も、暗号化するのはログ管理システムの公開鍵である。つまり、公開鍵は1つだけでいいのです。
情報セキュリティマネジメント試験を目指す剣持成子_26

業務システムの公開鍵で暗号化してはダメなのですか?
業務システムの公開鍵で暗号化したとしましょう。ログ管理システムは業務システムの秘密鍵を持っていないので、通信を復号することができません。ダメですね。

【正解】 ア

[設問5]
問題文には、「一人の社員が,同時に複数の業務システムを使わないこと,及び,業務システム全体からデータを1日に5Mバイトを超えてダウンロードしないことを業務システムの利用規程で定めている。」とあります。これに該当する選択肢を探せばいいので、簡単でした。
まず、「一人の社員が,同時に複数の業務システムを使わないこと」に該当する選択肢は、ウです。選択肢ウは、「ある業務システムの連続した”更新”のログの間に,別の業務システムのログが書き込まれたとき」です。これは、同時に複数の業務システムを利用しないと起こりにくい事象です。
次に、「1日に5Mバイトを超えてダウンロードしないこと」です。選択肢オは「業務システムからダウンロードされたデータ量が1日で5Mバイトを超えたとき」とあり、これが正解です。

【正解】 ウ,オ

39c5b9d4.jpg 
情報セキュリティマネジメントと同じレベル2の試験である基本情報技術者試験の午後問題ですか。
これを解いて、情報セキュリティマネジメント試験の午後演習ということですね!
はい。その通り。ただ、この問題は、基本情報技術者の試験の特徴もあり、やや技術よりな問題になっています。情報セキュリティマネジメント試験は、利用者側を意識した試験なので、実際にはこのような技術的な問題は少ないと思います。
ただ、インターネットに公開するサーバのセキュリティ対策については、きちんと理解しておきたいテーマです。設問2で登場する用語については、簡単に確認するようにしましょう。

【問題文】
問1 インターネットを利用した受注管理システムのセキュリティに関する次の記述を読んで,設問1~4に答えよ。
 製造業のK社では,インターネットを利用した受注管理システムを開発している。受注管理システムは,取引先も利用するので,セキュリティ上の欠陥があった場合,自社だけでなく取引先にも損害を与える可能性がある。そこで,K社は,セキュリティ診断サービスを行っているZ社に,受注管理システムの脆弱性診断を依頼した。

〔受注管理システム〕
 受注管理システムのアプリケーション(以下,受注管理アプリケーションという)は, Webサーバ上で稼働する。受注や出荷などの情報は,データベース(以下, DBという)サーバ上で稼働する受注情報DBに格納され,受注管理アプリケーションから,参照,更新される。取引先PCにダウンロードできるファイルや,取引先PCからアップロードされたファイルは, Webサーバに接続されているディスクに格納される。受注管理システムの構成を図1に示す。
1

 RPSには,ディジタル証明書を設定しておく。受注管理システムを利用する取引先の担当者は,取引先PCのブラウザからRPSを経由して受注管理アプリケーションにアクセスし,ログイン画面で利用者IDとパスワードを入力してログインする。その際,取引先PCのプラウザからの通信には, HTTP over SSL/TLS (以下, HTTPSという)を使用する。RPSではディジタル証明書を使って, HTTPSからHTTPにプロトコルを変換する。

〔Z社の脆弱性診断の結果〕
 受注管理アプリケーションには,想定していない操作をDBサーバに実行させて,DBに不正アクセスするような[  a  ]については,対策がされている。しかし,Z社の脆弱性診断の結果,受注管理アプリケーションに対策が必要なセキュリティ上の脆弱性が複数指摘された。表1にZ社からの指摘事項(抜粋)を示す。
2

 K社は,表1中の下線①及び②に対策を行った。さらに,Z社からのその他の指摘事項にも対策を行って,K社は,受注管理システムの運用を開始することにした。

設問1 図1中の通イ言経路を表2に示す1~5とした場合,取引先PCからWebサーバにアクセスするときに,HTTPSが通イ言に使われる通信経路だけを全て示す正しい答えを,解答群の中から選べ。
3 
解答群
 ア 1
 イ 1,2,3
 ウ 1,2,3,4
 エ 1, 2, 3, 4, 5
 オ 2,3,4
 カ 2,3,4,5
 キ 3,4

設問2 本文中の[   ]に入れる適切な答えを,解答群の中から選べ。
a,bに関する解答群
 ア DoS攻撃
 イ SQLLインジェクション
 ウ クロスサイトスクリプティング
 エ 辞書攻撃
 オ ディレクトリトラバーサル
 カ トラッシング
 キ ブルートフォース攻撃
 ク ポートスキャン

設問3 表1中の下線①の対策として適切な答えを,解答群から選べ。

解答群
 ア ダウンロードしたいファイルを絶対パスで指定させ,該当ファイルが存在する場合には,ダウンロードの処理を行う。
 イ ダウンロードしたいファイルを相対パスで指定させ,該当ファイルが存在する場合には,ダウンロードの処理を行う。
 ウ ダウンロードしたいファイルのファイル名だけを指定させ,取引先ごとに決められたフォルダ内に該当ファイルが存在する場合には,ダウンロードの処理を行う。
 エ 取引先PCのブラウザに, Webサーバ上の全てのフォルダ構成及びファイルを表示し,ダウンロードしたいファイルを指定させ,ダウンロードの処理を行う。

設問4 表1中の下線②の脆弱性から考えられるセキュリティ事故として適切な答えを,解答群の中から選べ。

解答群
 ア 取引先の担当者が誕生日をパスワードにしていると,誕生日を知っている者がログインできてしまう。
 イ パスワードの候補を自動で次々と入力するプログラムを利用することで,ログインできてしまう。
 ウ パスワードを記載したメモを取引先の担当者が落とし,それを拾った者がログインできてしまう。
 エ ログイン操作を背後から盗み見て,パスワードを入手し,ログインできてしまう。

【解説】
[設問1]
1473731e.jpg 

その前に、RPSの意味を教えてください。
RPSとはリバースプロキシサーバのことで、外部からの社内(Webサーバ)へのリモートアクセスを中継する仕組みです。このとき,RPSではSSL通信を復号することが一般的です。
リバースプロキシサーバに関しては、以下も参照ください。
http://nw.seeeko.com/archives/50540601.html

この問題では、HTTPSが通信に使われる区間が問われています。問題文のヒントをもとに、解答を導きます。「RPSには,ディジタル証明書を設定しておく。受注管理システムを利用する取引先の担当者は,取引先PCのブラウザからRPSを経由して受注管理アプリケーションにアクセスし,ログイン画面で利用者IDとパスワードを入力してログインする。その際,取引先PCのブラウザからの通信には,HTTP over SSL/TLS(以下,HTTPSという)を使用する。RPSではディジタル証明書を使って,HTTPSからHTTPにプロトコルを変換する」とあります。
このことから、取引先PCからRPS(リバースプロキシサーバ)にHTTPSで通信し,RPSでHTTPに変換されることが分かります。
 ですから、表2の経路番号1の「取引先PCとFW3との間」,2の「FW3とFW1との間」,3の「FW1とRPSとの間」までがHTTPSです。そして、4の「FW1とFW2との間」と5の「FW2とWebサーバとの間」はHTTPの通信です。
正解は、経路番号1,2,3の(イ)です。

【正解】 イ

[設問2]
空欄の穴埋め問題です。
・空欄a
問題文には「受注管理アプリケーションには,想定していない操作をDBサーバに実行させて,DBに不正アクセスするような[  a  ] とあります。DB(データベース)というキーワードから、選択肢(イ)の「SQLインジェクション」であることが分かります。SQLインジェクションは,Webフォームなどに、不正な入力データを送りこむ攻撃です。SQLインジェクションは、大事なキーワードなので、覚えておきましょう。

・空欄b
問題文には「攻撃者によってWebページ内にスクリプトが埋め込まれてしまう[  b  ]の脆弱性」とあります。「スクリプト」というキーワードがありますので、素直に(ウ)の「クロスサイトスクリプティング(XSS)」が正解です。クロスサイトスクリプティングは,クロスサイトとあるように,一つのサイトではなく複数のサイトにまたがった攻撃です。一方、空欄aのSQLインジェクションは、複数サイトにはまたがりません。
この問題文に「取引先の担当者が他のWebサイトに誘導されて」とありますように、このサイトだけでなく、他のサイトにまたがって攻撃をします。

また、その他の選択肢を大事な言葉が多いので、ぜひ覚えておきましょう。言葉そのものが意味することを理解すると、覚えやすくなります。
(ア)のDoS(Denial of Service)攻撃とは,その言葉が意味する通り,「Service(サービス)のDenial(拒否)」することです。例えば、対象サーバに、大量のPingを送信することで、システムを異常停止させます。
(キ)のブルートフォース攻撃ですが,ブルート(Brute)とは「猛獣」の意味し、フォース(Force)は「力」を意味します。「猛獣による力による攻撃」が直訳になります。不正ログインのためのパスワードクラックの方法として、総当たり攻撃を仕掛けます。
(エ)の辞書攻撃ですが、ブルートフォース攻撃は総当たりなので時間がかかります。そこで、人間がパスワードを付けるときは日常の辞書に存在する単語を使うだろうという想定のもと、辞書の言葉を組み合わせて効率的にパスワードを破ろうとする攻撃です。
(オ)のディレクトリトラバーサルですが、ディレクトリはフォルダという言葉のほうがなじみ深いでしょう。ディレクトリ=フォルダと考えてください。また、トラバーサル(traversal)とは「横断」という意味で,ディレクトリに関する不正な横断と考えましょう。管理者が意図していないパスを指定することで,本来は許されないファイルに不正にアクセスすることです。
(カ)のトラッシングですが,トラッシュ(trash)は「ゴミ」を意味します。ゴミ箱に捨てられた機密情報や個人情報を盗むソーシャルエンジニアリングの手法の一つです。
(ク)のポートスキャンとは,サーバなどで使用しているサービス(ポート番号)を全て探索することで。直接的な攻撃ではなく、攻撃をしかけるための事前調査の行動になります。

[設問3]
この問題は、指摘事項と対で考えましょう。

【指摘事項】
取引先の担当者がWebサーバ上の任意のファイルをダウンロード可能である
【原因】
受注管理アプリケーションでのファイルのダウンロード処理に問題がある
79dada27.jpg 

取引先の担当者が任意のファイルをダウンロードできるっておかしいですね。
他社の人には、許可されたファイルだけに限定すべきだと思います。
その通り。そのための方法として、(ウ)「ダウンロードしたいファイルのファイル名だけを指定させ、取引先ごとに決められたフォルダ内に該当フォルダが存在する場合には、ダウンロードの処理を行う」が正解です。
この表現が分かりにくかったかもしれません。ただ、「取引先ごとに決められたフォルダ内」に限定してダウンロードの処理をさせていることがポイントであることが分かれば、正解だと気が付いたことでしょう。

他の選択肢ですが、(ア)と(イ)は,絶対パスと相対パスの違いはありますが,どちらも「該当ファイルが存在」すればダウンロード処理ができてしまいます。つまり,取引先にアクセス権がなくても不正にダウンロードできてしまいます。
(エ)は,「Webサーバ上の全てのフォルダ構成及びファイルを表示」させてしまうことが問題です。

[設問4]
銀行のATMを思い浮かべてください。パスワードを連続して間違えると,ロックされて使えなくなります。しかし、問題文の下線②には,「取引先の担当者がログイン時にパスワードを連続して間違えても利用者IDがロックされない」とあります。これではいけません。
なぜでしょうか。
ab90928f.jpg 
それを答えるのがこの問題ですね。
たとえば、ブルートフォース攻撃や辞書攻撃などによるパスワードアタックができるからです。
正解です。したがって,(イ)の「パスワードの候補を自動で次々と入力するプログラムを利用することで,ログインできてしまう」が正解です。

他の三つの選択肢は,いずれもパスワードを知っていることを前提とした攻撃内容です。パスワードを知っていますから、パスワードを連続して間違えることもなく,利用者がロックされることもありません。アカウントロックはこれらの攻撃に対するセキュリティ対策にはならないのです。

問1 ネットワークセキュリティに関する次の記述を読んで,設問1~4に答えよ。

 A社は,社内に設置したWebサーバ上に,自社の製品を紹介するWebサイトを構築し,運営している。A社は,このWebサイトで会員登録を受け付け,登録された会員に対してメールマガジンを発行している。
 A社のネットワーク構成を,図1に示す。
5bcb816c.jpg


 会員登録処理の流れは次のとおりである。
 (1)登録希望者は,インターネットを介し, Webサーバが管理する入会申込用WebページにHTTP over  SSL/TLS (以下, HTTPSという)でアクセスし,メールアドレスを入力する。
 (2) Webサーバは,登録希望者ごとに,登録希望者専用の会員情報入力用Webページを生成し,そのURLを記載した電子メール(以下,メールという)を,入力されたメールアドレス宛てに送信する。
 (3)登録希望者は,(2)で送信されたメールに記載されたURLが示すWebページにHTTPSでアクセスして,氏名や職業などの会員情報(メールアドレスは含まない)を入力する。
 (4) Webサーバは, (1)のメールアドレスと(3)の会員情報を,会員管理サーバ上で稼働しているデータベース(以下,会員情報DBという)に登録する。
 (5) Webサーバは,会員登録完了を知らせるメールを, (1)のメールアドレス宛てに送信する。

 メールマガジン発行の流れは次のとおりである。
 (1)メールマガジン担当者は,業務用PCのWebブラウザから,メールマガジン送信サーバのメールマガジン入力用WebページにHTTPでアクセスし,メールマガジンの本文を入力する。
 (2)メールマガジン送信サーバは,会員情報DBから全ての会員のメールアドレスを取得し,取得したメールアドレス宛てにメールでメールマガジンを送信する。
 なお,メールは,メールサーバで稼働しているメール転送サービスを介して送信する。また,本問では, URLやメールアドレスなどの名前解決については,考慮しなくてよいこととする。

設問1 会員登録の際,登録希望者が最初にアクセスする入会申込用Webページでは,登録希望者のメールアドレスだけを入力させ,会員情報の入力は別途行わせる方式を採っている。このように2段階の手順を踏む主な目的として適切な答えを,解答群の中から選べ。

解答群
 ア 他人のメールアドレスや間違ったメールアドレスが登録されないようにする。
 イ 通信を暗号化し,登録希望者の会員情報が第三者に漏れないようにする。
 ウ 登録希望者が会員情報DBにアクセスできないようにする。
 エ 間違った会員情報(メールアドレスは含まない)が登録されないようにする。

設問2 次の記述中の[   ]に入れる正しい答えを,解答群の中から選べ。

 ルータは,動的なパケットフィルタ型のファイアウォール機能を搭載していて,設定で許可したパケットだけを通過させる。
 設定は,送信元,送信先,通信ポートの順に“,”で区切って記述する。これは,送信元から送信先の通信ポート宛てのパケットの通過を許可することを意味する。許可されたパケットに対する応答パケットの通過も許可される。
 送信元及び送信先には,IPアドレス又はネットワークインタフェースを指定する。IPアドレスを指定したときに許可の対象となるパケットは,送信元又は送信先のIPアドレスが,指定されたIPアドレスであるパケットである。ネットワークインタフェースを指定したときに許可の対象となるパケットは,そのネットワークインタフェースから入ってくるパケット(送信元として指定したとき),又は出ていくパケット(送信先として指定したとき)である。
 通信ポートには,各サービスがパケットを待ち受けるポート番号を指定する。
A社の各サーバ上で稼働している各サービスが使用するプロトコルと待受けポート番号を,表1に示す。
b16a6758.jpg


 現在のルータの設定を,図2に示す。
 1行目の設定で,インターネットからWebサーバにHTTPでアクセスすることを許可し,2行目の設定で,インターネットから入ってくるメールを,メールサーバに転送することを許可している。
606ce02a.jpg


解答群
 ア 192.168.0.2,443
 イ 192.168.0.2,4194
 ウ 192.168.0.3,4194
 エ 203.0.113.2,443
 オ 203.0.113.2,4194
 カ if0,443

設問3 次の記述中の[  ]に入れる正しい答えを,解答群の中から選べ。

 A社は,Webサーバのメンテナンスを外部委託し,委託先内の特定のPCから,インターネットを介して,Webサーバを操作できるようにした。そのために,Webサーバ上に待受けポート番号22でSSHサービスを稼働させ,ルータの設定に“[ c ]”の行を追加した。
 なお,このPCから送信されたパケットがルータに到着したとき,このパケットの送信元IPアドレスは,198.51.100,2となっている。

解答群
 ア 198.51.100.2,203.0.113.2,22
 イ 198.51.100.2,if0,22
 ウ 203.0.113.2,198.51.100.2,22
 エ if0,198.51.100.2,22

設問4 次の記述中の[ d ]に入れる正しい答えを,解答群の中から選べ。
 SSHサービスがクライアントを認証する方式には,パスワード認証方式と公開鍵認証方式がある。A社は公開鍵認証方式を採用した。
 公開鍵認証方式では,秘密鍵で作成した署名が,対応する公開鍵で検証できることを利用して,次のようにクライアントを認証する。
(1)クライアントは,秘密鍵を使って作成した署名と,その秘密鍵に対応する公開鍵をサーバに送る。
(2)サーバは,(1)の公開鍵がサーバに登録されていることを確認し,公開鍵で(1)の署名を検証する。
(3)検証に成功すれば,クライアントがサーバに登録されている公開鍵に対応する秘密鍵をもっていることが証明されるので,サーバは,クライアントを認証する。
 このように,公開鍵認証方式では,クライアントがサーバのSSHサービスを利用する際に,パスワードや[ d ]をネットワーク上に流す必要がない。
 
解答群
 ア 公開鍵
 イ 秘密鍵
 ウ 秘密鍵及び公開鍵

【設問解説】
[設問1]
(ア)会員登録処理の流れは、(1)の手順で登録希望者がメールアドレスを入力した後、(2)の手順で入力されたメールアドレス宛にメールを送信します。
 このとき、メールがきちんと届けば、メールアドレスが正しいかの確認ができます。また、他人のメールアドレスを登録した場合、(2)の手順でのメールを受け取れないので、選択肢アの目的が達成できます。
(イ)通信を暗号化するのは、HTTPSによる処理であって、2段階の手順とは関係がありません。
(ウ)これを実現するには、DMZとLANを分け、ファイアウォールでアクセス制限をするなどが必要で、2段階の手順とは関係がありません。
(エ)会員情報は、登録希望者が自ら入力するので、残念ながら、その間違いをチェックすることは困難です。
 以上のことから、正解はア。

【正解】 ア

[設問2]
情報セキュリティマネジメント試験を目指す剣持成子_9 

何を入れていいのか、さっぱりわかりません。
[ a ]、[ b ]のみを考えるのではなく、上から順に確認しましょう。そうすることで、答えにたどり着くことができます。
・1行目 if0,203.0.113.2,80
 外部(インターネット)から公開WebサーバへのWeb閲覧(HTTP通信)を許可する。
・2行目 if0,203.0.113.3,25
 外部(インターネット)からメールサーバへのメール送信(SMTP通信)を許可する。
・3行目 203.0.113.3,if0,25
 メールサーバから外部(インターネット)へのメール送信(SMTP通信)を許可する。
・4行目 if2,203.0.113.2,80
 内部(LAN)からWebサーバへのWeb閲覧(HTTP通信)を許可する。
・5行目 if2,203.0.113.2,443
 内部(LAN)からWebサーバへの暗号化されたWeb閲覧(HTTPS通信)を許可する。
・6行目 if2,203.0.113.3,25
 内部(LAN)からのメールサーバへのメール送信(SMTP通信)を許可する。
・7行目 if2,203.0.113.3,110
 内部(LAN)からのメールサーバに対するメール受信(POP3通信)を許可する。
・8行目 if0,[  a   ]
・9行目 203.0.113.2,[ b   ] 
 ここで、問題文の会員登録処理の流れ(2)と(5)は、外部へのメール送信なので、3行目のルールが該当します。しかし、(1)と(3)の外部からWebサーバへのHTTPSの通信と、(4)のWebサーバから会員管理サーバへの通信ルールの記載がありません。これが、それぞれ8行目と9行目に該当します。
 では、空欄aとbに入れる答えを考えます。
a:8行目は、外部(if0)からWebサーバ(203.0.113.2)へのHTTPS(443)の通信ですから、以下のルールになります。
  if0,203.0.113.2 443
 よって、aはエ。
 
b:9行目はWebサーバ(203.0.113.2)から会員管理サーバ(192.168.0.3)への通信です。会員情報DBへのアクセスは、表1から独自プロトコルで4194番が待受けポート番号であるから、以下のルールになります。
 203.0.113.2,192.168.0.3 4194
 よって、bはウ。

【正解】 
 a エ    b ウ

[設問3]
問題文には、「設定は,送信元,送信先,通信ポートの順に“,”で区切って記述する」とあります。送信元は、PCであるから198.51.100.2,送信先はWebサーバであるから203.0.113.2,通信ポートはSSHであるから22です。よって、アが正解です。
情報セキュリティマネジメント試験を目指す剣持成子_8 

イでもメンテナンスは可能で、要件を満たすと思います。
これは、アの設定よりも緩い設定で、送信先をif0上のあるすべてに設定しています。これはセキュリティ上好ましくありません。よくない。よって、イは不正解です。

【正解】 c ア

[設問4]
 SSHによる暗号化通信の流れが記載されています。単にこの問題の答えを解くだけにでなく、この文章をよく読んで、SSHの仕組みが詳しく理解しましょう。
 さて、設問文をよく読んで解答を導き出しましょう。(1)~(3)のやりとりの中で、ネットワークに情報を流しているのは(1)のみです。しかも、その情報は「公開鍵をサーバに送る」とあることから、「公開鍵」だけです。このことから、「公開鍵」が含まれている選択肢アとウは不正解です。そして、「秘密鍵」をネットワーク上に流すという記述がないことから、イの「秘密鍵」が正解であることが分かります。秘密鍵ですから、ネットワーク上に流してはいけないことは自明ですね。

【正解】 d イ

問1 情報資産についてのリスクアセスメントに関する次の記述を読んで,設問1~3に答えよ。 

 Z社は,従業員数が500の中堅SIベンダである。Z社では,プロジェクト開始前に,プロジェクトで扱う情報資産について,図1に示す自社で定めた手順に従って,リスクアセスメントを実施している。このたび,新規に受注したプロジェクトYに対して,リスクアセスメントを実施することになった。
96192c7c.jpg


〔プロジェクトYの説明(抜粋)〕
(1)顧客が利用する購買システムを開発する。
(2)開発で利用するテストデータは顧客から提供される。
(3)顧客のテストデータを格納した顧客のUSBメモリを,プロジェクトメンバが顧客から受け取って自社に持ち帰り,顧客のテストデータを開発用サーバに複写後,USBメモリから削除する。
(4)Z社から顧客の事務所を訪問するのに,電車で1時間30分ほど要する。
(5)開発用PCでプログラムを開発し,適宜,開発用サーバにアップロードする。

〔Z社の開発環境(抜粋)〕
(1)プログラムの開発には,開発用サーバと開発用PCを利用する。
(2)開発用サーバは,施錠されたサーバルームに設置されている。
(3)開発用サーバは,アクセス管理がされており,プロジェクトメンバとシステム管理者だけがアクセスできる。
(4)開発用PCは,プロジェクト開始時にシステム部から各プロジェクトメンバに貸与され,プロジェクト終了時に返却される。

〔Z社の開発標準(抜粋)〕
(1)開発時,プロジェクトメンバは顧客のテストデータのうち必要なものだけを,開発用サーバから自分の開発用PCにダウンロードし,不要になったら削除する。
(2)プロジェクト終了時に,プ囗ジェクトマネージヤは開発用サーバの顧客のテストデータを削除し,全ての開発用PCから顧客のテストデータが削除されていることを確認する。

〔Z社のリスク値算出方法〕 
 Z社では,各情報資産のリスク値を,次の式で算出する。 
    リスク値 = 情報資産の価値×脅威×脆弱性
 ここで,“情報資産の価値”とは情報資産が損なわれたときの影響の大きさを意味し,機密性(以下,Cという),完全性(以下,Iという),可用性(以下,Aという)の観点に対して,影響の大きさをそれぞれ1~3の値で評価するO“脅威”は,発生の可能性の大きさを1~3の値で評価する。“脆弱性”は,脅威が発生した場合に被害が顕在化する度合いの大きさを1~3の値で評価する。ここで,各1~3の値は大きい場合を3,小さい場合を1とする。
 C, I, Aごとに算出したリスク値が全て12以下ならばリスクを受容し,そうでないならば追加のリスク対策を実施することにしている。

〔リスクの特定〕
 ① 情報資産の洗出し
  プロジェクトYで扱う情報資産の洗出しを行った。その結果を,表1に示す。
f93b9901.jpg


② 情報資産の価値の数値化
  表1の各情報資産に対して. C, I, Aのそれぞれについてその価値を評価した値と評価理由を,表2に示す。
df25217b.jpg


③ 脅威の数値化
  表2の情報資産のうち,情報資産No.4 (顧客のテストデータ)について,脅威の内容と脅威の値を,表3に示す。
b5df09ac.jpg


④ 脅威に対する脆弱性の数値化
  表3の各脅威に対する脆弱性の低減策と脆弱性の値を,表4に示す。脆弱性の値は,システム,規則又は運用で,二つ以上対策済みなら1,一つだけなら2,未対策は3とする。
35ba76cd.jpg


〔リスクの分析評価〕
  表2~4を基に情報資産No.4 (顧客のテストデータ)のリスクの分析評価を行いリスク値を算出した結果を,表5に示す。
acfdb5eb.jpg


 プロジェクトYのプロジェクトマネージヤは,リスクの分析評価の結果からリスク対応計画を作成した。その後,リスク対策を実施した。

設問1 表2中の(ii), (iii)は, C, I, Aのいずれかの観点から“情報資産の価値”を評価した際の評価理由である。(ii), (iii)に対応するC, I, Aの組合せとして適切な答えを,解答群の中から選べ。
3177edb3.jpg


設問2 情報資産No.4 (顧客のテストデータ)に対するリスクの分析評価の結果,追加のリスク対策が必要になる脅威の数として正しい答えを,解答群の中から選べ。

解答群
 ア  1   イ 2     ウ 3     エ 4

設問3 社内でのセキュリティ事故の発生と対策に関する次の記述中の[    ]に入れる適切な答えを,解答群の中から選べ。

 プロジェクトYの終了後,新たに発足したプロジェクトXで利用している開発用PCに,プロジェクトYの顧客のテストデータが格納されている,とシステム部に連絡があった。調査した結果,このPCは,プロジェクトYで利用していた開発用PCであり,システム部に返却された後に,システム部からプロジェクトXに貸与されたものであることが判明した。そこで,Z社では,顧客のテストデータの漏えいというリスクに対処するために,[  a  ],[  b  ]という対策を追加することにした。

解答群
 ア 開発用サーバのアクセスログをシステム部が定期的に確認する
 イ 顧客のテストデータを開発用PCにダウンロードして利用する場合は,管理台帳にダウンロード日,削除日,実施者を記入する
 ウ 顧客のテストデータを開発用PCに保存する際に,警告メッセージが表示されるようにする
 エ プロジェクトごとに新たに開発用サーバを用意する
 オ プロジェクトメンバが開発用サーバ上の顧客のテストデータにアクセスする権限を参照だけに設定する
 カ 返却された開発用PCは,システム部が全データを完全消去する工程を追加する

【解説】

[設問1]
C、I、Aの定義を問題文にて確認しましょう。Cは機密性(Confidentiality)、Iは完全性(Integrity)、Aは可用性(Availability)です。
(ⅱ)は、問題文に「社外に漏れた場合、顧客からの信用を失う」とあります。「社外に漏れ」という言葉から、機密として管理した情報が漏れるという機密性(C)のリスクであること分かります。
(ⅲ)ですが、「版管理が行われない場合、不整合によって、プロジェクトの進捗に影響を与える」とあります。「不整合によって」という言葉から、データの完全性(I)が保たれないというリスクだと分かります。
念のため、(ⅰ)も見ておきましょう。「開発中のプログラムが利用できない場合、プロジェクトの進捗に影響を与える」とあります。「利用できない場合」という言葉から、可用性(A)が脅かされるリスクであることが分かります。
(ⅱ)がCで(ⅲ)がIであることから、解答群のエが正解です。

【正解】 エ

[設問2]
まずは、表5を完成させましょう。
問題文に「リスク値 = 情報資産の価値 × 脅威 × 脆弱性」とあります。たとえば、T3のリスク値Cで言うと、情報資産の価値は3、脅威は2、脆弱性は1です。よって、3×2×1=6がリスク値です。
全ての脅威に対して計算すると、次のようになります。(抜粋しています)
脅威脆弱性リスク値
脅威ID脆弱性IDリスク値IDCIA
T13Z12R118126
T21Z23R2963
T32Z31R3642
T43Z42R418126
T52Z52R51284
T61Z61R6321
T71Z73R7963

設問では、「追加のリスク対策が必要になる脅威の数」が問われています。「リスク値が全て12以下ならばリスクを受容し、そうでないならば追加のリスク対策を実施する」とありますので、作成した表5の中で、「リスク値が12より大きいものが一つ以上ある」ものを探します。
情報セキュリティマネジメント試験を目指す剣持成子_28 


リスク値が12のものは含まれないのですね
そうです。すると、リスクIDがT1とT4の2つが該当します。イが正解です。

【正解】 イ

[設問3]
問題文の〔Z社の開発標準(抜粋)〕には、次の記載があります。
(1)開発時,プロジェクトメンバは顧客のテストデータのうち必要なものだけを,開発用サーバから自分の開発用PCにダウンロードし,不要になったら削除する。
(2)プロジェクト終了時に,プロジェクトマネージヤは開発用サーバの顧客のテストデータを削除し,全ての開発用PCから顧客のテストデータが削除されていることを確認する。

今回の問題は、このような開発標準があるにもかかわらず、(1)のPCにダウンロードしたテストデータを削除しなかったこと、(2)の開発用PCから顧客のテストデータが削除されていることをきちんと確認しなかったことが問題です。
この点を頭において解答群を見ましょう。

(ア)アクセスログを確認したとしても、開発用PCの顧客データを削除することはできません
(イ)「顧客のテストデータを開発用PCにダウンロードして利用する場合は,管理台帳にダウンロード日,削除日,実施者を記入する」とあります。この情報があれば、プロジェクトが終了したタイミングなどで、ダウンロードした実施者のPCから、データが削除されているかを確認することができます。つまり、情報漏えい対策として有効です。
(ウ)警告メッセージが表示されても、PCに保存してしまうことになるから、効果はありません
(エ)PCに保存されたデータを消すことには関係がありません。
(オ)上書きなどの書き込み権限が付与されなかったとしても、参照できることからデータの漏えいのリスクがあります。
(カ)「返却された開発用PCは,システム部が全データを完全消去する工程を追加する」ですが、こうすることで、データの削除を確認できます。データ漏えい対策として有効です。

【正解】
 a イ(順不同)
 b カ(順不同)

↑このページのトップヘ