応用情報技術者 2018年 秋期 午後 問01

解答の論理構成

• 問題文では
  “インターネット側から対象サーバにTCPスキャン及びaスキャンを実施し、稼働しているサービスに関する情報を収集する。”
  とあります。ポートスキャンで TCP と対になる代表的なプロトコルは UDP です。他の選択肢「ア：ARP」「エ：XML」などはポートスキャンの対象プロトコルではないため不適切です。
  ⇒ a には “ウ：UDP” が入ります。
• “Webアプリケーションについて、bの不備、Webページの出力処理の不備などがないことを確認する。”
  Webアプリケーション診断では セッション管理 の不備が定番チェック項目です。解答群に該当するのは “キ：セッション管理” だけです。
  ⇒ b には “キ：セッション管理” が入ります。

誤りやすいポイント

• UDPをARPやICMPと混同しやすい
  → ポート番号を持つのは TCP/UDP だけ。ARPはそもそもレイヤ2。
• Webアプリ診断で “ログ管理” や “XML” を選びがち
  → 問題文は “出力処理の不備” に言及しており、クライアントとサーバ間の状態保持に関わる セッション管理 が本命。

FAQ

解答の論理構成

1. 表2における「診3」の説明は“OS、ミドルウェア、アプリケーションの設定の不備などがないことを確認する。”という【問題文】の記載です。
2. 表3「脆1」の“脆弱性の内容”には“送信ドメイン認証機能が未設定”とあり、まさに設定の不備であることが分かります。
3. よって、表3「脆弱性診断の項番」欄に入るのは、設定不備に該当する「診3」と判断できます。
4. 以上より c に入る適切な字句は【問題文】そのままの “診3” です。

誤りやすいポイント

• “既知の脆弱性”という文言だけで“未設定”をソフトウェアのバグと誤認し「診2」としてしまう。
• メールに関する脆弱性なので送受信プロトコルの開放ポート不足と誤解し「診1」を選択してしまう。
• 表2の説明を細かく読まず、設定不備＝診3を結び付けられない。

FAQ

解答の論理構成

1. 【問題文】では、脆弱性「送信ドメイン認証機能が未設定なので、インターネットから届く送信元メールアドレスを偽装したスパムメールを受信してしまう状態」を解消するために「メールサーバソフトウェアに送信ドメイン認証機能としてd認証の設定を行う」と記載されています。
2. メールの送信ドメイン認証方式で、DNSに登録したレコードを利用し送信元 IP アドレスを照合する代表的な仕組みは「SPF(Sender Policy Framework)」です。SPF では DNS に “SPF レコード” を登録し、送信を許可された IP アドレスを公開します。したがって d には解答群「エ：SPF」が入ります。
3. SPF の動作手順には「受信したメールのeIPアドレスと照合」という工程が必ず含まれます。ここで比較対象となるのは、SMTP セッションを張ってきたホスト、すなわち「送信元 IP アドレス」です。解答群で該当するのは「カ：送言元」です。
4. 以上より、 　・d＝「エ：SPF」
   　・e＝「カ：送言元」
   が妥当となります。

誤りやすいポイント

• DNS に登録するレコード種別を「ア：MX」と誤解するケース。MX はメール受信サーバを示すレコードであり、送信ドメイン認証とは直接関係しません。
• 「ウ：SMTP」を認証方式名と勘違いするケース。SMTP はプロトコル名であって認証方式そのものではありません。
• SPF で照合する IP アドレスを「送信先」や「中継先」と誤って覚えているケース。実際に DNS レコードと突き合わせるのは「送信元 IP アドレス」です。

FAQ

解答の論理構成

1. まず、対策案の本文を確認します。
   引用：
   「fと、gのOSがもつFW機能で、DBMSに接続するためのTCPポートを閉塞して、インターネットからDBMSにアクセスできないようにする。」
2. L社のセキュリティポリシでは、アクセス制限を行う装置・機能が二段構えで定義されています。
   引用：
   「ファイアウォール（以下、FWという）及び各サーバのOSがもつFW機能の両方で実施することになっている。」
3. 図1のネットワーク構成で “FW” は DMZ の外側に設置される境界ファイアウォールを示します。ここが最初に遮断すべき装置なので、f には「FW」が入ります。
4. DBMS へ直接つながるのは “Webサーバ” だけです。商品検索システムは Web サーバ内で動作し、DBMS への接続ポート（例：3306/TCP など）が外部に露出していることが脆弱性（脆2）の原因です。その OS が持つホスト型 FW で二重に閉塞する必要があるため、g には「Webサーバ」が入ります。
5. 以上より、 f ＝ FW
   g ＝ Webサーバ
   が妥当であると結論付けられます。

誤りやすいポイント

• 「FW」が複数存在すると思い込み、DMZ 内のレイヤ2スイッチやルータを選んでしまう。実際にポリシで明示されている名称は「FW」のみです。
• g を「DBMS」や「DBサーバ」と誤記するケース。問題文では “DBMS” はミドルウェアであって独立サーバではなく、あくまで “Webサーバ” 内のプロセスです。
• “サーバ OS の FW 機能” を無効化している企業ルールに慣れている受験生は、二重防御という方針を見落としがちです。

FAQ

解答の論理構成

1. 問題文の確認
   表4の該当箇所には、次の一文が示されています。
   ――「SQL文を組み立てる際に害のあるコードが入力値に含まれていないか十分にチェックしてhを防止する。」
   ここで “SQL文を組み立てる” と “害のあるコード” がキーワードになっています。
2. 攻撃手法の典型例との照合
   データベースを操作する SQL に悪意あるコードを混入し、不正に情報を取得・改ざんする代表的な攻撃手法は「SQLインジェクション」です。
   表3の脆4にも「入力値チェックの不備によって、データベースに蓄積された非公開情報が閲覧されるおそれがあった。」とあり、まさに SQL インジェクション被害の典型的な結果（非公開情報の閲覧）を示しています。
3. 結論
   以上より、h に入る適切なサイバー攻撃手法は
   「SQL インジェクション」と判断できます。

誤りやすいポイント

• XSS と混同する
  Webアプリケーションの入力値検証という点で XSS を連想しがちですが、SQL 文を組み立てるという記述が決め手です。
• CSRF と取り違える
  CSRF も入力値を悪用しますが、対象はユーザのセッション操作であり SQL 文の直接操作ではありません。
• “インジェクション”の語を省略する
  正式名称「SQL インジェクション」まで書かないと減点対象になり得ます。

FAQ

解答の論理構成

1. 下線①の原文は「①社外の関連する組織から脆弱性情報を入手して活用する」です。
   • ここで求められているのは “外部から脆弱性情報を収集して活用する” という行動です。
   • 解答群で外部情報の収集に該当するのは「イ：公開されている弱性情報データベースを確認する。」です。
   • よって①は「イ」となります。
2. 下線②の原文は「②ソフトウェア開発の委託先企業のセキュリティ対策の実施状況を確認する」です。
   • キーワードは “委託先のセキュリティ対策の実施状況を確認”、すなわち監査・チェックです。
   • 解答群で監査に該当するのは「ウ：実施すべきセキュリティ対策を定めて定期的に監査する。」です。
   • よって②は「ウ」となります。

誤りやすいポイント

• 「ア：インシデント発生時の緊急対応体制を整備する。」は事後対応の体制作りであり、脆弱性情報の“入手”とは別目的です。
• 「オ：リスク分析を定期的に実施して対応計画を立案する。」はリスク評価フェーズであって、委託先の“実施状況確認”＝監査とは異なります。
• “弱性情報データベース”の「弱性」は誤植に見えるため読み飛ばしてしまいがちですが、選択肢そのものの意図は正確に把握する必要があります。

FAQ

解答の論理構成

1. 表3の“脆3”には
   「Webサーバソフトウェア」「脆弱な暗号化通信方式が使用できてしまう設定であり、情報漏えいのおそれがあった」
   と記載されています。つまり弱い暗号スイートが残っている点が問題です。
2. 表5の下線③では
   「ソフトウェアの企画・設計段階からセキュリティ機能を組み込むようにセキュリティの専門家を参加させる」
   とあります。実装後ではなく設計段階から専門家が加わることで、安全な暗号仕様を選定できます。
3. したがって、狙いは“弱い暗号を排除し、安全な暗号化通信方式を最初から採用すること”です。
4. 以上より模範解答「危殆化していない暗号化通信方式を採用するため」と導けます。

誤りやすいポイント

• “専門家参加＝脆弱性診断の頻度を上げる”と誤解しやすいですが、本問は診断ではなく“設計段階での安全な方式選定”が主旨です。
• “暗号鍵長を長くする”とだけ答えると、弱いプロトコル自体の排除という本質を捉えていないと判断されます。
• “テスト工程で暗号方式を確認する”と後工程を答えてしまうケースも注意が必要です。

FAQ