情報処理安全確保支援士試験 2012年 春期 午後1 問03

模範解答

解説

解答の論理構成

1. 表1の記述
   「ログサーバ上の操作ログについては、機密ファイル操作違反の隠蔽防止のために、④メッセージダイジェストを使用した[　b　]機能をもつ。」
2. キーワードの把握
   ・「④メッセージダイジェスト」はハッシュ関数を用いてデータの完全性を確認する技術です。
   ・目的は「機密ファイル操作違反の隠蔽防止」、すなわちログが書き換えられていないことを検証することです。
3. 技術と目的から導ける機能名
   メッセージダイジェストを付与し、後で計算し直して一致を確認する一連の仕組みは、情報セキュリティ分野で「改ざん検知」と呼ばれます。
4. 結論
   よって [　b　] に入る字句は「改ざん検知」となります。

誤りやすいポイント

• 「暗号化」「認証」などと混同する
  暗号化は内容を読めなくする技術、認証は利用者を確認する技術です。本問は「隠蔽防止」が目的であり、完全性を確保する「改ざん検知」が正解です。
• 「ハッシュ化」そのものを機能名だと誤解する
  メッセージダイジェストは手段であり、機能名として求められているのは「改ざん検知」です。

FAQ

模範解答

解説

解答の論理構成

1. 【問題文】では「ログサーバ上の操作ログについては、機密ファイル操作違反の隠蔽防止のために、④メッセージダイジェストを使用した[　b　]機能をもつ。」と明記しています。ここで必要なのは改ざん検知＝“整合性確認”機能です。
2. 整合性確認に用いる「④メッセージダイジェスト」は、入力データから一定長のハッシュ値を生成し、同一入力でなければ同一ハッシュにならない“衝突耐性”が重要となります。
3. 解答群を機能別に整理すると次のとおりです。
   • 「ア：AES」「エ：TripleDES」：どちらも共通鍵暗号方式であり、暗号化・復号を目的とします。メッセージダイジェストではないため不適切です。
   • 「イ：SHA-1」「ウ：SHA-256」：どちらもハッシュ関数（メッセージダイジェスト）です。
4. 「イ：SHA-1」は衝突攻撃が現実化しており、長期運用するログの改ざん検知には強度不足と判断できます。
5. 「ウ：SHA-256」は「SHA-2」ファミリに属し、現在も実用上十分な衝突耐性が認められます。よって最も適切といえるため、解答は「ウ」となります。

誤りやすいポイント

• 「暗号化＝改ざん防止」と短絡的に考え、「ア：AES」や「エ：TripleDES」を選んでしまう。暗号は秘匿性、ハッシュは整合性という観点整理が必要です。
• 「SHA-1 もハッシュだから十分」と判断してしまう。実務では既に衝突報告がある SHA-1 は避けるのが通例です。
• “メッセージダイジェスト”を「電子署名」と同義と誤解し署名アルゴリズムを探してしまう。問題はハッシュ関数のみを問うています。

FAQ

模範解答

解説

解答の論理構成

1. 問題文には「L主任は、特に案1について、保険サーバ内の[　a　]と既存ソフトウェアとの間で相互に悪影響を及ぼさないか、十分なテストを実施する必要がある」とあります。
2. 同じく案1の説明には「操作ログを取得する各保険サーバにPP1のエージェントモジュールをインストールする。」と記載されています。
3. 「保険サーバ内」に導入される新規コンポーネントは、引用②の「エージェントモジュール」だけです。
4. したがって [　a　] に入る語は「エージェントモジュール」と判定できます。

誤りやすいポイント

• 「メインモジュール」と誤解するケース
  – メインモジュールは「ログサーバ」にインストールすると明示されています。
• 「PP1」や「PP2」と製品名そのものを書いてしまうミス
  – 文脈は“保険サーバ内の○○”という部品名を尋ねています。
• 案2の説明を読み混ぜて「中継サーバ」関連を連想してしまうミス

FAQ

模範解答

解説

解答の論理構成

1. 原文には次の記述があります。
   ――「案2を実現するには、[　c　]から保険サーバへのアクセスは禁止するが、[　d　]やM社PCからのアクセスは許可する必要がある。」
   ここで “[　c　] から保険サーバへのアクセスは禁止” とあるため、[　c　] は“今まで直接アクセスしていた端末”を指します。
2. 案2のリモートアクセス手順は以下のとおりです。
   ――「Z社の保守作業におけるリモートアクセス手順は、リモートデスクトップ接続を行い中継サーバに一旦ログインして、さらにリモートアクセスを行い、各保険サーバにログインするように変更する。」
   つまり、Z社の担当者は“直接保険サーバへは行かず、中継サーバ経由”となります。
3. したがって「直接アクセスを禁止される端末」は “Z社の担当者が持つ端末” であり、図1中の名称は「Z社PC」です。
4. 一方 “[　d　] や M社PC からのアクセスは許可” と書かれている “[　d　]” は、案2で新たに導入して“許可ルート”となる機器、すなわち「中継サーバ」です。
5. よって
   ・[　c　] ＝ 「Z社PC」
   ・[　d　] ＝ 「中継サーバ」
   になります。

誤りやすいポイント

• 「M社PC」もアクセス許可対象に含まれるため、“禁止側”の[　c　] を誤って「M社PC」と書いてしまう。
• 中継サーバは案2で新設される機器なので、図1を見ただけでは名称が浮かばず[　d　]を他の装置（例：FW3）と混同しやすい。
• “許可／禁止”の主語が「保険サーバ」側なのか「クライアント」側なのかを読み違え、正反対の答えを選択してしまう。

FAQ

模範解答

解説

解答の論理構成

1. 事故想定
   原文では、案1に関して「ログサーバがダウンしている場合、及び『②作業担当者が保険サーバのネットワーク設定を不正に変更して操作ログの転送を妨害した場合』」とあります。つまりログサーバへ転送できない事態が想定されています。
2. ログの一時保管
   表1には「何らかの理由でログサーバに転送できない場合は、暗号化して、保険サーバ又は中継サーバのローカルディスクに一時保管し、定期的にログサーバへの転送をリトライする」と記載されています。
3. 要件が満たされなくなる条件
   L主任は「③その後、作業担当者がある操作を実行すると、その前後のファイル操作について要件1及び要件2が満たされなくなる」と指摘しています。要件1は「操作ログを記録できること」、要件2は「検知ルールに一致したときに通知できること」です。
   一時保管されたログが消えると、 ・ログそのものが存在しないため「記録できること」が失われる
   ・検知対象となるログが無くなるため「通知できること」も失われる
   という形で両要件を同時に満たせなくなります。
4. 考え得る利用者操作
   ネットワーク遮断後に要件を失わせる最短の方法は「保険サーバに一時保管された操作ログを削除する」ことです。エージェント停止も候補ですが、表1には「PP1、エージェントモジュール、PP2を停止させた場合、停止操作の操作ログがログサーバに転送された後に停止動作が実行される」とあり、停止自体はログに残ります。したがって要件を同時に破壊する操作は削除行為となります。
5. 以上より、下線③の操作は
   「保険サーバに一時保管された操作ログを削除する操作」
   であると導けます。

誤りやすいポイント

• 「エージェントモジュール停止」と混同する
  停止はログ転送後に実行されるため、証跡は残ります。
• 「ネットワーク設定変更」だけで③まで満たすと誤解する
  これは②で既に行われた前提操作であり、③はその後に追加で行う操作です。
• 「ログサーバ側のデータ改ざん」を想像する
  ログサーバ上のログには「④メッセージダイジェスト」が適用され改ざん耐性があります。

FAQ

模範解答

解説

解答の論理構成

1. 要件1は「保険サーバでZ社の作業担当者が行うファイル操作を、ログサーバに記録できること」と定義されています。
2. 【表1】案1の仕様には、 ・「操作ログを取得する各保険サーバにPP1のエージェントモジュールをインストールする。」
   ・「エージェントモジュールが取得するログ項目は…」
   とあり、ログ取得はエージェントモジュールに全面的に依存しています。
3. 同じく【表1】には、 「『PP1（メインモジュールとエージェントモジュール）の起動と停止には、インストールされているサーバの特権IDが必要である。』」
   と明記されています。Z社作業担当者は特権IDを「通知」される運用なので、エージェントモジュールの停止操作も実行可能です。
4. エージェントモジュールが停止すれば、そもそもログ採取自体が行われず、要件1は成立しません。
5. したがって、ネットワーク設定を変更してログを転送させない以外に、作業担当者が「エージェントモジュールを停止させる操作」を行うことでも要件1の実現を妨害できます。

誤りやすいポイント

• 「PP1 の起動・停止には特権IDが必要＝安全」と早合点し、特権IDを委託先が扱える前提を見落とす。
• エージェントモジュール停止後も、後で再起動すればログが復旧すると誤解する（停止中の操作は永久に欠落）。
• ログサーバ側だけを守れば十分と考え、保険サーバ内の取得プロセスを無防備にする。

FAQ

模範解答

解説

解答の論理構成

• 本問は「②作業担当者が保険サーバのネットワーク設定を不正に変更して操作ログの転送を妨害した場合」においても不正操作を検知する方法を問うています。
• 表1の案1では「エージェントモジュールが取得するログ項目は…(c) アプリケーションの起動と終了（エージェントモジュールの起動と停止も含む）」と明記されており、エージェントモジュール自身の停止操作までログ対象であることが読み取れます。
• さらに「PP1、エージェントモジュール、PP2を停止させた場合、停止操作の操作ログがログサーバに転送された後に停止動作が実行される。」とあるため、停止ログは確実にログサーバへ到達します。
• よって、転送妨害を行う前段階として不可欠な「エージェントモジュール停止」を検知ルールに登録しておけば、管理者は転送妨害行為を即時に把握できます。
• 以上から、案1の機能を使った有効策は「エージェントモジュールを停止させる操作を検知ルールに設定する」と導かれます。

誤りやすいポイント

• ネットワーク設定変更そのものを検知しようとしてしまう
  → 案1のログ取得対象にネットワーク設定変更は含まれていません。
• ログサーバの死活監視を答えてしまう
  → ②は作業者側の妨害行為が焦点であり、ログサーバ障害は別条件です。
• 検知ルールを「コマンド単位」で設定すると記述
  → 停止操作はアプリケーション終了イベントとして捕捉されるため、コマンド名より「エージェントモジュール停止」を明示する方が適切です。

FAQ

模範解答

解説

解答の論理構成

1. 下線部①では、 「L主任は『Z社の作業担当者の保守作業の作業証跡を取得し、作業内容とは無関係な機密ファイルの操作（以下、機密ファイル操作違反という）を検知する仕組みを備える』」
   と明記されています。
   つまり〈取得〉と〈検知〉で「不正操作を把握できる」ことが前提です。
2. しかし“検知”だけでは、違反を未然に防ぐ抑止（ディター）効果が弱いままです。抑止を高める一般的なセキュリティ対策は、 • 「操作が記録されている」
   • 「その記録を責任部門が監視している」
   ことを関係者に周知し、違反行為の心理的ハードルを上げることです。
3. 本問は「機密ファイル操作違反を抑止することを効果的に行う」追加施策を問うているため、検知機構の存在をZ社の作業者へ通知するという答えに帰結します。
4. そこで解答は
   「Z社の保守チームに、操作ログを取得し、監視していることを伝える。」
   となります。ログ取得と監視の事実を伝達することで、行動抑制の効果が発揮されるためです。

誤りやすいポイント

• 「アクセス権を厳格化する」「特権IDを細分化する」など技術的制限だけに目を向け、抑止という心理的側面を見落とす。
• 「Z社への罰則規定を追加する」など契約面に寄せ過ぎ、設問が求める“効果的な抑止策”の即時性と実務性を外す。
• 「ログを定期的にレビューする」と回答し、“Z社に知らせる”要件を欠落させる。

FAQ

模範解答

解説

解答の論理構成

1. 【問題文】には案2の特徴として
   「中継サーバの利用者IDごとに、保険サーバへのリモートアクセスの許可と拒否の制御ができる。」
   と記載されています。
2. 同じく案2の評価箇所で
   「中継サーバの利用者IDをZ社の保守チームの担当者ごとに作成するので、保守作業を作業計画書に記載された作業担当者だけに限定するという、より安全な仕組みが実現できる」
   と述べられています。
3. したがって、作業計画書が承認されたタイミングで
   ・対象となる保守担当者の利用者IDを中継サーバ側で有効化
   ・その他の利用者IDでは当該保険サーバへの経路を拒否
   というアクセス制御を都度設定すれば、特権IDを実質的に該当者だけに限定できます。
4. 以上から導かれる具体的な制御内容は「作業計画書の担当者の利用者IDに対してのみ中継サーバ経由で保険サーバへのアクセスを許可する」と整理できます。

誤りやすいポイント

• 特権ID自体に個人名を付け直すと思い込む。実際は「中継サーバの利用者ID」で特権ID利用を間接的に絞り込む方式です。
• アクセス許可／拒否の設定先を保険サーバと誤解し、保守のたびに20台すべてを個別設定すると考えるケース。制御は「中継サーバ」で一元化できます。
• 作業計画書の承認前にIDを有効化したり、作業終了後に無効化を忘れる運用漏れ。試験では「計画ごとに設定する制御」が求められています。

FAQ