‹

平成22年度 秋期 午前Ⅱ

平成22年度 秋期に実施された情報セキュリティスペシャリスト試験 午前Ⅱの全25問です。問題文・正解・解説をそのまま読めます。

この年度を解いてみる

問1

シングルサインオンの説明のうち，適切なものはどれか。

正解　エ

解説

リバースプロキシ型のシングルサインオンでは全ての通信がリバースプロキシを経由するので，そこで利用者認証を行う。認証方式はパスワードに限られず，クライアント証明書（デジタル証明書）を用いることもできる。

アは誤り。cookie を生成するのはクライアントではなく認証を行うサーバ側。イは誤り。cookie は発行元ドメインにしか送られないので，cookie 方式では同一ドメインに配置する必要がある。ウは誤り。リバースプロキシ方式ではドメインを分ける必要はない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問1（表記を一部改変）

問2

作成者によってディジタル署名された電子文書に，タイムスタンプ機関がタイムスタンプを付与した。この電子文書を公開する場合のタイムスタンプの効果のうち，適切なものはどれか。

正解　ウ

解説

タイムスタンプは，信頼できる第三者（タイムスタンプ機関）が，電子文書のハッシュ値に時刻情報を結び付けて署名したものである。タイムスタンプの時刻にその電子文書が存在したこと（存在証明）と，その時刻以降に改ざんされていないこと（完全性証明）を示せる。作成者のディジタル署名と組み合わせれば，作成者がその時刻以前に作成したことを否認できなくなる。ウが適切である。

ア，イのコピーして流用することは，タイムスタンプでは防げない。エのタイムスタンプは改ざんを検出できるようにするもので，改ざんする行為そのものを防止するわけではない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問2（表記を一部改変）

問3

FIPS 140-2 を説明したものはどれか。

正解　ア

解説

FIPS 140-2 は，米国 NIST が定めた連邦情報処理規格で，暗号モジュール（暗号機能を実装したハードウェアやソフトウェア）が満たすべきセキュリティ要求事項を，セキュリティレベル1〜4 の4段階で規定している。アが正しい。

イの ISMS の認証基準は ISO/IEC 27001（JIS Q 27001），ウのディジタル証明書や証明書失効リストの標準仕様は ITU-T X.509，エの無線 LAN のセキュリティ技術は IEEE 802.11i（WPA2）などである。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問3（表記を一部改変）

問4

米国 NIST が制定した AES における鍵長の条件はどれか。

正解　ア

解説

AES（Advanced Encryption Standard）は，NIST が米国の標準暗号として制定した共通鍵暗号方式で，ブロック長は128ビット，鍵長は128ビット，192ビット，256ビットの三つから選ぶ。アが正しい。鍵長が長いほど暗号化の繰返し処理（ラウンド）の回数が増え，安全性も高くなる。

イのように256ビット未満で任意に決めることはできない。ウとエのように鍵長をブロック長から32ビット増減させるという決まりもなく，ブロック長は鍵長にかかわらず128ビットで一定である。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問4（表記を一部改変）

問5

JIS Q 27001:2006 における情報システムのリスクとその評価に関する記述のうち，適切なものはどれか。

正解　ウ

解説

JIS Q 27001:2006 では，リスクの特定において，情報資産とその管理責任者を特定し，資産に対する脅威と，その脅威に付け込まれる可能性のある脆弱性を特定し，機密性，完全性，可用性の喪失が資産に与える影響を特定する。ウが適切である。

アの脅威は，システムや組織に損害を与える可能性がある望ましくない事象の潜在的な原因で，脆弱性が顕在化する確率ではない。イの悪い影響を与える要因は脅威の説明で，脆弱性は脅威に付け込まれる可能性のある資産や管理策の弱点である。エのリスク評価はリスクの大きさを基準と比較して対応の要否や優先度を決める活動で，回避と低減の二つに分類するものではない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問5（表記を一部改変）

問6

DMZ 上に公開している Web サーバで入力データを受け付け，内部ネットワークの DB サーバにそのデータを蓄積するシステムがある。インターネットから DMZ を経由してなされる DB サーバへの不正侵入対策の一つとして，DMZ と内部ネットワークとの間にファイアウォールを設置するとき，最も有効な設定はどれか。

ネットワーク構成。インターネットにファイアウォールが接続され，ファイアウォールから DMZ（Web サーバ，DNS サーバ）と内部ネットワーク（DB サーバ）がそれぞれ分かれて接続されている。

正解　ア

解説

インターネットから DMZ の Web サーバを乗っ取られた場合でも，DB サーバへの不正侵入を防ぐには，DMZ と内部ネットワークの間のファイアウォールで，必要な通信だけを通す。DB サーバが待ち受ける受信ポート番号を固定し，送信元を Web サーバ，あて先を DB サーバの受信ポート番号に限定して通せば，それ以外の通信を遮断できる。アが最も有効である。

イの DMZ から DB サーバへの通信全てを通すと，DNS サーバなどからも任意のポートにアクセスでき，制限が緩い。ウの同じ発信ポート番号を使った通信の拒否は，不正侵入の防止にはならない。エの Web サーバの発信ポート番号を固定して通すと，その番号を使えば DB サーバのどのポートにもアクセスできてしまう。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6（表記を一部改変）

問7

ファイアウォールにおいて，自ネットワークのホストへの侵入を防止する対策のうち，IP スプーフィング（spoofing）攻撃に有効なものはどれか。

正解　エ

解説

IP スプーフィングは，送信元 IP アドレスを偽装して，信頼されたホストからの通信になりすます攻撃である。外部から入ってくるパケットの送信元 IP アドレスが自ネットワークのアドレスであれば，本来ありえない偽装されたパケットなので，ファイアウォールで阻止する（イングレスフィルタリング）。エが有効である。

ア，イの外部から入る TCP コネクション確立要求や UDP パケットのうち必要なもの以外を阻止する対策と，ウのあて先 IP アドレスによる阻止は，一般的な不正アクセス対策で，送信元の偽装を見破るものではない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問7（表記を一部改変）

問8

SQL インジェクション攻撃を防ぐ方法はどれか。

正解　イ

解説

SQL インジェクションは，入力データに SQL の構文として特別な意味をもつ文字（引用符“'”など）を含めて，データベースへの問合せ文を不正に組み立てさせる攻撃である。入力中の文字が特別な意味をもつ文字として解釈されないように，エスケープ処理やバインド機構（プレースホルダ）を使うことで防げる。イが正しい。

アの上位ディレクトリを指定する文字列（../）の除去はディレクトリトラバーサル対策，ウの HTML タグの置換えはクロスサイトスクリプティング対策，エの入力の長さの制限はバッファオーバフロー対策である。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問8（表記を一部改変）

問9

通信を要求した PC に対し，ARP の仕組みを利用して実現できる通信の可否の判定方法のうち，最も適切なものはどれか。

正解　イ

解説

ARP は，IP アドレスから MAC アドレスを求めるプロトコルである。社内ネットワークに接続した PC が通信のために送る ARP 要求を監視すれば，その PC の MAC アドレスが分かる。事前に登録された MAC アドレスをもつ PC だけに通信を許可し，未登録の PC には偽の ARP 応答を返すなどして通信を妨げることで，不正な PC の接続を防げる。イが最も適切である。

ア，ウ，エのインストールされたソフトウェア，OS のパッチ適用状況，マルウェア対策ソフトの定義ファイルの状態は，ARP のやり取りでは確認できない。これらは検疫ネットワークなどで，PC に導入したエージェントを通じて確認する。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9（表記を一部改変）

問10

暗号方式に関する記述のうち，適切なものはどれか。

正解　イ

解説

共通鍵暗号方式は，暗号化と復号に同じ鍵を使う方式である。イが適切である。

アは誤りで，AES は共通鍵暗号方式，RSA は公開鍵暗号方式である。ウも誤りで，公開鍵暗号方式を通信内容の秘匿に使う場合は，受信者の公開鍵で暗号化し，受信者だけがもつ秘密鍵で復号する。暗号化鍵を公開し，復号鍵を秘密にする。エも誤りで，デジタル署名では，送信者が自分の秘密鍵で署名を作り，受信者が送信者の公開鍵で検証するので，公開鍵暗号方式が使われる。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問10（表記を一部改変）

問11

社内とインターネットの接続点にパケットフィルタリング型ファイアウォールを設置したネットワーク構成において，社内の PC からインターネット上の SMTP サーバに電子メールを送信するとき，ファイアウォールで通過許可とする TCP パケットのポート番号の組合せはどれか。

ポート番号の組合せの表（送信元，あて先，送信元ポート番号，あて先ポート番号の順）。ア 発信：PC，SMTP サーバ，25，1024 以上／応答：SMTP サーバ，PC，1024 以上，25。イ 発信：PC，SMTP サーバ，1024 以上，25／応答：SMTP サーバ，PC，25，1024 以上。ウ 発信：SMTP サーバ，PC，110，1024 以上／応答：PC，SMTP サーバ，1024 以上，110。エ 発信：SMTP サーバ，PC，1024 以上，110／応答：PC，SMTP サーバ，110，1024 以上。

正解　イ

解説

社内の PC は，1024 以上の任意のポート番号（エフェメラルポート）を送信元ポートとして，インターネット上の SMTP サーバのポート番号 25 に接続する。したがって発信は，送信元 PC，あて先 SMTP サーバ，送信元ポート番号 1024 以上，あて先ポート番号 25 となる。

SMTP サーバからの応答は，その逆で，送信元ポート番号 25，あて先ポート番号 1024 以上となる。この組合せはイである。ウ，エのポート番号 110 は，メールを受信する POP3 のポート番号で，電子メールの送信には使わない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問11（表記を一部改変）

問12

送信元を詐称した電子メールを拒否するために，SPF（Sender Policy Framework）の仕組みにおいて受信側が行うことはどれか。

正解　ウ

解説

SPF（Sender Policy Framework）では，送信側のドメインの管理者が，そのドメインのメールを送信するサーバの IP アドレスを DNS の SPF レコードに登録しておく。受信側は，SMTP の MAIL FROM コマンドで示された送信ドメインの SPF レコードを DNS に問い合わせ，接続してきた送信サーバの IP アドレスと照合して，送信元が詐称されていないかを検証する。ウが正しい。

アのメールヘッダの送信者アドレスによる検証は，SPF が検証の対象にしているエンベロープの送信者とは異なる。イの SMTP のポート番号 25 の通信を拒否するのは OP25B で，エのディジタル署名を受信側が検証するのは DKIM である。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問12（表記を一部改変）

問13

ISP 管理下の動的 IP アドレスを割り当てられた PC からのスパムメール送信を防止する対策 OP25B はどれか。

正解　イ

解説

OP25B（Outbound Port 25 Blocking）は，ISP が，自社の管理下にある動的 IP アドレスを割り当てた PC から，ISP の管理外のメールサーバ（グローバル IP アドレス）への SMTP 通信（ポート番号 25）を拒否する対策である。ウイルスに感染した PC などが直接外部のメールサーバに接続してスパムメールを大量に送信することを防ぐ。イが正しい。

アの POP 通信はメールの受信なので，スパムメールの送信の防止にはならない。ウとエはメールサーバで受信を拒否する対策で，OP25B の説明ではない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13（表記を一部改変）

問14

無線 LAN における通信の暗号化の仕組みに関する記述のうち，適切なものはどれか。

正解　エ

解説

WPA2 は，IEEE 802.11i に基づく無線 LAN のセキュリティ規格で，暗号方式に AES を使う CCMP を採用している。企業向けのエンタープライズモードでは IEEE 802.1X による認証を行い，通信ごとに動的に生成・更新される暗号化鍵を用いて暗号化通信を実現する。エが適切である。

アの EAP は IEEE 802.1X で使われる認証のためのプロトコルの枠組みで，暗号化通信を実現するものではない。イの ESS-ID はアクセスポイントのネットワークを識別する名前で，秘密鍵ではない。ウの WEP は共通鍵暗号方式の RC4 を使い，公開鍵暗号方式は使わない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14（表記を一部改変）

問15

SSL の利用に関する記述のうち，適切なものはどれか。

正解　ア

解説

SSL のクライアント認証に使う個人認証用のディジタル証明書と秘密鍵は，IC カードなどの持ち運べる媒体に格納できるので，特定の PC に保存しておく必要はない。アが適切である。

イは誤りで，SSL は Web ブラウザと Web サーバの間の通信を暗号化するためのプロトコルで，利用者登録を前提としていない。ウは誤りで，サーバ証明書にはサーバの FQDN（コモンネーム）を記載し，IP アドレスを変更しても FQDN が同じなら再取得は不要である。エは誤りで，日本国内で共通鍵の長さが 128 ビット未満に制限されているという規制はない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問15（表記を一部改変）

問16

WAF（Web Application Firewall）のブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。

正解　イ

解説

WAF のブラックリスト（ネガティブセキュリティモデル）は，SQL インジェクションやクロスサイトスクリプティングなど，攻撃に使われる問題のある通信データのパターンを定義しておき，それに該当する通信を遮断したり無害化したりする方式である。イが適切である。

ホワイトリスト（ポジティブセキュリティモデル）は，許可する正常な通信のパターンを定義しておき，それに該当しない通信を遮断する方式である。ア，ウのサイトの IP アドレスや FQDN を登録するのは WAF のリストの説明ではなく，エの無害化の方法を定義するのもホワイトリストの説明ではない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問16（表記を一部改変）

問17

1台のサーバと複数台のクライアントが，100 M ビット／秒の LAN で接続されている。業務のピーク時には，クライアント1台につき1分当たり 600 k バイトのデータをサーバからダウンロードする。このとき，同時使用してもピーク時に業務を滞りなく遂行できるクライアント数は何台までか。ここで，LAN の伝送効率は 50％，サーバ及びクライアント内の処理時間は無視できるものとし，1 M ビット／秒＝106 ビット／秒，1 k バイト＝1,000 バイトとする。

正解　イ

解説

LAN の伝送効率が 50％なので，実際に使える伝送速度は 100×106×0.5＝5×107 ビット／秒で，バイトに直すと 5×107÷8＝6.25×106 バイト／秒になる。1分間では 6.25×106×60＝3.75×108 バイトを転送できる。

クライアント1台が1分当たりダウンロードするのは 600 k バイト＝6×105 バイトなので，3.75×108÷(6×105)＝625 台までとなり，イが正しい。伝送効率を考えないと 1,250（ウ），1分ではなく1秒当たりで比べると 10（ア）になる。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17（表記を一部改変）

問18

LAN の制御方式に関する記述のうち，適切なものはどれか。

正解　ア

解説

CSMA/CD 方式では，伝送路が空いていることを確認してから送信するが，複数の装置が同時に送信すると衝突が起き，再送が必要になる。送出するフレーム数が少ないうちはスループットが増えるが，一定以上に増えると衝突が頻発して再送が増えるので，スループットはある値をピークとして下がる。アが適切である。

イのフレームが順番に各装置に伝送されてリング状の LAN に適しているのは，トークンリング方式の説明である。ウの TDMA 方式は，時間を区切って送信の時間帯を割り当てるので，衝突は発生しない。エのトークンアクセス方式は，トークンを受け取った装置だけが送信するので衝突が起きず，トラフィックが増大しても CSMA/CD 方式のように急激に伝送効率が低下することはない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問18（表記を一部改変）

問19

DNSSEC の説明として，適切なものはどれか。

正解　エ

解説

DNSSEC は，DNS の応答にディジタル署名を付け，受信側がその署名を検証することで，応答が正当な権威 DNS サーバからのもので，改ざんされていないことを確認できるようにする DNS の拡張仕様である。DNS キャッシュポイズニングなどの対策になる。エが適切である。

アの DoS 攻撃の防止は DNSSEC の目的ではなく，署名によって応答のサイズが大きくなり，DNS リフレクション攻撃に悪用されやすくなる面もある。イの IPsec による暗号化通信は前提としていない。ウの DNSSEC は DNS のプロトコルの拡張で，BIND などの DNS サーバの実装も DNSSEC に対応している。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問19（表記を一部改変）

問20

TCP のコネクション確立方式である3ウェイハンドシェイクを表す図はどれか。

正解　ア

解説

TCP の3ウェイハンドシェイクでは，コネクションの要求元が SYN を送り，要求先が SYN と ACK を一つのセグメントで返し，要求元が ACK を返すという3回のやり取りでコネクションを確立する。これを表すのはアである。

イ，エは SYN と ACK を別々に送っていてやり取りの回数が3回より多い。ウは SYN を3回送っていて，要求先から要求元への SYN がないので，双方向のコネクションが確立しない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問20（表記を一部改変）

問21

和両立である表 R（ID，NAME），S（NO，NAMAE）がある。差集合 R−S を求める SELECT 文とするために，a に入れるべき適切な字句はどれか。ここで，下線部は主キーを表す。また，NAME と NAMAE は NULL 不可とする。

SELECT * FROM R WHERE a
    (SELECT * FROM S WHERE S.NO = R.ID AND S.NAMAE = R.NAME)

正解　イ

解説

差集合 R−S は，R の行のうち S に含まれない行である。副問合せは，R の現在の行と ID と NAME が一致する S の行を探すので，その結果が存在しない R の行を取り出せばよい。副問合せの結果が空のときに真になる NOT EXISTS を a に入れる。イが正しい。

アの EXISTS では，S にも含まれる行，すなわち積集合 R∩S が得られる。ウの NOT IN とエの R.ID NOT IN は，副問合せが列を1つだけ返す場合に使うもので，“SELECT *”の副問合せと組み合わせると SQL 文として成り立たない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問21（表記を一部改変）

問22

ソフトウェアの保守作業の効率向上施策として，最も適切なものはどれか。

正解　イ

解説

ソフトウェアの保守作業では，既存のプログラムを読んで理解し，修正箇所を特定する作業が中心になる。コーディング規約に準拠してプログラムを作成すれば，書き方がそろって読みやすくなり，修正の影響範囲も把握しやすいので，保守作業の効率が向上する。イが最も適切である。

アのエンドユーザによる動作確認テストは，要件どおりに動くかを確認するためのもの。ウの最適化コンパイルは実行時の性能を改善するもので，保守のしやすさには関係しない。エのバグの要因分類による傾向分析は，品質改善や再発防止には役立つが，保守作業そのものを効率化する施策としてはイに及ばない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問22（表記を一部改変）

問23

SOA（Service Oriented Architecture）でサービスを設計する際の注意点のうち，適切なものはどれか。

正解　ウ

解説

SOA では，業務の機能を独立したサービスとして部品化し，それらを組み合わせてシステムを構築する。サービス間の関係を疎結合にしておけば，業務が変化したときに，サービスを入れ替えたり組み合わせを変えたりして柔軟に対応できる。ウが適切である。

アのステートフルなインタフェースは，サービスが利用者の状態を保持するためにサービス間の結び付きが強くなり，再利用や拡張がしにくくなるので，SOA ではステートレスにするのが一般的である。イのサービスの命名は業務上の役割が分かるようにするのが望ましく，業務からの独立性の確保とは関係がない。エの SOA はサービスの再利用を前提とした考え方である。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問23（表記を一部改変）

問24

レプリケーションが有効な対策となるものはどれか。

正解　ウ

解説

レプリケーションは，データを別の場所にある複製先へほぼリアルタイムに複製し，常に同じ内容を保つ仕組みである。災害で主系のシステムが使えなくなっても，遠隔地の複製先に切り替えれば，最新に近いデータで早期にサービスを再開できるので，システムの長時間停止を防ぐ対策になる。ウが該当する。

ア，イ，エの改ざん，ウイルスによる破壊，操作ミスによる削除は，いずれも元のデータへの変更がそのまま複製先にも反映されてしまうので，レプリケーションでは防げない。これらには，アクセス制御やウイルス対策，世代管理したバックアップなどが有効である。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問24（表記を一部改変）

問25

請負契約でシステム開発を委託している案件について，委託元のシステム監査人の指摘事項に該当するものはどれか。

正解　イ

解説

請負契約では，受託者が自ら雇用する開発担当者に対して業務の遂行方法の指示などを行う。委託元の管理者が委託先の開発担当者を直接指揮命令すると，実態が労働者派遣となる偽装請負に当たり，労働者派遣法に抵触するおそれがあるので，システム監査人の指摘事項に該当する。イが該当する。

アの委託した開発案件の品質を定期的にモニタリングすること，ウの契約書に機密保持のための事項を盛り込むこと，エの長期化した契約の妥当性を確認することは，いずれも委託元として適切な管理であり，指摘事項にはならない。

出典：平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25（表記を一部改変）