‹

令和元年度 秋期 午前Ⅱ

令和元年度 秋期に実施された情報処理安全確保支援士試験 午前Ⅱの全25問です。問題文・正解・解説をそのまま読めます。

この年度を解いてみる

問1

認証処理のうち，FIDO（Fast IDentity Online）UAF（Universal Authentication Framework）1.1 に基づいたものはどれか。

正解　イ

解説

FIDO UAF は，パスワードを使わない認証の仕様で，利用者はスマートフォンなどの端末で指紋や顔などの生体認証を行い，端末内に安全に保管された秘密鍵でディジタル署名を生成して認証サーバに送る。認証サーバは事前に登録された公開鍵で署名を検証する。生体情報や秘密鍵はネットワークに送られない。イが該当する。

アの PIN コードとトークンのワンタイムパスワードの送信は，ワンタイムパスワードによる二要素認証である。ウのキャッシュカードからクライアント証明書を読み取って送信するのは，IC カードによる証明書認証である。エの指紋情報そのものを認証サーバに送信するのは，生体情報を端末の外に出さない FIDO の考え方に反する。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問1（表記を一部改変）

問2

暗号機能を実装した IoT 機器において脅威となるサイドチャネル攻撃に該当するものはどれか。

正解　イ

解説

サイドチャネル攻撃は，暗号機能を実装した機器が処理を行うときの消費電力，処理時間，放射される電磁波などの物理的な情報を測定・解析して，機器内部の暗号鍵などの秘密情報を推定する攻撃である。機器が発する電磁波を測定するイが該当する。

アの暗号化関数を線形近似する式から秘密情報を求めるのは線形解読法，ウの二つの平文の差と暗号文の差の関係から求めるのは差分解読法で，いずれも数学的な暗号解読である。エのあり得る全ての鍵を試すのはブルートフォース攻撃（総当たり攻撃）である。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2（表記を一部改変）

問3

VA（Validation Authority）の役割はどれか。

正解　ウ

解説

VA（Validation Authority，検証局）は，ディジタル証明書が失効していないかなどの有効性の問合せを受け付けて応答する機関である。OCSP などのプロトコルで，証明書の失効状態をオンラインで回答する。ウが正しい。

イのディジタル証明書にディジタル署名を付与して発行するのは CA（認証局）の発行局（IA）の役割，エの本人確認を行い証明書の発行を指示するのは RA（登録局）の役割である。アの属性証明書の発行を代行するのは VA の役割ではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問3（表記を一部改変）

問4

XML ディジタル署名の特徴として，適切なものはどれか。

正解　ア

解説

XML ディジタル署名（XML Signature）では，XML 文書全体だけでなく，文書中の任意の要素（エレメント）を署名対象にでき，署名対象と署名を別々に置くデタッチ署名，署名対象の中に署名を置くエンベロープ署名，署名の中に署名対象を含めるエンベローピング署名の形式を選べる。アが適切である。

イのエンベローピング署名は，一つの署名対象に必ず複数の署名を付ける形式ではない。ウの CMS やエの ASN.1 による記述は，S/MIME などで使われる署名形式の特徴で，XML 署名は署名対象や署名アルゴリズムを XML で記述する。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問4（表記を一部改変）

問5

ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。

正解　ウ

解説

ダイナミックパケットフィルタリングは，内部から外部へのリクエストパケットが通過したときに，その通信に対応する戻りのパケットだけを通過させるルールを動的に作り，通信が終わると削除する方式である。あらかじめ戻りのパケット用のポートを開けておく必要がないので，安全性が高まる。ウが正しい。

アの IP アドレスの変換で内部構成を隠蔽するのは NAT や NAPT の特徴。イの暗号化されたデータ部を復号して判断することや，エのデータ部をチェックしてアプリケーション層の不正アクセスを防ぐのは，アプリケーションゲートウェイ型ファイアウォールや WAF などの特徴で，パケットフィルタリングはヘッダ情報で判断する。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5（表記を一部改変）

問6

X.509 における CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。

正解　エ

解説

CRL（証明書失効リスト）には，有効期限内であるにもかかわらず，秘密鍵の漏えいや登録内容の変更などの理由で認証局が失効させたディジタル証明書のシリアル番号と失効日時が記載される。有効期限内の証明書のシリアル番号を記載することがあるので，エが適切である。

アは誤りで，証明書が失効していないかは，認証局の公開鍵がブラウザに組み込まれていても CRL や OCSP で確認する必要がある。イの全ての証明書の有効期限を CRL に記載することはない。ウの失効後1年間記載するという義務は定められていない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（表記を一部改変）

問7

JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティを統治するために経営陣が実行するガバナンスプロセスのうちの“モニタ”はどれか。

正解　イ

解説

JIS Q 27014:2015 では，経営陣が情報セキュリティを統治するためのガバナンスプロセスとして，評価，指示，モニタ，コミュニケーション，保証を挙げている。“モニタ”は，戦略的目的の達成を評価することを可能にするガバナンスプロセスである。イが正しい。

アの情報セキュリティの目的及び戦略について指示を与えるのは“指示”，ウの独立した立場からの客観的な監査，レビュー又は認証を委託するのは“保証”，エの利害関係者との間で情報セキュリティに関する情報を交換するのは“コミュニケーション”である。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7（表記を一部改変）

問8

総務省及び経済産業省が策定した“電子政府における調達のために参照すべき暗号のリスト（CRYPTREC 暗号リスト）”を構成する暗号リストの説明のうち，適切なものはどれか。

正解　ウ

解説

CRYPTREC 暗号リストは，電子政府推奨暗号リスト・推奨候補暗号リスト・運用監視暗号リストの3つで構成される。電子政府推奨暗号リストは，CRYPTREC によって安全性及び実装性能が確認され，市場における利用実績が十分であるか今後の普及が見込まれると判断された暗号技術のリストで，ウがこの定義に当たる。

アは，電子政府推奨暗号リストの定義を推奨候補暗号リストに当てはめているので誤り。推奨候補暗号リストは，安全性及び実装性能は確認されたものの，今後電子政府推奨暗号リストに掲載される可能性がある段階の技術のリスト。イとエは運用監視暗号リスト（推奨すべき状態でなくなったが，互換性維持のために利用を認める技術のリスト）の説明であり，対象のリスト名が誤っている。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8（表記を一部改変）

問9

基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

正解　ア

解説

CVSS（Common Vulnerability Scoring System，共通脆弱性評価システム）は，情報システムの脆弱性の深刻度を，脆弱性そのものの特性を評価する基本評価基準，時間の経過で変化する特性を評価する現状評価基準，利用者の環境に応じて評価する環境評価基準の三つの基準で評価し，数値で表す手法である。ベンダに依存しない共通の尺度で深刻度を比較できる。アが正しい。

イの ISMS は情報セキュリティマネジメントシステム，ウの PCI DSS はクレジットカード情報を保護するためのセキュリティ基準，エの PMS は個人情報保護マネジメントシステムである。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（表記を一部改変）

問10

BlueBorne の説明はどれか。

正解　ア

解説

BlueBorne は，2017 年に公表された，Bluetooth の実装に存在する複数の脆弱性の総称である。Bluetooth が有効になっていれば，ペアリングしていなくても，近くにいる攻撃者がデバイスを不正に操作したり，情報を窃取したりできるおそれがある。アが正しい。

イの画面を青一色にして金銭を要求するランサムウェア，ウの Red Team と Blue Team に分かれる演習での防御側の戦術，エのブルーレイディスクを経由して感染を拡大した APT 攻撃は，いずれも BlueBorne の説明ではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10（表記を一部改変）

問11

Cookie に Secure 属性を設定しなかったときと比較した，設定したときの動作として，適切なものはどれか。

正解　ウ

解説

Cookie の secure 属性は，その Cookie を HTTPS などの暗号化された通信のときだけ送出するようブラウザに指示する属性である。URL のスキームが https のページのときだけ送出されるので，平文の HTTP 通信で Cookie が盗聴されることを防げる。ウが正しい。

アの有効期間を過ぎると無効化されるのは Expires 属性や Max-Age 属性の働き，イの JavaScript による読出しを禁止するのは HttpOnly 属性の働き，エのパスのプレフィックスが一致するときに送出されるのは Path 属性の働きである。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（表記を一部改変）

問12

DKIM（DomainKeys Identified Mail）の説明はどれか。

正解　ア

解説

DKIM は，送信側のメールサーバが電子メールのヘッダーや本文から作成したデジタル署名を DKIM-Signature ヘッダーとして付加し，受信側のメールサーバが送信ドメインの DNS に公開された公開鍵でその署名を検証する送信ドメイン認証の仕組みである。署名が検証できれば，送信元ドメインの正当性とメールが改ざんされていないことを確認できる。アが該当する。

イは送信時に利用者を認証する SMTP-AUTH，ウは送信元の IP アドレスを DNS に登録された情報と照合して検証する SPF などの説明である。エは ISP などが行う OP25B の説明である。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（表記を一部改変）

問13

マルチベクトル型 DDoS 攻撃に該当するものはどれか。

正解　イ

解説

マルチベクトル型 DDoS 攻撃は，性質の異なる複数の攻撃手法を組み合わせて同時に仕掛ける DDoS 攻撃である。TCP の接続要求で接続待ちの資源を枯渇させる SYN Flood 攻撃と，Web アプリケーションに大量の POST リクエストを送って処理を圧迫する HTTP POST Flood 攻撃を同時に行うイが該当する。

アの DNS リフレクタ攻撃，ウの IoT 機器からの UDP Flood 攻撃は，いずれも単一の攻撃手法による DDoS 攻撃である。エのファイアウォールの CPU やメモリを枯渇させる攻撃も一つの手法だけで，複数の手法を組み合わせたものではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（表記を一部改変）

問14

Web サイトにおいて，全ての Web ページを TLS で保護するよう設定する常時 SSL/TLS のセキュリティ上の効果はどれか。

正解　エ

解説

常時 SSL/TLS は，ログインページなど一部だけでなく，Web サイトの全てのページを HTTPS で提供することである。Web ブラウザと Web サイトの間の通信が暗号化されるので，中間者攻撃による通信データの盗聴や改ざんを防止でき，サーバ証明書によって接続先が本物の Web サイトであることを確認しやすくなる。エが正しい。

アの SQL インジェクション攻撃の防止はプレースホルダの利用などアプリケーションの対策，イの自動化されたクライアントによる大量のリクエストの排除は CAPTCHA などの対策，ウのブルートフォース攻撃の検出とアカウントロックは認証機能の対策で，いずれも通信を暗号化しても得られる効果ではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（表記を一部改変）

問15

攻撃者に脆弱性に関する専門の知識がなくても，OS やアプリケーションソフトウェアの脆弱性を悪用した攻撃ができる複数のプログラムや管理機能を統合したものはどれか。

正解　ア

解説

Exploit Kit（エクスプロイトキット）は，OS やアプリケーションソフトウェアの脆弱性を悪用する複数の攻撃コード（エクスプロイト）と，攻撃を管理する機能をまとめたツールである。攻撃者に脆弱性の専門知識がなくても，閲覧者の環境に合わせて自動的に攻撃を仕掛けられる。アが正しい。

イの iLogScanner は IPA が提供する Web サーバのアクセスログから攻撃の痕跡を調べるツール，ウの MyJVN は IPA が提供するソフトウェアの脆弱性対策情報を収集・確認するツール群，エの Remote Access Tool は遠隔からコンピュータを操作するためのツールで，悪用されると RAT（遠隔操作ウイルス）と呼ばれる。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問15（表記を一部改変）

問16

IEEE 802.1X で使われる EAP-TLS が行う認証はどれか。

正解　ウ

解説

EAP-TLS は，IEEE 802.1X で使われる EAP の認証方式の一つで，TLS の仕組みを使い，認証サーバとクライアントの双方がディジタル証明書を提示して相互認証を行う。クライアントにも証明書が必要なので導入の手間はかかるが，パスワードを使わない強固な認証ができる。ウが正しい。

アの CHAP を用いたチャレンジレスポンスによる利用者認証は EAP-MD5 などに近い方式である。エの利用者 ID とパスワードによる利用者認証は，サーバだけを証明書で認証する PEAP や EAP-TTLS で使われる。イのような共通鍵によるサーバ認証とワンタイムパスワードの組合せは EAP-TLS の認証ではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（表記を一部改変）

問17

SQL インジェクション対策について，Web アプリケーションプログラムの実装における対策と，Web アプリケーションプログラムの実装以外の対策として，ともに適切なものはどれか。

正解　エ

解説

SQL インジェクションの根本的な対策は，Web アプリケーションプログラムの実装でプレースホルダ（バインド機構）を利用して SQL 文を組み立てることである。実装以外の対策としては，攻撃を受けた場合の被害を抑えるため，プログラムが利用するデータベースのアカウントの権限を必要最小限にしておくことが有効である。この組みのエが適切である。

アのシェルを起動しない実装と chroot 環境での稼働は OS コマンドインジェクションへの対策，ウのパス名やファイル名をパラメータで受け取らない実装と重要なファイルを公開領域に置かない運用はディレクトリトラバーサルへの対策である。イのセッション ID の乱数生成はセッション ID の推測への対策，TLS による秘匿は盗聴への対策である。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17（表記を一部改変）

問18

DNSSEC に関する記述として，適切なものはどれか。

正解　エ

解説

DNSSEC は，DNS の応答にディジタル署名を付け，受信側がその署名を検証することで，応答が正当な権威 DNS サーバからのもので，改ざんされていないことを確認できるようにする DNS の拡張仕様である。DNS キャッシュポイズニングなどの対策になる。エが適切である。

アの DoS 攻撃の防止は DNSSEC の目的ではなく，署名によって応答のサイズが大きくなり，DNS リフレクション攻撃に悪用されやすくなる面もある。イの IPsec による暗号化通信は前提としていない。ウの DNSSEC は DNS のプロトコルの拡張で，BIND などの DNS サーバの実装も DNSSEC に対応している。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問18（表記を一部改変）

問19

IPv4 ネットワークにおいて，IP パケットの分割処理と，分割されたパケットを元に戻す再構築処理に関する記述のうち，適切なものはどれか。

正解　ア

解説

IPv4 では，IP パケットが経路上のネットワークの MTU より大きい場合，送信元のホストだけでなく中継するルータでも分割（フラグメンテーション）が行われる。分割されたパケットは途中のルータでは元に戻さず，宛先のホストで再構築される。アが適切である。

イの再構築は中継するルータでは行われない。ウの分割は送信元のホストだけでなく，エの分割も中継するルータだけでなく，送信元と中継ルータのどちらでも行われる。なお，IPv6 では中継ルータは分割を行わず，送信元のホストだけが分割する。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問19（表記を一部改変）

問20

TCP に関する記述のうち，適切なものはどれか。

正解　ウ

解説

TCP は，コネクション型のトランスポート層のプロトコルで，受信側からの確認応答（ACK）が一定時間内に返ってこない場合は，データを再送して信頼性を確保する。ウが適切である。

アの TCP は OSI 基本参照モデルのトランスポート層の機能で，ネットワーク層は IP が担う。イのウィンドウ制御の単位はバイトである。エは誤りで，TCP はシーケンス番号（順序番号）をもち，受信側は順序を並べ替えてからデータを処理する。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問20（表記を一部改変）

問21

JSON 形式で表現される図1，図2のような商品データを複数の Web サービスから取得し，商品データベースとして蓄積する際のデータの格納方法に関する記述のうち，適切なものはどれか。ここで，商品データの取得元となる Web サービスは随時変更され，項目数や内容は予測できない。したがって，商品データベースの検索時に使用するキーにはあらかじめ制限を設けない。

図1 A 社 Web サービスの商品データ

{
  "_id":"AA09",
  "品名":"47 型テレビ",
  "価格":"オープンプライス",
  "関連商品 id": [
    "AA101",
    "BC06"
  ]
}

図2 B 社 Web サービスの商品データ

{
  "_id":"AA10",
  "商品名":"りんご",
  "生産地":"青森",
  "価格":100,
  "画像 URL":"http://www.example.com/apple.jpg"
}

正解　ウ

解説

取得元の Web サービスによって項目数や項目名が異なり，今後も予測できないので，あらかじめ表の構造（スキーマ）を決めておく必要がないデータベースが適している。ドキュメント型データベースは，JSON などの形式のデータを，項目構成が異なっていてもそのまま一つのドキュメントとして格納でき，任意の項目で検索できる。ウが適切である。

エのリレーショナルデータベースは列を事前に定義する必要があり，項目が変わるたびに表の定義を変更しなければならない。アの階層型データベースで項目名と値を2階層に分けたり，イのグラフ型データベースで項目名の集合と値の集合をノードにしたりすると，一つの商品データとしてのまとまりが失われ，検索や管理がしにくくなる。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問21（表記を一部改変）

問22

次の仕様で動作する装置がある。未完成の状態遷移図を完成させるために，追加すべき遷移はどれか。

〔仕様〕

未完成の状態遷移図。初期状態はレディ。レディ→低速運転（Start／運転開始），低速運転→レディ（Stop／運転停止），一時停止→レディ（Stop／運転停止），一時停止→低速運転（Up／運転再開），低速運転→一時停止（Down／運転休止），低速運転→高速運転（Up／加速），高速運転→低速運転（Down／減速）。
〔未完成の状態遷移図〕

正解　エ

解説

仕様の最後に“レディ以外の状態で Stop ボタンが押された場合，運転停止してレディに遷移する”とある。レディ以外の状態は低速運転，高速運転，一時停止の三つで，未完成の状態遷移図には低速運転と一時停止からの Stop の遷移はあるが，高速運転からの遷移がない。

したがって，遷移元を高速運転，条件部／動作部を Stop／運転停止，遷移先をレディとする遷移を追加する必要があり，エが正しい。ア，イの一時停止での Start ボタンや，ウの高速運転から一時停止への遷移は仕様にない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問22（表記を一部改変）

問23

マッシュアップを利用して Web コンテンツを表示する例として，最も適切なものはどれか。

正解　エ

解説

マッシュアップは，Web API などで公開されている他のサービスの機能や情報を組み合わせて，新しいサービスやコンテンツを作ることである。店舗案内のページに，他のサイトが提供する地図検索機能の結果を取り込んで表示するエがこれに当たる。

アは Web ブラウザにプラグインを組み込んで表示できる内容を広げるもの。イは Ajax などを使ってページを切り替えずに表示を更新する技術。ウは他社のページへのリンクを置いているだけで，他のサービスの機能を利用して情報を組み合わせているわけではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問23（表記を一部改変）

問24

情報システムの設計の例のうち，フェールソフトの考え方を適用した例はどれか。

正解　ウ

解説

フェールソフトは，故障が起きたときにシステムを止めるのではなく，機能や性能を落としてでも動き続けさせる（縮退運転する）考え方。ハードウェア障害時に構成を縮小して運転を続けるウがこれに当たる。

アとイは，障害時に安全な側へ倒して停止させるフェールセーフ。エは利用者の誤操作を未然に防ぐフールプルーフの例。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問24（表記を一部改変）

問25

システムの本番移行が失敗するリスクに対するコントロールを監査するときのチェックポイントはどれか。

正解　エ

解説

システムの本番移行が失敗するリスクに対しては，移行の段階で，利用部門を含めた各部門の役割と責任，作業手順，切戻しの方法などを明確にした本番移行計画を作成し，それに沿って移行することがコントロールになる。本番移行計画が作成されていることを確認するエが適切なチェックポイントである。

アのシステム運用段階での稼働状況のレビューと承認は移行後のチェックポイント，イの次期システム改善計画への反映は改善のためのチェックポイント，ウの企画段階での投資対効果の評価は企画のチェックポイントで，いずれも本番移行そのもののリスクに対するコントロールではない。

出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（表記を一部改変）