令和5年度春期科目A-2（午前Ⅱ）

令和5年度春期に実施された情報処理安全確保支援士試験午前Ⅱ（2026年度からの科目A-2）の全25問に，運営者が独自に書いた解説を付けています。正解の理由に加えて，多くの問題でほかの選択肢がなぜ誤りなのかも説明しています。

問1

デジタル庁，総務省及び経済産業省が策定した“電子政府における調達のために参照すべき暗号のリスト（CRYPTREC 暗号リスト）”に関する記述のうち，適切なものはどれか。

アCRYPTREC 暗号リストにある運用監視暗号リストとは，運用監視システムにおける利用実績が十分であると判断され，電子政府において利用を推奨する暗号技術のリストである。
イCRYPTREC 暗号リストにある証明書失効リストとは，政府共用認証局が公開している，危殆化した暗号技術のリストである。
ウCRYPTREC 暗号リストにある推奨候補暗号リストとは，安全性及び実装性能が確認され，今後，電子政府推奨暗号リストに掲載される可能性がある暗号技術のリストである。正解
エCRYPTREC 暗号リストにある電子政府推奨暗号リストとは，互換性維持目的に限った継続利用を推奨する暗号技術のリストである。

正解　ウ

解説

CRYPTREC 暗号リストは，電子政府推奨暗号リスト・推奨候補暗号リスト・運用監視暗号リストの三つで構成される。推奨候補暗号リストは，安全性及び実装性能が確認され，今後，電子政府推奨暗号リストに掲載される可能性のある暗号技術を載せたもので，ウの記述どおりである。

アは運用監視暗号リストの説明として誤りで，運用監視暗号リストは推奨すべき状態ではなくなったが，互換性維持のために継続利用を容認する暗号技術のリストである。エはこの運用監視暗号リストの説明を電子政府推奨暗号リストに当てはめたもので，電子政府推奨暗号リストは安全性・実装性能が確認され利用実績が十分であるか今後の普及が見込まれる暗号技術のリストである。イの証明書失効リスト（CRL）は PKI で認証局が失効した証明書を公開するもので，CRYPTREC 暗号リストの構成には含まれない。

推奨・推奨候補・運用監視の3つ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問1（表記を一部改変）

用語解説：PKI（認証局・CRL・OCSP）

問2

Pass the Hash 攻撃はどれか。

アパスワードのハッシュ値から導出された平文パスワードを使ってログインする。
イパスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。正解
ウパスワードを固定し，利用者 ID の文字列のハッシュ化を繰り返しながら様々な利用者 ID を試してログインする。
エハッシュ化されずに保存されている平文パスワードを使ってログインする。

正解　イ

解説

Pass the Hash 攻撃は，Windows の NTLM 認証のように，平文パスワードではなくパスワードのハッシュ値を使って認証が成立する仕組みを悪用する攻撃である。攻撃者は侵入した端末のメモリなどからハッシュ値を盗み，それを解読しないまま認証に使って他のサーバへログインする。イが該当する。

アはハッシュ値からパスワードを割り出す（レインボーテーブル攻撃や総当たり）ことで，割り出した平文を使う点で Pass the Hash ではない。ウはパスワードを固定して利用者 ID を変えながら試す点がリバースブルートフォース攻撃に近いが，ハッシュ値を認証に使う攻撃ではない。エは平文で保存されたパスワードの窃取・悪用である。

表で元に戻すのがレインボーテーブル，戻さずそのまま使うのが Pass the Hash

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問2（表記を一部改変）

用語解説：ハッシュ関数

問3

シングルサインオンの実装方式の一つである SAML 認証の流れとして，適切なものはどれか。

アIdP（Identity Provider）が利用者認証を行い，認証成功後に発行されるアサーションを SP（Service Provider）が検証し，問題がなければクライアントが SP にアクセスする。正解
イWeb サーバに導入されたエージェントが認証サーバと連携して利用者認証を行い，クライアントは認証成功後に利用者に発行される cookie を使用して SP にアクセスする。
ウ認証サーバは Kerberos プロトコルを使って利用者認証を行い，クライアントは認証成功後に発行されるチケットを使用して SP にアクセスする。
エリバースプロキシで利用者認証が行われ，クライアントは認証成功後にリバースプロキシ経由で SP にアクセスする。

正解　ア

解説

SAML 認証では，利用者を認証する IdP（Identity Provider）と，サービスを提供する SP（Service Provider）が役割を分担する。利用者は IdP で認証を受け，IdP は認証結果を XML で記述しデジタル署名したアサーションを発行する。SP はそのアサーションの署名などを検証し，問題がなければ利用者にサービスの利用を認める。アが SAML 認証の流れである。

イは Web サーバに導入したエージェントが認証サーバと連携し，cookie でセッションを引き継ぐエージェント型のシングルサインオン，ウは認証サーバが発行するチケットを使う Kerberos 認証方式，エは利用者と Web サーバの間に置いたリバースプロキシでまとめて認証するリバースプロキシ型のシングルサインオンの説明である。

SP はパスワードを受け取らず，IdP が署名したアサーションを確かめるだけ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問3（表記を一部改変）

用語解説：IEEE 802.1X・RADIUS（ネットワークの利用者認証）　シングルサインオン（SAML・OAuth）

問4

ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち，適切なものはどれか。

アSHA-256 の衝突発見困難性を示す，ハッシュ値が一致する二つの元のメッセージの発見に要する最大の計算量は，256 の 2 乗である。
イSHA-256 の衝突発見困難性を示す，ハッシュ値の元のメッセージの発見に要する最大の計算量は，2 の 256 乗である。
ウ衝突発見困難性とは，ハッシュ値が与えられたときに，元のメッセージの発見に要する計算量が大きいことによる，発見の困難性のことである。
エ衝突発見困難性とは，ハッシュ値が一致する二つの元のメッセージの発見に要する計算量が大きいことによる，発見の困難性のことである。正解

正解　エ

解説

衝突発見困難性（強衝突耐性）とは，同じハッシュ値になる二つの異なるメッセージの組を見つけることが計算量的に困難であるという性質である。エが適切である。

ウは，与えられたハッシュ値から元のメッセージを見つけることが困難であるという原像計算困難性（一方向性）の説明である。イの 2 の 256 乗は，SHA-256 で与えられたハッシュ値に対する原像を総当たりで探す場合の計算量の目安であり，衝突発見の計算量ではない。衝突は誕生日のパラドックスにより，およそ 2 の 128 乗の試行で見つかる見込みがあるので，アの 256 の 2 乗（65,536）も誤りである。

塗った枠が先に決まっているもの，破線の枠が探すもの

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問4（表記を一部改変）

用語解説：ハッシュ関数

問5

DNS に対するカミンスキー攻撃（Kaminsky's attack）への対策はどれか。

アDNS キャッシュサーバと権威 DNS サーバとの計 2 台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。
イSPF（Sender Policy Framework）を用いて DNS リソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。
ウ問合せ時の送信元ポート番号をランダム化することによって，DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。正解
エプレースホルダを用いたエスケープ処理を行うことによって，不正な SQL 構文による DNS リソースレコードの書換えを防ぐ。

正解　ウ

解説

カミンスキー攻撃は，DNS キャッシュサーバに存在しないサブドメインを次々に問い合わせさせ，権威 DNS サーバの応答より先に，トランザクション ID を推測した偽の応答を大量に送り込んで偽の情報をキャッシュさせる DNS キャッシュポイズニングの手法である。問合せの送信元ポート番号をランダム化すると，攻撃者はトランザクション ID に加えてポート番号も当てなければならなくなり，偽の応答が受け入れられる確率が大幅に下がる。ウが対策である。

アの冗長構成は過負荷によるサービス停止への対策，イの SPF は電子メールの送信元ドメインの詐称を検知する仕組みで，DNS の応答を認証するものではない。エのプレースホルダは SQL インジェクションの対策である。

本物の応答より先に，ID とポートが合った偽の応答が入ると成り立つ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問5（表記を一部改変）

用語解説：DNS のセキュリティ（DNSSEC・キャッシュポイズニング）　インジェクション攻撃（SQL・OS コマンド）　送信ドメイン認証（SPF・DKIM・DMARC）

問6

デジタル証明書に関する記述のうち，適切なものはどれか。

アS/MIME や TLS で利用するデジタル証明書の規格は，ITU-T X.400 で標準化されている。
イTLS において，デジタル証明書は，通信データの暗号化のための鍵交換や通信相手の認証に利用されている。正解
ウ認証局が発行するデジタル証明書は，申請者の秘密鍵に対して認証局がデジタル署名したものである。
エルート認証局は，下位の認証局の公開鍵にルート認証局の公開鍵でデジタル署名したデジタル証明書を発行する。

正解　イ

解説

TLS では，サーバが提示するデジタル証明書によって通信相手が正当であることを認証し，証明書に含まれる公開鍵を，通信データの暗号化に使う共通鍵を共有するための鍵交換などに利用する。イが適切である。

アのデジタル証明書の規格は ITU-T X.509 であり，X.400 は電子メールなどのメッセージ通信の規格である。ウのデジタル証明書は，申請者の公開鍵に対して認証局が自らの秘密鍵でデジタル署名したものであり，申請者の秘密鍵を署名対象にはしない。エのルート認証局も，下位の認証局の公開鍵に対してルート認証局の秘密鍵でデジタル署名した証明書を発行する。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問6（表記を一部改変）

用語解説：ディジタル署名（デジタル署名）　PKI（認証局・CRL・OCSP）　TLS（SSL）

問7

ブロック暗号の暗号利用モードの一つである CTR（Counter）モードに関する記述のうち，適切なものはどれか。

ア暗号化と復号の処理において，出力は，入力されたブロックと鍵ストリームとの排他的論理和である。正解
イ暗号化の処理において，平文のデータ長がブロック長の倍数でないときにパディングが必要である。
ウビット誤りがある暗号文を復号すると，ビット誤りのあるブロック全体と次のブロックの対応するビットが平文ではビット誤りになる。
エ複数ブロックの暗号化の処理は並列に実行できないが，複数ブロックの復号の処理は並列に実行できる。

正解　ア

解説

CTR モードは，カウンタ値をブロック暗号で暗号化して鍵ストリームを作り，それと平文（復号では暗号文）のブロックとの排他的論理和をとって出力とする。暗号化と復号がどちらも同じ排他的論理和の処理になるので，アが適切である。

鍵ストリームとの排他的論理和をとるストリーム暗号的な動作なので，イのパディングは不要である。ウのように誤りが次のブロックの対応するビットにまで波及するのは CBC モードの性質で，CTR モードでは誤りのあるビットだけが誤る。エの暗号化は並列に実行できず復号は並列に実行できるという性質も CBC モードのもので，CTR モードは各ブロックのカウンタ値が事前に決まるので暗号化も復号も並列に実行できる。

暗号化するのはカウンタ。平文とは XOR するだけ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問7（表記を一部改変）

問8

政府情報システムのためのセキュリティ評価制度に用いられる“ISMAP 管理基準”が基礎としているものはどれか。

アFIPS 140-3（暗号モジュールのセキュリティ要求事項）
イISO/IEC 27018:2019（個人識別情報（PII）プロセッサとして作動するパブリッククラウドにおける PII の保護のための実施基準）
ウJIS Q 15001:2017（個人情報保護マネジメントシステム－要求事項）
エ日本セキュリティ監査協会“クラウド情報セキュリティ管理基準（平成 28 年度版）”正解

正解　エ

解説

ISMAP（政府情報システムのためのセキュリティ評価制度）の管理基準は，日本セキュリティ監査協会の“クラウド情報セキュリティ管理基準（平成 28 年度版）”を基礎とし，政府機関等の統一基準や NIST SP 800-53 などを参照して作成されている。クラウド情報セキュリティ管理基準は JIS Q 27001・27002 と，クラウドサービス向けの JIS Q 27017 をもとにした管理基準である。エが該当する。

アの FIPS 140-3 は米国の暗号モジュールのセキュリティ要求事項で，暗号モジュールの認証制度で用いられる。イの ISO/IEC 27018 はパブリッククラウドにおける個人識別情報の保護に関する実施基準，ウの JIS Q 15001 はプライバシーマーク制度の審査基準の基になっている個人情報保護マネジメントシステムの規格である。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問8（表記を一部改変）

用語解説：ISO/IEC 15408（コモンクライテリア）と FIPS 140　JIS Q 15001 とプライバシーマーク（個人情報保護マネジメントシステム）　JIS Q 27000 シリーズ（情報セキュリティマネジメント）

問9

NIST“サイバーセキュリティフレームワーク：重要インフラのサイバーセキュリティを改善するためのフレームワーク 1.1 版”における“フレームワークコア”を構成する機能はどれか。

ア観察，状況判断，意思決定，行動
イ識別，防御，検知，対応，復旧正解
ウ準備，検知と分析，封じ込め/根絶/復旧，事件後の対応
エ責任，戦略，取得，パフォーマンス，適合，人間行動

正解　イ

解説

NIST のサイバーセキュリティフレームワーク（CSF）1.1 版のフレームワークコアは，サイバーセキュリティ対策を識別（Identify），防御（Protect），検知（Detect），対応（Respond），復旧（Recover）の五つの機能に分類している。イが該当する。

アは意思決定の手法である OODA ループの 4 段階，ウは NIST SP 800-61 が示すインシデント対応のライフサイクルである。エは JIS Q 38500（ISO/IEC 38500）の IT ガバナンスの六つの原則である。

識別・防御・検知・対応・復旧

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問9（表記を一部改変）

問10

WAF におけるフォールスポジティブに該当するものはどれか。

アHTML の特殊文字“<”を検出したときに通信を遮断するように WAF を設定した場合，“<”などの数式を含んだ正当な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。正解
イHTTP リクエストのうち，RFC などに仕様が明確に定義されておらず，Web アプリケーションソフトウェアの開発者が独自の仕様で追加したフィールドについては WAF が検査しないという仕様を悪用して，攻撃の命令を埋め込んだ HTTP リクエストが送信されたとき，WAF が遮断しない。
ウHTTP リクエストのパラメータ中に許可しない文字列を検出したときに通信を遮断するように WAF を設定した場合，許可しない文字列をパラメータ中に含んだ不正な HTTP リクエストが送信されたとき，WAF が攻撃として検知し，遮断する。
エ悪意のある通信を正常な通信と見せかけ，HTTP リクエストを分割して送信されたとき，WAF が遮断しない。

正解　ア

解説

フォールスポジティブ（誤検知）は，正常な通信を攻撃と誤って判定することである。数式を含む正当なリクエストに含まれる“<”を攻撃と判定して遮断してしまうアが該当する。

イとエは，攻撃の通信を見逃して遮断しないフォールスネガティブ（検知漏れ）の例である。ウは不正な HTTP リクエストを正しく攻撃と判定して遮断しているので，正しい検知（トゥルーポジティブ）である。

正常を止めるのがフォールスポジティブ，攻撃を通すのがフォールスネガティブ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問10（表記を一部改変）

用語解説：WAF・IDS・IPS

問11

サイドチャネル攻撃の手法であるタイミング攻撃の対策として，最も適切なものはどれか。

ア演算アルゴリズムに処理を追加して，秘密情報の違いによって演算の処理時間に差異が出ないようにする。正解
イ故障を検出する機構を設けて，検出したら秘密情報を破壊する。
ウコンデンサを挿入して，電力消費量が時間的に均一になるようにする。
エ保護層を備えて，内部のデータが不正に書き換えられないようにする。

正解　ア

解説

タイミング攻撃は，暗号処理に掛かる時間が秘密鍵やパスワードの値によって変わることを利用し，処理時間を多数回測って秘密情報を推定するサイドチャネル攻撃である。したがって対策は，秘密情報の値によらず処理時間が一定になるようにすることである。剰余乗算でダミーの演算を必ず行うなどして時間差を消すアが最も適切である。

イは装置に故障を起こさせて誤った出力から秘密情報を推定する故障利用攻撃への対策，ウは消費電力の変化から秘密情報を推定する電力解析攻撃への対策である。エは内部データの改ざんを防ぐ耐タンパ性の対策で，処理時間の差から情報が漏れることは防げない。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問11（表記を一部改変）

問12

インラインモードで動作するシグネチャ型 IPS の特徴はどれか。

アIPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続され，通常時の通信から外れた通信を不正と判断して遮断する。
イIPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続され，定義した異常な通信と合致する通信を不正と判断して遮断する。
ウIPS が監視対象の通信を通過させるように通信経路上に設置され，通常時の通信から外れた通信を不正と判断して遮断する。
エIPS が監視対象の通信を通過させるように通信経路上に設置され，定義した異常な通信と合致する通信を不正と判断して遮断する。正解

正解　エ

解説

インラインモードの IPS は，監視対象の通信経路上に設置され，全ての通信を自身に通過させながら検査するので，不正な通信をその場で遮断できる。シグネチャ型は，既知の攻撃パターンなど定義した異常な通信（シグネチャ）と合致する通信を不正と判断する方式である。この両方を満たすエが該当する。

アとイのようにミラーポートに接続して通信のコピーを受け取る構成はプロミスキャスモード（パッシブ）であり，通信経路の外にいるので確実に遮断することはできない。アとウのように通常時の通信から外れたものを不正と判断するのは，アノマリ型の特徴である。

IPS は止められるが，誤検知すると正常な通信まで止まる

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問12（表記を一部改変）

用語解説：WAF・IDS・IPS

問13

マルウェア感染の調査対象の PC に対して，電源を切る前に全ての証拠保全を行いたい。ARP キャッシュを取得した後に保全すべき情報のうち，最も優先して保全すべきものはどれか。

ア調査対象の PC で動的に追加されたルーティングテーブル正解
イ調査対象の PC に増設された HDD にある個人情報を格納したテキストファイル
ウ調査対象の PC の VPN 接続情報を記録している VPN サーバ内のログ
エ調査対象の PC のシステムログファイル

正解　ア

解説

証拠保全は，電源を切ると失われる揮発性の高い情報から順に行う（RFC 3227 の揮発性の順序）。ARP キャッシュと同じくメモリ上にあり，電源を切ると消えてしまうルーティングテーブルが，ARP キャッシュの次に優先して保全すべき情報である。アが該当する。

イの増設 HDD 上のファイルやエのシステムログファイルは不揮発性の記憶媒体にあるので，電源を切っても失われず後から保全できる。ウの VPN サーバ内のログは調査対象の PC の外にあり，PC の電源を切っても影響を受けない。

消えやすいものから先に

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問13（表記を一部改変）

用語解説：ARP　VPN・IPsec

問14

無線 LAN の暗号化通信を実装するための規格に関する記述のうち，適切なものはどれか。

アEAP は，クライアント PC とアクセスポイントとの間で，あらかじめ登録した共通鍵による暗号化通信を実装するための規格である。
イRADIUS は，クライアント PC とアクセスポイントとの間で公開鍵暗号方式による暗号化通信を実装するための規格である。
ウSSID は，クライアント PC で利用する秘密鍵であり，公開鍵暗号方式による暗号化通信を実装するための規格で規定されている。
エWPA3-Enterprise は，IEEE 802.1X の規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実装するための規格である。正解

正解　エ

解説

WPA3-Enterprise は，IEEE 802.1X による利用者認証を行い，認証の結果として端末ごとに動的に生成・配布される鍵を用いて通信を暗号化する無線 LAN のセキュリティ規格である。エが適切である。

アの EAP は IEEE 802.1X で使われる認証のための枠組み（プロトコル）であり，登録した共通鍵で通信を暗号化する規格ではない。イの RADIUS はアクセスポイントなどと認証サーバの間で認証情報をやり取りするプロトコルで，クライアントとアクセスポイントの間の暗号化通信を実装するものではない。ウの SSID は無線 LAN のネットワークを識別する名前であり，秘密鍵ではない。

認証が済むまでポートを閉じておき，成功した端末だけを通す

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問14（表記を一部改変）

用語解説：IEEE 802.1X・RADIUS（ネットワークの利用者認証）　共通鍵暗号と公開鍵暗号　無線 LAN（WPA2・WPA3・CSMA/CA）

問15

DKIM（DomainKeys Identified Mail）の説明はどれか。

ア送信側メールサーバにおいてデジタル署名を電子メールのヘッダーに付加し，受信側メールサーバにおいてそのデジタル署名を公開鍵によって検証する仕組み正解
イ送信側メールサーバにおいて利用者が認証された場合，電子メールの送信が許可される仕組み
ウ電子メールのヘッダーや配送経路の情報から得られる送信元情報を用いて，電子メールの送信元の IP アドレスを検証する仕組み
エネットワーク機器において，内部ネットワークから外部のメールサーバの TCP ポート番号 25 への直接の通信を禁止する仕組み

正解　ア

解説

DKIM は，送信側のメールサーバが電子メールのヘッダーや本文から作成したデジタル署名を DKIM-Signature ヘッダーとして付加し，受信側のメールサーバが送信ドメインの DNS に公開された公開鍵でその署名を検証する送信ドメイン認証の仕組みである。署名が検証できれば，送信元ドメインの正当性とメールが改ざんされていないことを確認できる。アが該当する。

イは送信時に利用者を認証する SMTP-AUTH，ウは送信元の IP アドレスを DNS に登録された情報と照合して検証する SPF などの説明である。エは ISP などが行う OP25B の説明である。

どれも送信元ドメインの DNS に登録し，受信側が引いて確かめる

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問15（表記を一部改変）

用語解説：ディジタル署名（デジタル署名）　送信ドメイン認証（SPF・DKIM・DMARC）

問16

インターネットサービスプロバイダ（ISP）が，OP25B を導入する目的の一つはどれか。

アISP 管理外のネットワークに対する ISP 管理下のネットワークからの ICMP パケットによる DDoS 攻撃を遮断する。
イISP 管理外のネットワークに向けて ISP 管理下のネットワークから送信されるスパムメールを制限する。正解
ウISP 管理下のネットワークに対する ISP 管理外のネットワークからの ICMP パケットによる DDoS 攻撃を遮断する。
エISP 管理下のネットワークに向けて ISP 管理外のネットワークから送信されるスパムメールを制限する。

正解　イ

解説

OP25B（Outbound Port 25 Blocking）は，ISP が自社の管理下のネットワーク（主に動的 IP アドレスを割り当てた利用者）から，ISP のメールサーバを経由せずに外部のメールサーバの TCP ポート 25 番へ直接送られる通信を遮断する仕組みである。ボットに感染した PC などが外部へ直接スパムメールを送信することを制限できる。イが該当する。

OP25B は ICMP パケットではなく SMTP のポート 25 番を対象とするので，ア・ウは当たらない。エのように外部から ISP の管理下に送られてくるスパムメールを制限するものは，受信側での対策であり，送信方向（Outbound）を制限する OP25B の目的ではない。

OP25B は自社の動的 IP から外へ出る25番を，IP25B は他社の動的 IP から入ってくる25番を止める

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問16（表記を一部改変）

問17

SQL インジェクション対策について，Web アプリケーションプログラムの実装における対策と，Web アプリケーションプログラムの実装以外の対策の組みとして，適切なものはどれか。

ア実装における対策：Web アプリケーションプログラム中でシェルを起動しない。　実装以外の対策：chroot 環境で Web サーバを稼働させる。
イ実装における対策：セッション ID を乱数で生成する。　実装以外の対策：TLS によって通信内容を秘匿する。
ウ実装における対策：パス名やファイル名をパラメータとして受け取らないようにする。　実装以外の対策：重要なファイルを公開領域に置かない。
エ実装における対策：プレースホルダを利用する。　実装以外の対策：Web アプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする。正解

正解　エ

解説

SQL インジェクションの根本的な対策は，Web アプリケーションプログラムの実装でプレースホルダ（バインド機構）を利用して SQL 文を組み立てることである。実装以外の対策としては，攻撃を受けた場合の被害を抑えるため，プログラムが利用するデータベースのアカウントの権限を必要最小限にしておくことが有効である。この組みのエが適切である。

アのシェルを起動しない実装と chroot 環境での稼働は OS コマンドインジェクションへの対策，ウのパス名やファイル名をパラメータで受け取らない実装と重要なファイルを公開領域に置かない運用はディレクトリトラバーサルへの対策である。イのセッション ID の乱数生成はセッション ID の推測への対策，TLS による秘匿は盗聴への対策である。

根本の対策は，SQL 文の形を先に確定させるプレースホルダ

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問17（表記を一部改変）

用語解説：インジェクション攻撃（SQL・OS コマンド）　TLS（SSL）

問18

1 台のサーバと複数台のクライアントが，1G ビット／秒の LAN で接続されている。業務のピーク時には，クライアント 1 台につき 1 分当たり 6M バイトのデータをサーバからダウンロードする。このとき，同時使用してもピーク時に業務を滞りなく遂行できるクライアント数は何台までか。ここで，LAN の伝送効率は 50％，サーバ及びクライアント内の処理時間は無視できるものとし，1G ビット／秒＝10⁹ ビット／秒，1M バイト＝10⁶ バイトとする。

ア10
イ625正解
ウ1,250
エ5,000

正解　イ

解説

LAN の伝送効率が 50％なので，実際に使える伝送速度は 10⁹×0.5＝5×10⁸ ビット／秒で，バイトに直すと 5×10⁸÷8＝6.25×10⁷ バイト／秒，すなわち 62.5M バイト／秒になる。1 分間では 62.5×60＝3,750M バイトを転送できる。クライアント 1 台が 1 分当たり 6M バイトをダウンロードするので，3,750÷6＝625 台までであり，イになる。

アの 10 は 1 秒当たりの転送量 62.5M バイトを 6M バイトで割った値（端数切捨て），ウの 1,250 は伝送効率の 50％を考慮しなかった値，エの 5,000 はさらにビットとバイトの換算（÷8）をしなかった値である。

1分に 3,750M バイト ÷ 1台 6M バイト＝ 625 台

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問18（表記を一部改変）

問19

スパニングツリープロトコルが適用されている複数のブリッジから成るネットワークにおいて，任意の一つのリンクの両端のブリッジのうち，ルートブリッジまでの経路コストが小さいブリッジの側にあるポートを何と呼ぶか。

アアクセスポート（Access Port）
イ代表ポート（Designated Port）正解
ウトランクポート（Trunk Port）
エルートポート（Root Port）

正解　イ

解説

スパニングツリープロトコルでは，ルートブリッジを決めた後，ルートブリッジ以外の各ブリッジで，ルートブリッジまでの経路コストが最小のポートをルートポートとする。また，各リンク（セグメント）の両端のうち，ルートブリッジまでの経路コストが小さいブリッジ側のポートを代表ポートとし，そのリンクからルートブリッジへ向かうフレームの転送を受け持たせる。問題文は代表ポートの説明で，イが該当する。

エのルートポートは，リンクごとではなくブリッジごとに一つ選ばれる，ルートブリッジに最も近い側のポートである。アのアクセスポートは一つの VLAN だけに属するポート，ウのトランクポートは複数の VLAN のフレームをタグを付けて転送するポートであり，いずれも VLAN の用語である。

リンクごとにルートに近い側が代表ポート。残りはブロック

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問19（表記を一部改変）

用語解説：スパニングツリー・VLAN・リンクアグリゲーション

問20

サブネット 192.168.10.0/24 において使用できる 2 種類のブロードキャストアドレス 192.168.10.255 と 255.255.255.255 とに関する記述のうち，適切なものはどれか。

ア192.168.10.255 と 255.255.255.255 とは，ともにサブネット内のブロードキャストに使用される。正解
イ192.168.10.255 はサブネットの外からのブロードキャストだけに使用され，サブネット内のブロードキャストには使用できない。
ウ255.255.255.255 は互換性のために残されており，ブロードキャストには 192.168.10.255 を使用することが推奨されている。
エ255.255.255.255 はサブネットの外へのブロードキャストだけに使用され，サブネット内のブロードキャストには使用できない。

正解　ア

解説

192.168.10.255 はサブネット 192.168.10.0/24 のホスト部を全て 1 にしたディレクテッドブロードキャストアドレスで，サブネット内の全ホスト宛てに使える。255.255.255.255 はリミテッドブロードキャストアドレスで，自身が接続しているサブネット内の全ホスト宛てに使われ，ルータを越えて転送されない。どちらもサブネット内のブロードキャストに使用されるので，アが適切である。

イは誤りで，192.168.10.255 はサブネット内からも使用できる。ウのような推奨はなく，255.255.255.255 は DHCP で IP アドレスがまだ決まっていない端末が使うなど現役で利用されている。エは逆で，255.255.255.255 はルータで転送されないのでサブネットの外へのブロードキャストには使えない。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問20（表記を一部改変）

用語解説：サブネットマスク・CIDR

問21

次の SQL 文を A 表の所有者が発行したときの，利用者 B への A 表に関する権限の付与を説明したものはどれか。

GRANT ALL PRIVILEGES ON A TO B WITH GRANT OPTION

アSELECT 権限，UPDATE 権限，INSERT 権限，DELETE 権限などの全ての権限，及びそれらの付与権を付与する。正解
イSELECT 権限，UPDATE 権限，INSERT 権限，DELETE 権限などの全ての権限を付与するが，それらの付与権は付与しない。
ウSELECT 権限，UPDATE 権限，INSERT 権限，DELETE 権限は付与しないが，それらの付与権だけを付与する。
エSELECT 権限，及び SELECT 権限の付与権を付与するが，UPDATE 権限，INSERT 権限，DELETE 権限，及びそれらの付与権は付与しない。

正解　ア

解説

GRANT 文の ALL PRIVILEGES は，A 表に対して付与できる SELECT，INSERT，UPDATE，DELETE などの全ての権限を表す。WITH GRANT OPTION を付けると，付与された権限を利用者 B がさらに他の利用者に付与できる権限（付与権）も与えられる。したがって，全ての権限とそれらの付与権を付与するアが該当する。

イは WITH GRANT OPTION を付けなかった場合の説明である。ウのように権限を与えずに付与権だけを与えることはこの文ではできない。エは GRANT SELECT ON A TO B WITH GRANT OPTION を発行した場合の説明である。

WITH GRANT OPTION があると，B が C に渡せる

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問21（表記を一部改変）

問22

IoT 機器のペネトレーションテスト（Penetration Test）の説明として，適切なものはどれか。

ア開発の最終段階に，IoT 機器と通信対象となるサーバ及びネットワーク全体の動作が仕様書どおりであることをテストする。
イ回路図，ソースコードなどのシステムの内部構造を参照して，仕様確認のためのテストを行う。
ウ恒温恒湿器を用いて，要求仕様で定められた温湿度条件で動作するかどうか，耐久性はどうかをテストする。
エネットワーク，バス，デバッグインタフェースなどの脆弱性を利用して，IoT 機器への攻撃と侵入を試みるテストを行う。正解

正解　エ

解説

ペネトレーションテスト（侵入テスト）は，攻撃者の視点で実際に攻撃手法を試み，システムに侵入できるかどうかを確かめることで脆弱性を検出するテストである。IoT 機器では，ネットワークだけでなく，基板上のバスやデバッグ用のインタフェースなどの脆弱性も攻撃経路になる。エが適切である。

アは仕様どおりに動作するかを確かめるシステムテスト（総合テスト），イは内部構造を参照して行うホワイトボックステストである。ウは温湿度などの環境条件での動作や耐久性を確かめる環境試験である。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問22（表記を一部改変）

用語解説：脆弱性の管理と検査（CVE・CVSS・ファジング）

問23

プログラムの著作権管理上，不適切な行為はどれか。

ア公開されているプロトコルに基づいて，他社が販売しているソフトウェアと同等の機能をもつソフトウェアを独自に開発して販売した。
イ使用，複製及び改変する権利を付与するというソースコード使用許諾契約を締結した上で，許諾対象のソフトウェアを改変して製品に組み込み，当該許諾契約の範囲内で製品を販売した。
ウソフトウェアハウスと使用許諾契約を締結し，契約上は複製権の許諾は受けていないが，使用許諾を受けたソフトウェアにはプロテクトが掛けられていたので，そのプロテクトを外し，バックアップのために複製した。正解
エ他人のソフトウェアを正当な手段で入手し，試験又は研究のために逆コンパイルを行った。

正解　ウ

解説

ウは，使用許諾契約で複製権の許諾を受けていないにもかかわらず，技術的保護手段であるプロテクトを外して複製している。プロテクトを回避して行う複製は，たとえバックアップ目的でも正当化されず，著作権（複製権）の侵害や契約違反に当たるおそれがあるので，不適切である。

アは，著作権法がプログラムの著作物の保護は作成に用いる規約（プロトコルなど）に及ばないとしているので，公開されたプロトコルに基づいて独自に開発・販売しても問題はない。イは許諾契約で認められた範囲内の改変・販売である。エの正当に入手したソフトウェアを試験や研究のために逆コンパイルすること（リバースエンジニアリング）は，一般に著作権侵害に当たらないと解されている。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問23（表記を一部改変）

用語解説：著作権と知的財産権（特許・営業秘密・ライセンス）

問24

サービスマネジメントにおける問題管理において実施する活動はどれか。

アインシデントの発生後に暫定的にサービスを復旧させ，業務を継続できるようにする。
イインシデントの発生後に未知の根本原因を特定し，恒久的な解決策を策定する。正解
ウインシデントの発生に備えて，復旧のための設計をする。
エインシデントの発生を記録し，関係する部署に状況を連絡する。

正解　イ

解説

問題管理は，インシデントの背後にある根本原因を突き止め，同じインシデントが再び起きないように恒久的な解決策を立てるプロセス。原因がまだ分かっていないものを調査して既知の誤りとして登録し，恒久対策につなげる。イが正しい。

アの暫定的な復旧とエのインシデントの記録・連絡はインシデント管理の活動。ウの復旧のための設計は，サービス継続及び可用性管理などで行うことである。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問24（表記を一部改変）

用語解説：インシデント管理と問題管理

問25

システム監査基準（平成 30 年）に基づくシステム監査において，リスクに基づく監査計画の策定（リスクアプローチ）で考慮すべき事項として，適切なものはどれか。

ア監査対象の不備を見逃して監査の結論を誤る監査リスクを完全に回避する監査計画を策定する。
イ情報システムリスクの大小にかかわらず，全ての監査対象に対して一律に監査資源を配分する。
ウ情報システムリスクは，情報システムに係るリスクと，情報の管理に係るリスクの二つに大別されることに留意する。
エ情報システムリスクは常に一定ではないことから，情報システムリスクの特性の変化及び変化がもたらす影響に留意する。正解

正解　エ

解説

システム監査基準（平成30年）は，リスクに基づく監査計画の策定（リスクアプローチ）の解釈指針で，“情報システムリスクは常に一定のものではないため，システム監査人は，その特性の変化及び変化がもたらす影響に留意する必要がある”としている。エがこれに当たる。

アは誤りで，監査は時間，要員，費用等の制約のもとで行われるので監査リスクを完全に回避することはできず，合理的に低い水準に抑えるように監査計画を策定する。イも誤りで，リスクアプローチは，リスクが顕在化した場合の影響が大きい監査対象領域に重点的に監査資源を配分し，影響の小さい領域には相応の監査資源を配分する考え方である。ウも誤りで，情報システムリスクは，情報システムに係るリスク，情報に係るリスク，情報システム及び情報の管理に係るリスクの三つに大別される。

出典：令和5年度春期情報処理安全確保支援士試験午前Ⅱ 問25（表記を一部改変）

用語解説：システム監査（監査手続・監査証拠・フォローアップ）