【解答速報】情報処理安全確保支援士 令和７年度春季【午後問2】

情報処理安全確保支援士問２も解きました。

毎年のことながら速報なので８割くらいの正答率だと思います。

間違っていそうな箇所は不明点あればコメント頂けますと助かります。

（追記）一通り修正完了しておりますので、解答としては完了です。

問2 脆弱性管理について

設問1 表1中のaeに入れる応答を,解答群の中から選び,記号で答えよ。なお,解答は重複して選んでもよい。

解答

a	ア
b	ア
c	ア
d	ア
e	イ

解説

この手の問題はそれぞれSQLを書いてみるとわかります。

a	'SELECT * FROM table where article=20250401''	SQL構文エラー
b	'SELECT * FROM table where article=20250401' and 'a'='a'	SQL構文エラー
c	'SELECT * FROM table where article=20250401' and 'a'='b'	SQL構文エラー
d	'SELECT * FROM table where article=20250401 and 1= 0'	SQL構文は合っている 1=0が常に偽となる
e	'SELECT * FROM table where article=20250401 and 1=1'	SQL構文は合っている 1=1が真となり無視されるため該当コンテンツのみ取得される

「SQL構文エラーはコンテンツがありません」というエラーになります。
この1文を見落としていたため速報時点ではa,b,cを「エ」と記載しておりました。正しくは「ア」です

設問2 本文中のf～gに入れる適切な字句を,それぞれ20字以内で答えよ。

解答

f	新たに発見された脆弱性
g	脆弱性診断ツールのアップデート

解説

f,gはその後登場しないので順不同で問題ありません。

脆弱性診断は診断ツールを用いても実施されています。ソースコードに変更がないにもかかわらず、診断結果が変わる理由は下記２点が考えられます。

• 新たな脆弱性が報告され検知されるようになった
• ツールのバージョンが上がり今まで検知できていなかった脆弱性が検知できるようになった

設問3

(1) 表4中のh～kに入れる適切な字句の組合せを,解答群の中から選び,記号で答えよ。

解答

ウ

解説

これはわからなかったの調べました。

下記P.43です

TLS暗号設定ガイドライン（全111ページ）

(2) 本文中の下線1について,検知する方法を,具体的に答えよ。

解答

OpenSSHのログにtimeout before authenticationのメッセージが一定時間内に閾値を超えた場合にアラートを上げる

解説

特定時間内（認証試行の接続時間）に一定以上の認証試行が発生した場合に起きうる脆弱性であることが説明されています。
そのため、対策としては一定時間内の認証試行に対してしきい値を設定しアラートを上げることが必要になります。

(3) 本文中の下線2について,採用した対策を,20字以内で具体的に答えよ。

解答

管理者端末にクライアント証明書を導入する

解説

リモートアクセスする場合もあるので、IPアドレスでの制限が難しいという推測。
アクセスする端末は制限できるのでクライアント証明書により認証を行います。

設問4 [Webアプリ診断で検出された脆弱性]について答えよ。

(1)本文中の下線3について,脆弱性WA-1のACがLと評価された評価根拠と脆弱性WB-1のACがHと評価された評価根拠を,それぞれ具体的に答えよ。

解答

脆弱性WA-1	パラメータの数字5桁を変更するだけなので技術的難易度が低い
脆弱性WB-1	管理者ログインが必要であるため難易度が高い

解説

「Attack Complexity（攻撃の複雑さ）」は、脆弱性が悪用されるまでに攻撃者がどれだけの手間や条件を満たさなければならないかを示す指標です。
攻撃を成功させるためにどのような複雑さがあるかを表5の補足から抜粋して解答します。

(2) 本文中の下線4について,該当するサイトCの仕様を、図2中の項番から選び,答えよ。

解答

3

解説

図2で権限に関する記述は下記しかありません。

3. webアプリケーションプログラムは、一般利用者権限の専用アカウントでプロセスを実行している

したがって、解答は3です。

設問5 [脆弱性評価方法の検討]について答えよ。

(1) 本文中の下線5について、現状値は手間が掛かる理由とEPSS値は手間が掛からない理由を,それぞれ40字以内で答えよ。

解答

現在値	専門的な知識が必要であり時間経過とともに変化するため
EPSS	機械学習により自動で算出され日次で更新されているため

解説

本文中に記載のないものですので、知識を問う設問です。
このような問題は、知らない場合は考えてもしょうがないので
あきらめるか勘で素早く解答するなどして余計な時間を取られないようにしましょう。

(2) 本文中の l に入れる適切な字句を,15字以内で答えよ。

解答

EPSS値の確認

解説

EPSS値は日々変化するので、その点を問う問題だと思いますが、ちょっとわからない

(3) 本文中の下線6について,妥当である理由を30字以内で答えよ。

解答

CVSS基本値によって分類されているため

解説

P社のWebアプリ診断に関するがこれくらいしか見つかりませんでした。

設問6 表7中及び表8中のm～tに入れる対応優先度を答えよ。

解答

m	A
n	A
o	C
p	A
q	B
r	B
s	A
t	S

解説

まずは表7のEPSS値を元に領域がⅠ,Ⅲ or Ⅱを判断し、その後に表6を見てCVSSv3環境値をもとに対応優先度を確認していくという流れです。
EPSS値が1%を超えるかP社Webアプリ診断による見つかった脆弱性は「Ⅰ,Ⅲ」となり、それ以外は「Ⅱ」となります。

	m	n	o	p	q	r	s	t
EPSSから算出した領域	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅱ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ

r, s, tに関してはEPSS対象外となっていますが、本文中に「しきい値Bよりも高いとみなすのが妥当」と記載があります。
そのため領域はⅠ,Ⅲと判定します。

あとは各脆弱性に対してCVSSv3環境値に対して、表3の対応優先度表を見比べると下記の通りになります。

	m	n	o	p	q	r	s	t
EPSSから算出した領域	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅱ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ	Ⅰ,Ⅲ
CVSSv3環境値から算出した優先度	A	A	C	A	B	B	A	S