情報処理安全確保支援士 過去問解説【令和３年 春季午後１】

皆様試験お疲れさまでした。

今年度の試験もなかなか苦戦する問題が多かった印象です。 中でも、問３ WoLの題材については全くの想定外でした。 わからないまま選んでいたら焦っていただろうと思います。

上位資格複数保持者として、自身の知識の確認の意味も込めて解答速報を作成いたしました。 不明な点もあり、間違いあるかもしれませんが お気づきの点ありましたら、コメントお願いいたします。

(2021/6/27)追記

公式解答がでましたので、一部修正致しました。 9割以上は正解していました。今でも問題なく合格できそうです。

情報処理安全確保支援士試験　過去問解説

過去問解説はこちらから

情報処理安全確保支援士 令和３年午後１ 　問１　認証システムの開発

OAuthのセキュリティ対策についての題材

設問１

（１）本文中の下線①について、S社の課題に即した利点を30字以内で具体的に述べよ

解答

多要素認証が利用できる

(IPA解答)多要素認証の実装をSサービス側に用意しなくてよい

解説

「前回の脆弱性診断で、認証方式を多要素認証にする方がよい」とアドバイスを受けていたが、その対処が課題となっていた。今回の改修でその課題解消を目指している。

（２）本文中の下線①について、可用性の観点での欠点を30字以内で述べよ

解答

Tサービス利用不可の場合にログインできなくなる

解説

これを可用性の欠点と呼ぶかは微妙な気がしますが、、ちょっとわかりません。

（３）本文中のa～cに入れる適切な字句を解答群から選び、記号で答えよ

解答

a	ア
b	イ
c	ウ

解説

注記に記載の通り、Sサービスの利用を開始するためにはアカウント名（T-ID）を利用する。そのため、SサービスがTサービスのリソース（＝アカウント名）へアクセスすることが必要となる。

（４）本文中のaに入れる適切な字句を、図２中の（あ）～（こ）から選び、記号で答えよ。

解答

え

解説

利用者に対し、「認証、権限付与の確認」をしている『え』が正解。ここで図３に記載の権限を付与することを許可している。

設問２

（１）図４中のd,eに入れる適切な字句を解答群から選び、記号で答えよ

解答

d	ウ
e	ア

解説

OAuthのCSRF攻撃です。

攻撃者が利用者とSサービスの間に入り込み中継することで、利用者からはSサービスの利用が開始されたように見える。ここで、問題は『攻撃者の用意したアカウントが利用者のTサービスと紐付けられる』ことである。 このため、攻撃者は利用者のアカウントに不正アクセスしファイルを参照することが可能になる。

攻撃者が間に入っている事以外は図２と同じなので、図２を参照しながら解答すれば問題ない。

OAuthのCSRF攻撃

（２）本文中の下線②について、ファイルのアップロードとファイルのダウンロードは、それぞれＴサービスの誰のアカウントによって行われるか。それぞれ6字以内で答えよ

解答

アップロード	攻撃者
ダウンロード	攻撃者

解説

利用者は『攻撃者のアカウントでログインしていることに気付かず、ファイルをアップロードする』ことで攻撃が成功します。

（３）本文中のβ、γに入れる適切な字句を図２中の（あ）～（こ）から選び、記号で答えよ

解答

β	い
γ	か

解説

stateパラメタは「認可コードを送るタイミング」「認可コードを受けるタイミング」でそれぞれ送信されます。

設問３

（１）本文中の下線③について、必要最低限の権限を図３中の（ア）～（エ）から一つ選び、記号で答えよ

解答

エ

解説

図２に記載の通り、Sサービス利用時はTサービスのアカウント名が必要。それ以外の情報については用途の記載がないため、必要なのは『Tサービスのアカウント名』のみ

（２）本文中の下線④に該当するS会員を、35字以内で述べよ

解答

TサービスとのSNS連携でSサービスの利用を開始した会員

(IPA解答)S認証モジュールに利用者IDとパスワードを登録していないS会員

解説

TサービスとのSNS連携後はS認証モジュールを利用していない。そのためにTサービスとの連携が停止すると認証することができない IPAの解答と文言が違いますが、内容は一緒です。

設問４　本文中に下線⑤について、Sサービスは、Tサービスと連携して、どのように利用者認証を実現しているか。実現の方法を50字以内で具体的に述べよ。

解答

初回ログイン時にTサービスから連携されたT-IDを利用して認証する

(IPA解答)Tサービスで認証されたS会員のT-IDが、Sサービス内に登録されていることを確認する

解説

図２注記にもある通り、SサービスはTサービスから連携されたT-IDを利用して、認証を行います。

IPA解答の方が具体的に記載しておりました。『具体的に述べよ』という設問なので、確かにそうですね。

情報処理安全確保支援士 令和３年午後１ 問２　ネットワークのセキュリティ対策

DNSのセキュリティ対策についての題材

設問１

（１）本文中の下線①について、Ａ社の公開Ｗｅｂサーバへの影響を30字以内で述べよ

解答

公開Webサーバ上のサイトにアクセスできなくなる

解説

表１　注記２に記載の通り、公開Ｗｅｂサーバの名前解決は外部ＤＮＳサーバにて行っている。外部ＤＮＳにアクセスできなくなると、名前解決ができず公開Ｗｅｂサーバ上のリソースに到達できなくなる。

（２）本文中の下線②の攻撃の名称を20字以内で答えよ

解答

DNSアンプ攻撃

(IPA解答)DNSリフレクション攻撃

解説

IPA解答では「DNSリフレクション攻撃」ですが、DNSアンプ攻撃も一般的には同じものを指しますので 正解だと思います。

（３）表３中のa,bに入れる適切な字句を解答群の中から選び、記号で答えよ

解答

a	ア
b	イ

解説

DNS-Fはフルリゾルバ機能として、インターネット上のDNSサーバへ問い合わせを行う。DNS-Kは権威サーバとして、インターネットからの問い合わせを受け付ける。

（４）本文中のcに入れるDNSリソースレコードのタイプ名を6字以内で答えよ

解答

A

（５）本文中のdに入れる適切な字句を15字以内で答えよ

解答

一定の範囲内でランダムな値に変更

解説

MXレコードの対するキャッシュポイズニング攻撃への対策。ポート番号を固定せずランダムな値にすることで、応答パケットの偽装をしづらくさせます。

（６）本文中のeに入れる適切な技術の名称を英字10字以内で答えよ

解答

DNSSEC

解説

受け取ったDNS応答が「本当に正しい」ものかどうかを検証することで、DNSのセキュリティを向上させるための拡張機能

（７）本文中のf,gに入れる適切な字句と解答群の中から選び、記号で答えよ

解答

f	オ
g	カ

解説

DoTで暗号化するのは、クライアント↔キャッシュDNSサーバ間になります。選択肢の中から選ぶと、「クライアント＝スタブリゾルバ」「キャッシュサーバ＝フルサービスリゾルバ」が該当します。

設問２

（１）本文中の下線③を実施する事によって停電できるリスクを30字以内で具体的に述べよ

解答

DNS-Kに障害が発生し、名前解決できなくなるリスク

(IPA解答)権威DNSサーバがサービス停止になるリスク

解説

冗長化構成にすることにより、プライマリのサーバに障害発生が発生した場合もセカンダリ側で名前解決できるように準備します。

（２）図２中のh,jに入れる適切な字句を解答群の中から選び、記号で答えよ

解答

h	カ
i	ク

（３）表４中のj～mに入れる適切な字句を”許可”又は”拒否”のいずれかで答えよ

解答

j	拒否
k	許可
l	拒否
m	拒否

解説

プライマリDNSからセカンダリDNSへのゾーン転送のみを『許可』しますが、ゾーン転送要求するのはセカンダリ側からのみなので、kのみ許可します。

（４）表５中のn～pに入れる適切な字句を解答群の中から選び、記号で答えよ

解答

n	エ　⇒　オ
o	ア
p	カ

解説

情報処理安全確保支援士 令和３年午後１ 問３　セキュリティ運用 WoL

設問１　図２中のaに入れる適切な字句を20字以内で具体的に答えよ

解答

PCの動作に影響を与えないか

解説

セキュリティパッチを入れたことにより、PCの動作に影響を与えないかを確認します。

設問２　本文中の下線①のL2SWを、図1中のL2SW1～L2SW4から選び、答えよ

解答

L2SW１

解説

表１のFWに記載の通り、インターネットとの通信を許可しているのはDMZだけです。そのため、DMZ上のL2SW１のみにパケット収集装置を接続する

設問３

（１）本文中のbに入れる適切な字句を解答群の中から選び、記号で答えよ

解答

エ

解説

WoL（Wake-On-LAN）でのＰＣ起動方法の説明です。

WoLについて

（２）本文中のcに入れる適切な字句を解答群の中から選び、記号で答えよ

解答

イ

（３）本文中の下線②に示す設定内容変更を、30字以内で具体的に述べよ

解答

L2SW4から他のLANへのWoL起動パケットの通信を許可する

(IPA解答)起動パケットを他のセグメントに転送するように変更する

解説

事前に検証したのは①のルートで、起動できなかったのは②のルートになります。

②のルートについては、L3SWを経由することになります。WoLで起動する際には、ブロードキャストアドレスで通信しますが、L3SWはこの通信を許可しておらず「Direct-Broadcast」許可の設定変更が必要だという設問かと思われます。

設問４

（１）図5中の下線③について、(2)の活動及び(4)の活動に必要な情報を、それぞれ10字以内で答えよ

解答

（２）	IPアドレス
（４）	MACアドレス

解説

（２）本文中の下線④の方法を、55字以内で具体的に述べよ

解答

エージェントに大量のPINGコマンドを検知設定し、EDR管理サーバとの通信以外を全て遮断する

解説

マルウェアの感染が疑われた端末は隔離する必要がある。表１のエージェント部分に隔離に関する機能の記述があるため、この機能を利用する

情報処理安全確保支援士　過去問解説その他記事