【解答速報】情報処理安全確保支援士 令和６年度春季【午後 問２】

2024年4月21日実施の情報処理安全確保支援士解答速報

毎年のことながら７～８割の正解率かと思います。間違いや不明点ございましたらコメントください。

問2 サイバー攻撃への対策

設問1 [DDoS 攻撃に対する調査]について答えよ。

(1) 表 4 中のa に入れる攻撃の例を, H社での攻撃対象を示して具体的に答えよ。

解答

公開Webサーバに大量のGETリクエストを大量に送り付ける

解説

Webサーバと考えると「公開Webサーバ」と「取引先向けWebサーバ」が攻撃対象となりそうですが、表4項番1を見ると取引先Webサーバは攻撃対象として挙げられていません。

上記のことから、取引先Webサーバの接続先は公開されていないため攻撃対象とならないとみて解答対象から外しています。深読みである可能性も大。

(2) 本文中の下線1の場合に発生する弊害を, 25字以内で答えよ。

解答

正常な通信を誤遮断してしまう

解説

(3) 本文中の b, cに入れる適切な字句を, "DNS-F"又は"DNS-K" から選び答えよ。

解答

b	DNS-K
c	DNS-F

解説

設問2 [対策 V-1 についての検討]について答えよ。

(1)表5中のd,eに入れる,不正な接続までの攻撃手順を,具体的に答えよ。

解答

d	正規利用者が入力したIDとパスワードを利用して、攻撃者がVPN-Hへ送信する。
e	正規利用者のスマートフォンに送信されたセキュリティコードを罠サイトに入力させ、攻撃者がその入力情報を利用してVPN-Hへ送信する。

解説

dのポイントは「利用者IDとパスワードをどこにどう入力するか」です。これはVPN-Hの認証の流れが記載されている表２から抜粋できます。

eの方はもう少し複雑です。問題文をしっかり読むと、多要素認証は表２（ア）を使う前提とされています。表２（ア）はSMS認証を使った多要素認証のことです。

SMSの送信先は正規の利用者になっていますので、攻撃者はこのセキュリティコードも罠サイトに入力させる必要があります。

(2) 本文中の下線2について, 注意喚起の内容を、具体的に答えよ。

解答

VPNクライアントソフトの起動時のみIDとパスワードを入力するようにする

解説

VPNクライアントソフトの入力ダイアログであることを確認すれば、罠サイトに誘導されても入力を防ぐことができます。

設問3 [対策 V-3 についての検討]について答えよ。

(1) 本文中の下線3について, 設定Pを突破する方法を, 30字以内で答えよ。

解答

接続要求が確認できたポートの順番にアクセスする

解説

国語の問題っぽい。３０文字以内という制限があるのでこれくらいの抽象的な解答になるかな？

(2) 本文中の下線4について, 突破されないのはなぜか。40字以内で答えよ。

解答

盗聴したパケットをもとに通信要求をしても、SPAパケットの検証に失敗するため

解説

「ワンタイムパスワード」や「同一のランダムデータは２度使えない」「先行フィールドのハッシュ値」などのキーワードがありますが、総括するとこういうことかなと思います。

設問4 [DDoS 攻撃に対する具体的対策の検討]について答えよ。

(1) 本文中の下線5について, 利用する外部のサービスを, 20 字以内で具体的に答えよ

解答

公開WebサーバをCDNへ移管する

解説

AKAMAIなどの「外部のDDoS対策サービスを使う」も思いつきましたが、『DDoS対策としてDDoS対策サービスを導入する』というのは問題としてどうなのかと思い、CDNを使う対策としました。

(2) 本文中の下線6について, 軽減できる理由を, 40 字以内で答えよ。

解答

インターネットからの取引先向けWebサーバへの通信は拒否することができるため

解説

下線6直後の段落がポイントです。

・取引先には,H社との取引専用の PC (以下, 取引専用 PC という)を貸与する。 取引専用 PC には, Sソフトを導入する。
・取引専用 PC ごとの ID と秘密情報を, S-APPL と取引専用 PC それぞれに設定する。
・S-APPL に,取引専用 PC が VPN 確立後にアクセス可能なサーバとして, 取引先向けWeb サーバだけを設定する。
・UTM のファイアウォール機能で, インターネットから取引先向け Web サーバへの通信を拒否するように設定する。

要約するとこういうことです。

• 取引先向けWebサーバはインターネットからのアクセスを拒否するよ

• でも取引先は専用ネットワークからアクセス可能にするよ

これをまとめた内容が解答になります。

おすすめ参考書

情報処理教科書 情報処理安全確保支援士