【解答速報】情報処理安全確保支援士 令和７年度春季【午後問2】
syun03情報処理安全確保支援士問２も解きました。
毎年のことながら速報なので８割くらいの正答率だと思います。
間違っていそうな箇所は不明点あればコメント頂けますと助かります。
目次
- 1. 問2 脆弱性管理について
- 1.1. 設問1 表1中のaeに入れる応答を,解答群の中から選び,記号で答えよ。なお,解答は重複して選んでもよい。
- 1.2. 設問2 本文中のf～gに入れる適切な字句を,それぞれ20字以内で答えよ。
- 1.3. 設問3
- 1.3.1. (1) 表4中のh～kに入れる適切な字句の組合せを,解答群の中から選び,記号で答えよ。
- 1.3.2. (2) 本文中の下線1について,検知する方法を,具体的に答えよ。
- 1.3.3. (3) 本文中の下線2について,採用した対策を,20字以内で具体的に答えよ。
- 1.4. 設問4 について答えよ。
- 1.4.1. (1)本文中の下線3について,脆弱性WA-1のACがLと評価された評価根拠と脆弱性WB-1のACがHと評価された評価根拠を,それぞれ具体的に答えよ。
- 1.4.2. (2) 本文中の下線4について,該当するサイトCの仕様を、図2中の項番から選び,答えよ。
- 1.5. 設問5 について答えよ。
- 1.5.1. (1) 本文中の下線5について、現状値は手間が掛かる理由とEPSS値は手間が掛からない理由を,それぞれ40字以内で答えよ。
- 1.5.2. (2) 本文中のしに入れる適切な字句を,15字以内で答えよ。
- 1.5.3. (3) 本文中の下線6について,妥当である理由を30字以内で答えよ。
- 1.6. 設問6 表7中及び表8中のm～tに入れる対応優先度を答えよ。
問2 脆弱性管理について
設問1 表1中のaeに入れる応答を,解答群の中から選び,記号で答えよ。なお,解答は重複して選んでもよい。
解答
| a | エ |
| b | エ |
| c | エ |
| d | ア |
| e | イ |
解説
この手の問題はそれぞれSQLを書いてみるとわかります。
| a | 'SELECT * FROM table where article=20250401'' | SQL構文エラー |
| b | 'SELECT * FROM table where article=20250401' and 'a'='a' | SQL構文エラー |
| c | 'SELECT * FROM table where article=20250401' and 'a'='b' | SQL構文エラー |
| d | 'SELECT * FROM table where article=20250401 and 1= 0' | SQL構文は合っている 1=0が常に偽となる |
| e | 'SELECT * FROM table where article=20250401 and 1=1' | SQL構文は合っている 1=1が真となり無視されるため該当コンテンツのみ取得される |
設問2 本文中のf～gに入れる適切な字句を,それぞれ20字以内で答えよ。
解答
| f | 新たに発見された脆弱性 |
| g | 脆弱性診断ツールのアップデート |
解説
f,gはその後登場しないので順不同で問題ありません。
脆弱性診断は診断ツールを用いても実施されています。ソースコードに変更がないにもかかわらず、診断結果が変わる理由は下記２点が考えられます。
- 新たな脆弱性が報告され検知されるようになった
- ツールのバージョンが上がり今まで検知できていなかった脆弱性が検知できるようになった
設問3
(1) 表4中のh～kに入れる適切な字句の組合せを,解答群の中から選び,記号で答えよ。
解答
ウ
解説
これはわからなかったの調べました。
下記P.43です
(2) 本文中の下線1について,検知する方法を,具体的に答えよ。
解答
OpenSSHのログにtimeout before authenticationのメッセージが一定時間内に閾値を超えた場合にアラートを上げる
解説
(3) 本文中の下線2について,採用した対策を,20字以内で具体的に答えよ。
解答
管理者端末にクライアント証明書を導入する
解説
リモートアクセスする場合もあるので、IPアドレスでの制限が難しいという推測。
アクセスする端末は制限できるのでクライアント証明書により認証を行います。
設問4 [Webアプリ診断で検出された脆弱性]について答えよ。
(1)本文中の下線3について,脆弱性WA-1のACがLと評価された評価根拠と脆弱性WB-1のACがHと評価された評価根拠を,それぞれ具体的に答えよ。
解答
| 脆弱性WA-1 | パラメータの数字5桁を変更するだけなので技術的難易度が低い |
| 脆弱性WB-1 | 管理者ログインが必要であるため難易度が高い |
解説
(2) 本文中の下線4について,該当するサイトCの仕様を、図2中の項番から選び,答えよ。
解答
3
解説
設問5 [脆弱性評価方法の検討]について答えよ。
(1) 本文中の下線5について、現状値は手間が掛かる理由とEPSS値は手間が掛からない理由を,それぞれ40字以内で答えよ。
解答
| 現在値 | 専門的な知識が必要であり時間経過とともに変化するため |
| EPSS | 機械学習により自動で算出され日次で更新されているため |
解説
(2) 本文中のしに入れる適切な字句を,15字以内で答えよ。
解答
EPSS値の確認
解説
EPSS値は日々変化するので、その点を問う問題だと思いますが、ちょっとわからない
(3) 本文中の下線6について,妥当である理由を30字以内で答えよ。
解答
CVSS基本値によって分類されているため
解説
P社のWebアプリ診断に関するがこれくらいしか見つかりませんでした。
設問6 表7中及び表8中のm～tに入れる対応優先度を答えよ。
解答
| m | A |
| n | A |
| o | C |
| p | A |
| q | B |
| r | C |
| s | B |
| t | A |
解説
まずは表7のEPSS値を元に領域がⅠ,Ⅲ or Ⅱを判断し、その後に表6を見てCVSSv3環境値をもとに対応優先度を確認していくという流れです。
| m | n | o | p | q | r | s | t | |
| EPSSから算出した領域 | Ⅰ,Ⅲ | Ⅰ,Ⅲ | Ⅱ | Ⅰ,Ⅲ | Ⅰ,Ⅲ | Ⅱ | Ⅱ | Ⅱ |
| CVSSv3環境値から算出した優先度 | A | A | C | A | B | C | B | A |
設問5の(3)は問題文のはじめにある通り、P社のWebアプリ診断は脆弱性が実際に悪用できることを確認したうえで報告してくれるから、しきい値Bよりも高いとみなすのが妥当ということではないでしょうか？