情報セキュリティスペシャリスト午前2平成26年春

情報セキュリティスペシャリスト午前2平成26年春

問1

5/8

 特定の認証局が発行した CRL (Certificate Revocation List) に関する記述の

うち,適切なものはどれか。

 ア CRL には,失効したディジタル証明書に対応する秘密鍵が登録される。

 イ CRL には,有効期限内のディジタル証明書のうち破棄されているディジタル

  証明書と破棄された日時の対応が提示される。

 ウ CRL は,鍵の漏えい,破棄申請の状況をリアルタイムに反映するプロトコル

  である。

 エ 有効期限切れで失効したディジタル証明書は,所有者が新たなディジタル

  証明書を取得するまでの間,CRL に登録される。

キーワード■ CRL (Certificate Revocation List)

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問13

 イ CRL には,有効期限内のディジタル証明書のうち破棄されているディジタル

  証明書と破棄された日時の対応が提示される。

------------------------------------------------------------------------

問2

5/9

 XML 署名において署名対象であるオブジェクトの参照を指定する表記形式はど

れか。

 ア OID の形式

 イ SSID の形式

 ウ URI の形式

 エ ディジタル証明書のシリアル番号の形式

キーワード■ CRL (Certificate Revocation List)

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問02

 ウ URI の形式

------------------------------------------------------------------------

問3

5/12

 クラウドサービスにおける,従量課金を利用したEDoS(Economic Denial of Service,

Economic Denial of Sustainability)攻撃の説明はどれか。

 ア カード情報の取得を目的に,金融機関が利用しているクラウドサービスに

  侵入する攻撃

 イ 課金回避を目的に,同じハードウェア上に構築された別の仮想マシンに侵入

  し,課金機能を利用不可にする攻撃

 ウ クラウド利用企業の経済的な損失を目的に,リソースを大量消費させる攻撃

 エ パスワード解析を目的に,クラウド環境のリソースを悪用する攻撃

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問03

 ウ クラウド利用企業の経済的な損失を目的に,リソースを大量消費させる攻撃

------------------------------------------------------------------------


問4

5/13

 スパムメールの対策として,あて先ポート番号 25 番のメールに対し ISP が実施

する OP25B の説明はどれか。

 ア ISP 管理外のネットワークからの受信メールのうち,スパムメールのシグネチャ

  に該当するメールを遮断する。

 イ 動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワーク

  に直接送信されたメールを遮断する。

 ウ メール送信元のメールサーバについて DNS逆引きができない場合,その

  メールサーバからのメールを遮断する。

 エ メール不正中継の脆(ぜい)弱性をもつメールサーバからの受信メール

  遮断する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問04

 イ 動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワーク

  に直接送信されたメールを遮断する。,リソースを大量消費させる攻撃

------------------------------------------------------------------------

問5

5/14

 PC に内蔵されるセキュリティチップ (TPM:Trusted Platform Module) がもつ

機能はどれか。

 ア TPM 間での共通鍵の交換

 イ 鍵ペアの生成

 ウ ディジタル証明書の発行

 エ ネットワーク経由の乱数発信

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問05

 イ 鍵ペアの生成

------------------------------------------------------------------------

問6

5/15

 ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれ

か。

 ア IP アドレスの変換が行われるので,ファイアウォール内部のネットワーク構成

  を外部から隠蔽できる。

 イ 暗号化されたパケットデータ部を復号して,許可された通信かどうかを

  判断できる。

 ウ パケットデータ部をチェックして,アプリケーション層での不正なアクセス

  を防止できる。

 エ 戻りのパケットに関しては,過去に通過したリクエストパケットに対応し

  たものだけを通過させることができる。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問06

 エ 戻りのパケットに関しては,過去に通過したリクエストパケットに対応し

  たものだけを通過させることができる。

------------------------------------------------------------------------

問7

5/16

 ポリモーフィック型ウイルスの説明として,適切なものはどれか。

 ア インターネットを介して,攻撃者が PC を遠隔操作する。

 イ 感染するごとに鍵を変えてウイルスのコードを異なる鍵で暗号化し,ウイルス

  自身を変化させて同一のパターンで検知されないようにする。

 ウ 複数の OS で利用できるプログラムでウイルスを作成することによっ

  て,複数の OS 上でウイルスが動作する。

 エ ルートキットを利用してウイルスに感染していないように見せかけること

  によって,ウイルスを隠蔽する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問07

 イ 感染するごとに鍵を変えてウイルスのコードを異なる鍵で暗号化し,ウイルス

  自身を変化させて同一のパターンで検知されないようにする。

------------------------------------------------------------------------


問8

5/19

 ICMP Flood 攻撃に該当するものはどれか。

 ア HTTP GET コマンドを繰返し送ることによって,攻撃対象のサーバに

  コンテンツ送信の負荷を掛ける。

 イ ping コマンドを用いて同時に発生した大量の要求パケットによって,攻撃対象

  のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

 ウ コネクション開始要求に当たる SYN パケットを大量に送ることによって,

  攻撃対象のサーバに,接続要求ごとに応答を返すための過大な負荷を掛ける。

 エ 大量の TCP コネクションを確立することによって,攻撃対象のサーバに

  接続を維持させ続けリソースを枯渇させる。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問08

 イ ping コマンドを用いて同時に発生した大量の要求パケットによって,攻撃対象

  のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

------------------------------------------------------------------------

問9

5/20

 ファイアウォールにおいて,自ネットワークのホストへの侵入を防止する対策

のうち,IP スプーフィング (spoofing) 攻撃の対策について述べたものはどれか。

 ア 外部から入る TCP コネクション確立要求パケットのうち,外部へのインター

  ネットサービスの提供に必要なもの以外を破棄する。

 イ 外部から入る UDP パケットのうち,外部へのインターネットサービスの

  提供や利用したいインターネットサービスに必要なもの以外を破棄する。

 ウ 外部から入るパケットのあて先 IP アドレスが,インターネットとの直接

  の通信をすべきでない自ネットワークのホストのものであれば,そのパケット

  を破棄する。

 エ 外部から入るパケットの送信元IPアドレスが自ネットワークのものであれ

  ば,そのパケットを破棄する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問09

 エ 外部から入るパケットの送信元IPアドレスが自ネットワークのものであれ

  ば,そのパケットを破棄する。

------------------------------------------------------------------------

問10

5/21

 Web サーバが HTTPS 通信の応答で cookieSecure 属性設定したときの

ブラウザの処理はどれか。

 ア ブラウザは,cookie の "Secure=" に続いて指定された時間を参照し,指定

  された時間を過ぎている場合にその cookie を削除する。

 イ ブラウザは,cookie の "Secure=" に続いて指定されたホスト名を参照し,

  指定されたホストにその cookie を送信する。

 ウ ブラウザは,cookie の "Secure" を参照し,HTTPS 通信時だけその cookie

  を送信する。

 エ ブラウザは,cookie の "Secure" を参照し,ブラウザの終了時にその cookie

  を削除する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問10

 ウ ブラウザは,cookie の "Secure" を参照し,HTTPS 通信時だけその cookie

  を送信する。

------------------------------------------------------------------------

問11

5/22

 テンペスト (TEMPEST) 攻撃を説明したものはどれか。

 ア 故意に暗号化演算を誤動作させて正しい結果との差異を解析する。

 イ 処理時間の差異を計測し解析する。

 ウ 処理中に機器から放射される電磁波を観測し解析する。

 エ チップ内の信号線などに探針を直接当て,処理中のデータを観測し解析する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問11

 ウ 処理中に機器から放射される電磁波を観測し解析する。

------------------------------------------------------------------------

問12

5/23

 脆弱性検査で,対象ホストに対してポートスキャンを行った。対象ポートの状態

を判定する方法のうち,適切なものはどれか。

 ア 対象ポートに SYN パケットを送信し,対象ホストから "RST/ACK" パケット

  を受信するとき,対象ポートが開いていると判定する。

 イ 対象ポートに SYN パケットを送信し,対象ホストから "SYN/ACK" パケット

  を受信するとき,対象ポートが閉じていると判定する。

 ウ 対象ポートUDP パケットを送信し,対象ホストからメッセージ

  "port unreachable" を受信するとき,対象ポートが閉じていると判定する。

 エ 対象ポートUDP パケットを送信し,対象ホストからメッセージ

  "port unreachable" を受信するとき,対象ポートが開いていると判定する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問12

 ウ 対象ポートUDP パケットを送信し,対象ホストからメッセージ

  "port unreachable" を受信するとき,対象ポートが閉じていると判定する。

------------------------------------------------------------------------

問13

5/7

 無線 LAN におけるセキュリティ対策に関する記述のうち,適切なものはどれか。

 ア EAP は,クライアント PC とアクセスポイントとの間で,あらかじめ登録し

  た共通鍵による暗号化通信を実現する。

 イ RADIUS では,クライアント PC とアクセスポイントとの間で公開鍵暗号方式

  による暗号化通信を実現できる。

 ウ SSID は,クライアント PC ごとの秘密鍵を定めたものであり,公開鍵暗号方式

  による暗号化通信を実現する。

 エ WPA2 では,IEEE802.1X の規格に沿った利用者認証及び動的に更新される

  暗号化鍵を用いて暗号化通信を実現できる。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問13

 エ WPA2 では,IEEE802.1X の規格に沿った利用者認証及び動的に更新される

  暗号化鍵を用いて暗号化通信を実現できる。

------------------------------------------------------------------------

                         ぜい

問14

5/2

 JVN (Japan Vulnerability Notes) などの脆弱性対策ポータルサイトで採用さ

れている CWE (Common Weakness Enumeration) はどれか。

 ア 基本評価基準,現状評価基準,環境評価基準の三つの基準でIT製品の脆弱性

  を評価する手法

 イ 製品を識別するためのプラットフォーム名の一覧

 ウ セキュリティに関連する設定項目を識別するための識別子

 エ ソフトウェア脆弱性の種類の一覧

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問14

 エ ソフトウェア脆弱性の種類の一覧

------------------------------------------------------------------------


問15

5/1

 Web アプリケーションの脆弱性を悪用する攻撃手法のうち,Perl の system 関数

PHP の exec 関数など外部プログラムの呼出しを可能にするための関数を利用

し,不正にシェルスクリプトや実行形式のファイルを実行させるものはどれに分類

されるか。

 ア HTTP ヘッダインジェクション

 イ OS コマンドインジェクション

 ウ クロスサイトリクエストフォージェリ

 エ セッションハイジャック

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問15

 イ OS コマンドインジェクション

------------------------------------------------------------------------

問16

4/29

 WAF (Web Application Firewall) のブラックリスト又はホワイトリストの説明

のうち,適切なものはどれか。

 ア ブラックリストは,脆弱性のあるサイトIPアドレスを登録したものであり,

  該当する通信を遮断する。

 イ ブラックリストは,問題のある通信データパターンを定義したものであり,

  該当する通信を遮断するか又は無害化する。

 ウ ホワイトリストは,暗号化された受信データがどのように復号するかを定義

  したものであり,復号鍵が登録されていないデータを遮断する。

 エ ホワイトリストは,脆弱性のないサイトFQDNを登録したものであり,登録

  がないサイトへの通信を遮断する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問16

 イ ブラックリストは,問題のある通信データパターンを定義したものであり,

  該当する通信を遮断するか又は無害化する。

------------------------------------------------------------------------


問17

4/28

 SSL に対するバージョンロールバック攻撃の説明はどれか。

 ア SSL の実装の脆弱性を用いて,通信経路に介在する攻撃者が,

  弱い暗号化通信方式を強制することによって,暗号化通信の内容を解読して

  情報を得る。

 イ SSL のハンドシェイクプロトコルの終了前で,使用暗号化アルゴリズムの

  変更メッセージを,通信経路に介在する攻撃者が削除することによって,通信者

  が暗号化なしでセッションを開始し,攻撃者がセッションの全通信を盗聴し

  たり改ざんしたりする。

 ウ SSL を実装した環境において,攻撃者が物理デバイスから得られた消費電流

  の情報などを利用して秘密情報を得る。

 エ 保守作業のミスや誤操作のときに回復できるようにバックアップした SSL

  の旧バージョンのライブラリを,攻撃者が外部から破壊する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問17


------------------------------------------------------------------------


問18

5/26

 10 M ビット/秒の LAN で接続された 4 台のノード (A,B,C,D) のうち, 2 組

(AとB,CとD) のノード間でそれぞれ次のファイル転送を行った場合, LAN

利用率はおよそ何 % か。ここで,転送時にはファイルの大きさの 30 % に当たる

各種制御情報が付加されるものとする。また, LAN ではリピータハブが使用さ

れており,更に衝突は考えないものとする。

 ファイルの大きさ:平均 1,000 バイト

 ファイルの転送頻度:平均 60回/秒 (1 組当たり)

 ア 2

 イ 6

 ウ 10

 エ 12

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問18

 エ 12

------------------------------------------------------------------------


問19

4/25

 VoIP において,ユーザエージェント間のセッションの確立,変更,切断を行う

プロコルはどれか。

 ア RTCP

 イ RTP

 ウ SDP

 エ SIP

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問19


------------------------------------------------------------------------


問20

4/24

 インターネット VPN を実現するために用いられる技術であり,ESP (Encapsulating

Security Payload) や AH (Authentication Header) などのプロトコルを含むも

のはどれか。

 ア IPsec

 イ MPLS

 ウ PPP

 エ SSL

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問20


------------------------------------------------------------------------



問21

5/27

 関係モデルにおける外部キーに関する記述のうち,適切なものはどれか。

 ア 外部キーの値は,その関係の中で一意でなければならない。

 イ 外部キーは,それが参照する候補キーと比較可能でなくてもよい。

 ウ 参照先の関係に,参照元の外部キーの値と一致する候補キーが存在しなく

  てもよい。

 エ 一つの関係に外部キーが複数存在してもよい。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問21

 エ 一つの関係に外部キーが複数存在してもよい。

------------------------------------------------------------------------


問22

4/23

 UML 2.0 において,オブジェクト間の相互作用を時間の経過に注目して記述す

るものはどれか。

 ア アクティビティ図

 イ コミュニケーション図

 ウ シーケンス図

 エ ユースケース図

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問22


------------------------------------------------------------------------

問23

4/23

 SOA (Service oriented Architecture) の説明はどれか。

 ア Web サービスを利用するためのインタフェースやプロトコルを規定したも

  のである。

 イ XML を利用して,インターネット上に存在する Web サービスを検索できる

  仕組みである。

 ウ 業務機能を提供するサービスを組み合わせることによって,システム

  構築する考え方である。

 エ サービス提供者と委託者との間でサービスの内容,範囲及び品質に対する

  要求水準を明確にして,あらかじめ合意を得ておくことである。

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問23


------------------------------------------------------------------------

問24 システムの改善に向けて提出された4案について,評価項目を設定して採点した結

  果を,採点結果表に示す。効果及びリスクについては5段階評価とし,それぞれの評

  価項目の重要度に応じて,重み付け表に示すとおりの重み付けを行った上で次の式で

  総合評価点を算出したとき,総合評価点が最も高い改善案はどれか。

〔総合評価点の算出式〕

   総合評価点=効果の総評価点-リスクの総評価点

採点結果表

こレノし

案1

案2

案3

案4


セキュリティ強化

システム運用品質向上

作業コスト削減

スケジュールリスク

技術リスク

重み付け表

評価項目

重み


セキュリティ強化

システム運用品質向上

作業コスト削減

スケジュールリスク

技術リスク

イ 案2

ウ案3

13 -

ア案1

-

エ案4

問25

5/28

 システム監査報告書に記載された改善勧告に対して,被監査部門から提出され

た改善計画を経営者がITガバナンスの観点から評価する際の方針のうち,適切な

ものはどれか。

 ア 1年以内に実現できる改善を実施する。

 イ 経営資源の状況を踏まえて改善を実施する。

 ウ 情報システムの機能面の改善に絞って実施する。

 エ 被監査部門の情報化予算の範囲内で改善を実施する。

キーワード

■解答■

  情報セキュリティスペシャリスト午前2平成26年春問25

 イ 経営資源の状況を踏まえて改善を実施する。

------------------------------------------------------------------------