情報処理安全確保支援士午前2平成29年春

情報処理安全確保支援士午前2平成29年春

  平成29年度 春期

情報処理安全確保支援士試験

    午前|| 問題

  10:50~1 1 :30 (40分)

注意事項

 1. 試験開始及び終了は,監督員の時計が基準です。監督員の指示に従ってください。

  試験時間中は,退室できません。

 2.試験開始の合図があるまで,問題冊子を開いて中を見てはいけません。

 3.答案用紙への受験番号などの記入は,試験開始の合図があってから始めてください。

 4.問題は,次の表に従って解答してください。

             問1~問25

      e’      ”な諮5

 5.答案用紙の記入に当たっては,次の指示に従ってください。

  (1)答案用紙は光学式読取り装置で読み取った上で採点しますので,B又はHBの

   黒鉛筆で答案用紙のマークの記入方法のとおりマークしてください。マークの濃

   度がうすいなど,マークの記入方法のとおり正しくマークされていない場合は,

   読み取れません。特にシャープペンシルを使用する際には,マークの濃度に十分

   ご注意ください。訂正の場合は,あとが残らないように消しゴムできれいに消し,

   消しくずを残さないでください。

  (2)受験番号欄に受験番号を,生年月日欄に受験票の生年月日を記入及びマークし

   てください。答案用紙のマークの記入方法のとおり記入及びマークされていない

   場合は,採点されないことがあります。生年月日欄については,受験票の生年月

   日を訂正した場合でも,訂正前の生年月日を記入及びマークしてください。

  (3)解答は,次の例題にならって,解答欄に一つだけマークしてください。答案用

   紙のマークの記入方法のとおりマークされていない場合は,採点されません。

  〔例題〕 春の情報処理技術者試験が実施される月はどれか。

      ア 2    イ 3    ウ 4    エ 5

       正しい答えぱウ 4”ですから,次のようにマークしてください。

    例題  (署)(廊●廬)



 - -W ㎜ XXXX Ill ダ●- I

柘=・i

   二         ・          ●

-

1-

問I AESの特徴はどれか。

ア 鍵長によって,段数が決まる。

イ 段数は,6段以内の範囲で選択できる。

ウ データ暗号化,復号,暗号化の順に3回繰り返す。

エ 同一の公開鍵を用いて暗号化を3回繰り返す。

問2 ssI√r`Lsのダウングレード攻撃に該当するものはどれか。

ア 暗号化通信中にクライアントPCからサーバに送信するデータを操作して,強

 制的にサーバのディジタル証明書を失効させる。

イ 暗号化通イ言中にサーバからクライアントPCに送信するデータを操作して,ク

 ライアントPCのWebブラウザを古いバージョンのものにする。

ウ 暗号化通信を確立するとき,弱い暗号スイートの使用を強制することによって,

 解読しやすい暗号化通信を行わせる。

エ 暗号化通信を盗聴する攻撃者が,暗号鍵候補を総当たりで試すことによって解

 読する。

問3 サイドチャネル攻撃の説明はどれか。

ア 暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処

 理時間や消費電流など)やエラーメッセージから,攻撃対象の機密情報を得る。

イ 企業などの機密情報を詐取するソーシャルエンジニアリングの手法の一つであ

 り,不用意に捨てられた機密情報の印刷物をオフィスの紙ごみの中から探し出す。

ウ 通信を行う2者間に割り込んで,両者が交換する情報を自分のものとすり替え

 ることによって,気付かれることなく盗聴する。

エ データベースを利用するWebサイトに入力パラメタとしてSQL文の断片を与え

 ることによって,データベースを改ざんする。

問4 PCなどに内蔵されるセキュリティチップ(TPM : ’n・usted Platform Module)がも

  つ機能はどれか。

ア TPM間での共通鍵の交換

ウ ディジタル証明書の発行

イ 鍵ペアの生成

エ ネットワーク経由の乱数送信

問5 セッションIDの固定化(Session Fixation)攻撃の手口はどれか。

ア HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイ

 トにおいて,HTrP通信で送信されるセッションH)を悪意のある者が盗聴する。

イ URLパラメタにセッション江)を格納するWebサイトにおいて,Refererによっ

 てリンク先のWebサイトに送信されるセッションIDが含まれたURLを,悪意の

 ある者が盗用する。

ウ 悪意のある者が正規のWebサイトから取得したセッションIDを,利用者

 Webブラウザに送り込み,利用者がそのセッションH)でログインして,セッショ

 ンがログイン状態に変わった後,利用者になりすます。

エ 推測が容易なセッションH)を生成するWebサイトにおいて,悪意のある者が

 セッションIDを推測し,ログインを試みる。

-

4-

問6 DNS水責め攻撃(ランダムサブドメイン攻撃)の手口と目的に関する記述のうち,

  適切なものはどれか。

ア ISPが管理するDNSキャッシュサーバに対して,送信元を攻撃対象のサーバの

 IPアドレスに詐称してランダムかつ大量に生成したサブドメイン名の問合せを送ダ

 リ,その応答が攻撃対象のサーバに送信されるようにする。

イ オープンリゾルバとなっているDNSキャッシュサーバに対して,攻撃対象のド

 メインのサブドメイン名をランダムかつ大量に生成して問い合わせ,攻撃対象の

 権威DNSサーバを過負荷にさせる。

ウ 攻撃対象のDNSサーバに対して,攻撃者が管理するドメインのサブドメイン

 をランダムかつ大量に生成してキャッシュさせ,正規のDNSリソースレコード

 強制的に上書きする。

エ 攻撃対象のWebサイトに対して,当該ドメインのサブドメイン名をランダムか

 つ大量に生成してアクセスし,非公開のWebページの参照を試みる。

問7 FIPS PUB 140-2 の記述内容はどれか。

ア 暗号モジュールセキュリティ要求事項

イ 情報セキュリティマネジメントシステムに関する認証基準

ウ ディジタル証明書や証明書失効リスト術仕様

工 無線LANセキュリティ術仕様

問8 NISTの定義によるクラウドコンピューティングのサービスモデルにおいて,パブ

  リッククラウドサービスの利用企業のシステム管理者が,仮想サーバのゲストOS

  に対するセキュリティパッチの管理と適用を実施可か実施不可かの組合せのうち,

  適切なものはどれか。

laaS

RlaS

SaaS

実施可

実施可

実施不可

実施可

実施不可

実施不可

実施不可

実施可

実施不可

実施不可

実施不可

実施可

問9 個人情報の漏えいに関するリスク対応のうち,リスク回避に該当するものはどれ

  か。

ア 個人情報の重要性と対策費用を勘案し,あえて対策をとらない。

イ 個人情報の保管場所に外部の者が侵入できないように,入退室をより厳重に管

 理する。

ウ 個人情報を含む情報資産を外部のデータセンタに預託する。

エ 収集済みの個人情報を消去し,新たな収集を禁止する。

           ぜい

問10 JVNなどの脆弱性対策ポータルサイトで採用されているCVE(Common

  Vulnerabilities and Exposures)識別子の説明はどれか。

ア コンピュータで必要なセキュリティ設定項目を識別するための識別子である。

イ 脆弱性が悪用されて改ざんされたWebサイトスクリーンショットを識別する

 ための識別子である。

ウ 製品に含まれる脆弱性を識別するための識別子である。

エ セキュリティ製品を識別するための識別子である。

-

6-

問11 インターネットバンキングの利用時に被害をもたらすMITB(Man-in-the-

  Browser)攻撃に有効な対策はどれか。

ア インターネットバンキングでの送金時にWebブラウザで利用者が入力した情報

 と,金融機関が受信した情報とに差異がないことを検証できるよう,トランザク

 ション署名を利用する。

イ インターネットバンキングでの送金時に接続するWebサイトの正当性を確認で

 きるよう,EV SSL サーバ証明書を採用する。

ウ インターネットバンキングでのログイン認証において,一定時間ごとに自動的

 に新しいパスワードに変更されるワンタイムパスワードを用意する。

エ インターネットバンキング利用時の通信をSSLではなくTLSを利用して暗号

 する。

                 ぜい

問12 Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力

   した文字列がPer1のsystem関数やPHPのexec関数などに渡されることを利用し,

   不正にシェルスクリプトを実行させるものは,どれに分類されるか。

ア HTTPヘッダインジェクション

イ OSコマンドインジェクション

ウ クロスサイトリクエストフオージェリ

エ セッションハイジャック

問13 ウイルス対策ソフトでの,フォールスネガティブに該当するものはどれか。

ウイルスに感染していないファイルを,ウイルスに感染していないと判断する。

ウイルスに感染していないファイルを,ウイルスに感染していると判断する。

ウイルスに感染しているファイルを,ウイルスに感染していないと判断する。

ウイルスに感染しているファイルを,ウイルスに感染していると判断する。

-

7-

問14 特定の利用者が所有するリソースが,WebサービスA上にある。OAuth 2.0におい

  て,その利用者の認可の下,WebサービスBからそのリソースヘの限定されたアク

  セスを可能にするときのプロトコルの動作はどれか。

WebサービスAが,アクセストークンを発行する。

WebサービスAが,利用者のディジタル証明書をWebサービスBに送信する。

WebサービスBが,アクセストークンを発行する。

WebサービスBが,利用者のディジタル証明書をWebサービスAに送信する。

問15 インターネットサービスプロバイダ(ISP)が,0P25Bを導入する目的はどれか。

ア ISP管理外のネットワークに対するISP管理下のネットワークからのICMPパ

 ケットによるDDOS攻撃を遮断する。

イ ISP管理外のネットワークに向けてISP管理下のネットワークから送信される

 スパムメールを制限する。

ウ ISP管理下のネットワークに対するISP管理外のネットワークからのICMPパ

 ケットによるDDOS攻撃を遮断する。

エ ISP管理下のネットワークに向けてISP管理外のネットワークから送信される

 スパムメールを制限する。

-

8-

問16 サンドボックスの仕組みに関する記述のうち,適切なものはどれか。

ア Webアプリケーションの脆弱性を悪用する攻撃に含まれる可能性が高い文字列

 を定義し,攻撃であると判定した場合には,その通信を遮断する。

イ グラウト上で動作する複数の仮想マシン(ゲストOS)間で,お互いの操作がで

 きるように制御する。

ウ プログラムの影響がシステム全体に及ばないように,プログラムが実行できる

 機能やアクセスできるリソースを制限して動作させる。

エ プログラムソースコードでSQL文の駐形の中に変数の場所を示す記号を置い

 た後,実際の値を割り当てる。

問17 利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無

  線LAN環境を実現したい。PCが無線LAN環境に接続するときの利用者認証とアク

  セス制御に,IEEE 802.1XとRADIUSを利用する場合の標準的な方法はどれか。

ア PCにはIEEE 802.1Xのサプリカントを実装し,かつ,RADIUSクライアントの

 機能をもたせる。

イ アクセスポイントにはIEEE 802.1Xのオーセンティケータを実装し,かつ,

 RADIUSクライアントの機能をもたせる。

ウ アクセスポイントにはIEEE 802.1Xのサプリカントを実装し,かつ,RADIUS

 サーバの機能をもたせる。

エ サーバにはIEEE 802.1Xのオーセンティヶ一夕を実装し,かつ,RADIUSサー

 バの機能をもたせる。

問18 1CMP FlOOd 攻撃に該当するものはどれか。

ア HTTP GET コマンドを繰り返し送ることによって,攻撃対象のサーバにコンテ

 ンツ送信の負荷を掛ける。

イ pingコマンドを用いて大量の要求パケットを発信することによって,攻撃対象

 のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

ウ コネクション開始要求に当たるSYNパケットを大量に送ることによって,攻撃

 対象のサーバに,接続要求ごとに応答を返すための過大な負荷を掛ける。

エ 大量のTCPコネクションを確立することによって,攻撃対象のサーバに接続を

 維持させ続けてリソースを枯渇させる。

問19 PCやスイッチングハブがもつイーサネットインタフェース(物理ポート)の,

  Automatic MDIZMDI-X の機能はどれか。

ア コネクタの送信端子と受信端子が正しい組合せとなるように,自動で判別して

 切り替える機能

イ 接続した機器のアドレスを学習し,イーサネットフレームを該当するインタフ

 エースにだけ転送する機能

ウ 通イ言経路のループを自動的に検出する機能

工 通信速度や,全二重と半二重のデータ通信モードを自動的設定する機能

問20 1EEE 802.11a/b/g/nで採用されているアクセス制御方式はどれか。

CSMA/CA

LAPB

-

10

CSMAyCD

トークンバッシング方式

問21 次のSQL文をA表の所有者が発行した場合を説明したものはどれか,

GRANT ALL PRIVILEGES ON A TO B WITH GRANT OPTION

ア 利用者Bに対して,A表に関するSELECT権限,UPDATE権限,INSERT権限,

 DELETE権限などの全ての権限,及びそれらの付与権を付与する。

イ 利用者Bに対して,A表に関するSELECT権限,UPDATE権限,INSERT権限,

 DELETE権限などの全ての権限を付与するが,それらの付与権は付与しない。

ウ 利用者Bに対して,A表に関するSELECT権限,UPDATE権限,INSERT権限,

 DELETE権限は付与しないが,それらの全ての付与権だけを付与する。

エ 利用者Bに対して,A表に関するSELECT権限,及びSELECT権限の付与権を

 付与するが,UPDATE権限,INSERT権限,DELETE権限,及びそれらの付与権

 は付与しない。

問22 システム及びソフトウェア品質モデルの規格であるJlS X 25010:2013 で定義された

  システム及び/又はソフトウェア製品の品質特性に関する説明のうち,適切なもの

  はどれか。

ア 機能適合性とは,明示された状況下で使用するとき,明示的ニーズ及び暗黙の

 ニーズを満足させる機能を,製品又はシステムが提供する度合いのことである。

イ 信頼性とは,明記された状態(条件)で使用する資源の量に関係する性能の度

 合いのことである。

ウ 性能効率性とは,明示された利用状況において,有効性,効率性及び満足性を

 もって明示された目標を達成するために,明示された利用者が製品又はシステム

 を利用することができる度合いのことである。

エ 保守性とは,明示された時間帯で,明示された条件下に,システム,製品又は

 構成要素が明示された機能を実行する度合いのことである。

11

問23 コンテンツの不正な複製を防止する方式の一つであるDTCP-IPの説明として,適

  切なものはどれか。

ア BSデジタル放送や地上デジタル放送に採用され,コピーワンスの番組を録画す

 るときに使われる方式

イ DLNAとともに用いられ,接続する機器間で相互認証し,コンテンツ保護が行

 えると認識して初めて録画再生を可能にする方式

ウ DVDに採用され,映像コンテンツを暗号化して,複製できないエリアにその暗

 号化鍵を記録する方式

エ HDMI端子が搭載されたディジタルAV機器に採用され,HDMI端子から表示機

 器にディジタル信号を送るときに受信する経路を暗号化する方式

問24 データの追加・変更・削除が,少ないながらも一定の頻度で行われるデータベー

  スがある。このデータベースのフルバックアップを磁気テープに取得する時間間隔

  を今までの2倍にした。このとき,データベースのバックアップ又は復旧に関する

  記述のうち,適切なものはどれか。

ア フルバックアップ1回当たりの磁気テープ使用量が約2倍になる。

イ フルバックアップ1回当たりの磁気テープ使用量が約半分になる。

ウ フルバックアップ取得の平均処理時間が約2倍になる。

エ ログ情報を用いて復旧するときの平均処理時間が約2イ音になる。

-

12 -

問25 ある企業が,自社が提供するWebサービスの信頼性について,外部監査人による

  保証を受ける場合において,次の表のA~Dのうち,“ITに係る保証業務の三当事

  者”のそれぞれに該当する者の適切な組合せはどれか。

ITに係る保証業務の三当事者

保証業務の実施者

Webサービスの信頼性に

   責任を負う者

保証報告書の想定利用者

Webサービス利用者

外部監査人

当該企業の経営者

外部監査人

Webサービス利用者

当該企業の経営者

外部監査人

当該企業の経営者

Webサービス利用者

当該企業の経営者

外部監査人

Webサービス利用者

ア A

イ B

ウ C

-

13 -

工 D

〔 メ モ 用 紙 〕

-14 -

〔 メ モ 用 紙 〕

15 -

6。問題に関する質問にはお答えできません。文意どおり解釈してください。

7.問題冊子の余白などは,適宜利用して構いません。ただし,問題冊子を切り離し

 て利用することはできません。

8.試験時間中,机上に置けるものは,次のものに限ります。

  なお,会場での貸出しは行っていません。

  受験票,黒鉛筆及びシャープペンシル(B又はHB),鉛筆削り,消しゴム,定規,

 時計(時計型ウェアラブル端末は除く。アラームなど時計以外の機能は使用不可),

 ハンカチ,ポケットティッシュ,目薬

  これら以外は机上に置けません。使用もできません。

9.試験終了後,この問題冊子は持ち帰ることができます。

10.答案用紙は,いかなる場合でも提出してください。回収時に提出しない場合は,

 採点されません。

11.試験時間中にトイレへ行きたくなったり,気分が悪くなったりした場合は,手を

 挙げて監督員に合図してください。

12.午後Iの試験開始は12:39ですので,12:19までに着席してください。

試験問題に記載されている会社名又は製品名は,それぞれ各社又は各組織の商標又は登録商標です。

なお,試験問題では,Tg及び⑩を明記していません。

-

16 -

02017 独立行政法人情報処理推進機構

jj