カテゴリ: 7.セキュリティ

f:id:mamori_yuto:20181027120215j:plain 

SSHの過去問を解いてみましょう。

 


 

1.H28春AP午前問43

SSHを問う問題

問43 暗号化や認証機能をもち,遠隔にあるコンピュータに安全にログインするためのプロトコルはどれか。

ア IPsec  イ L2TP  ウ RADIUS  エ SSH

以下に解説しています。
 http://sc.seeeko.com/archives/4569666.html
正解は、エです。

 

2.H26春AP午前問44

問44 SSHの説明はどれか。

ア MIMEを拡張した電子メールの暗号化とディジタル署名に関する標準
イ オンラインショッピングで安全にクレジット決済を行うための仕様
ウ 対称暗号技術と非対称暗号技術を併用した電子メールの暗号化,復号の機能をもつ電子メールソフト
エ リモートログインやリモートファイルコピーのセキュリティを強化したツール及びプロトコル


正解は、エです。

問39 JIS Q 27000で定義された情報セキュリティの特性に関する記述のうち,否認防止の特性に該当するものはどれか。
ア ある利用者がシステムを利用したという事実を証明可能にする。
イ 意図する行動と結果が一貫性をもつ。
ウ 認可されたエンテイテイが要求したときにアクセスが可能である。
エ 認可された個人,エンテイテイ又はプロセスに対してだけ,情報を使用させる又は開示する。
【正解】ア
以下も参照してください。
http://sc.seeeko.com/archives/4064066.html

■H25春AP
問36 HTTPS通信において,暗号化とサーバ認証に使用されるものはどれか。
ア Cookie     イ S/MIME
ウ SSL/TLS     エ ダイジェスト認証
【正解】ウ

問37 暗号アルゴリズムの危鎔化を説明したものはどれか。
ア 外国の輸出規制によって,十分な強度をもつ暗号アルゴリズムを実装した製品が
 利用できなくなること
イ 鍵の不適切な管理によって,鍵が漏えいする危険性が増すこと
ウ 計算能力の向上などによって,鍵の推定が可能になり,暗号の安全性が低下する
 こと
エ 最高性能のコンピュータを用い,膨大な時間とコストを掛けて暗号強度をより確
 実なものにすること
【正解】ウ

問39 公開鍵暗号を使って夕1人が相互に通信する場合,全体で何個の異なる鍵が必要にな
  るか。ここで,一組の公開鍵と秘密鍵は2個と数える。
7-2 H25h_39
【正解】イ

問40 ソーシャルエンジニアリング手法を利用した標的型攻撃メールの特徴はどれか。
ア 件名に“未承諾広告※”と記述されている。
イ 件名や本文に,受信者の業務に関係がありそうな内容が記述されている。
ウ 支払う必要がない料金を振り込ませるために,債権回収会社などを装い無差別に
 送信される。
エ 偽のホームページにアクセスさせるために,金融機関などを装い無差別に送信さ
 れる。
【正解】イ

問41 ネットワーク障害の原因を調べるために,ミラーポートを用意して, LANアナライザを使用するときに留意することはどれか。
ア LANアナライザがパケットを破棄してしまうので,測定中は測定対象外のコンビ
 ュータの利用を制限しておく必要がある。
イ LANアナライザはネットワークを通過するパケットを表示できるので,盗聴など
 に悪用されないように注意する必要がある。
ウ 障害発生に備えて,ネットワーク利用者に対してLANアナライザの保管場所と使
 用方法を周知しておく必要がある。
エ 測定に当たって, LANケーブルを一時的に切断する必要があるので,ネットワーク利用者に対して測定日を事前に知らせておく必要がある。
【正解】イ

問42 パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて,本来必要なサービスに影響を及ぼすことなく防げるものはどれか。
ア 外部に公開しないサービスへのアクセス
イ サーバで動作するソフトウェアの脆弱性を突く攻撃
ウ 電子メールに添付されたファイルに含まれるマクロウイルスの侵入
エ 電子メール爆弾などのDOS攻撃
【正解】ア

問43 毎回参加者が変わる100名程度の公開セミナにおいて,参加者が持参する端末に対
  して無線LAN接続環境を提供する。参加者の端末以外からのアクセスポイントへの接
  続を防止するために効果があるセキュリティ対策はどれか。
ア アクセスポイントがもつDHCPサーバ機能において,参加者の端末に対して動的
 に割り当てるIPアドレスの範囲をセミナごとに変更する。
イ アクセスポイントがもつURLフィルタリング機能において,参加者の端末に対す
 る条件をセミナごとに変更する。
ウ アクセスポイントがもつ暗号化機能において,参加者の端末とアクセスポイント
 との間で事前に共有する鍵をセミナごとに変更する。
エ アクセスポイントがもつプライバシセパレータ機能において,参加者の端末への
 アクセス制限をセミナごとに変更する。
【正解】ウ
 
問44 サンドボックスの仕組みについて述べたものはどれか。
ア Webアプリケーションの脆弱性を悪用する攻撃に含まれる可能性が高い文字列を
 定義し,攻撃であると判定した場合には,その通信を遮断する。
イ 侵入者をおびき寄せるために本物そっくりのシステムを設置し,侵入者の挙動な
 どを監視する。
ウ プログラムの影響がシステム全体に及ぶことを防止するために,プログラムが実
 行できる機能やアクセスできるリソースを制限して動作させる。
エ プログラムのソースコードSQL文の莚形の中に変数の場所を示す記号を置いた後,実際の値を割り当てる。
【正解】ウ

■H24秋AP
(H23特別 問38と同じ)
問33 SSLによるクライアントとWebサーバ間の通信手順(1)~(5)において,  a,  bに入る適切な語句の組合せはどれか。ここで,記述した手順は,一部簡略化している。
(1)クライアントからのSSLによる接続要求に対し, Webサーバはサーバ証明書をクライアントに送付する。
(2)クライアントは,保持している[二二E二二]を用いてこのサーバ証明書の正当性
を確認する。
(3)クライアントは,共通鍵生成用のデータを作成し,サーバ証明書に添付された
「 ̄ ̄7 ̄ ̄1を用いてこの共通鍵生成用データを暗号化し,  Webサーバに送付する。
(4)暗号化された共通鍵生成用データを受け取ったWebサーバは,自らの秘密鍵を用いてこれを復号する。
(5)クライアントとWebサーバの両者は,同一の共通鍵生成用データによって共通鍵を作成し,これ以降の両者間の通信は,この共通鍵による暗号化通信を行う。
7-2 H24a_33
【正解】ウ

問34 W3Cで仕様が定義され,矩形や円,直線,文字列などの図形オブジェクトをXML形式で記述し, Webページでの図形描画にも使うことができる画像フォーマットはどれか。
ア OpenGL
イ PNG
ウ SVG
エ TIFF
【正解】ウ

問35 ルータ,  PBX,  VoIPゲートウェイ, VoIPゲートキーパを図の①~④に配置して内線用のアナログ電話機とIP電話機を混在させる場合, VoIPゲートウェイを配置する場所はどこか。
7-2 H24a_35
ア ①
イ ②
ウ ③
エ ④
【正解】イ

問36 シングルサインオンの説明のうち,適切なものはどれか。
ア クッキーを使ったシングルサインオンの場合,サーバごとの認証情報を含んだクッキーをクライアントで生成し,各サーバ上で保存,管理する。
イ クッキーを使ったシングルサインオンの場合,認証対象のサーバを,異なるインターネットドメインに配置する必要がある。
ウ リバースプロキシを使ったシングルサインオンの場合,認証対象のWebサーバを,異なるインターネットドメインに配置する必要がある。
エ リバースプロキシを使ったシングルサインオンの場合,利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。
【正解】エ

問37 パスワードに使用できる文字の種類の数をM,パスワードの文字数をnとするとき,設定できるパスワードの理論的な総数を求める数式はどれか。
7-2 H24a_37
【正解】ア

問38 手順に示すハッジュ関数とメッセージダイジェストの処理を行うことで得られるセキュリテイ上の効果はどれか。ここで,メッセージダイジェストは安全な方法で保護され,改ざんや破壊がされていないものとする。
〔手順〕
(1)送信者Aは,電子メールの本文からハッジュ関数を用いて,メッセージダイジェストを作成する。電子メールの本文とメッセージダイジェストを別々に受信者Bに送信する。
(2)受信者Bは受信した電子メールの本文からハッジュ関数を用いて,メッセージダイジェストを作成する。その作成したメッセージダイジェストと,受信したメッセージダイジェストを比較する。
ア 電子メールの改ざんの有無の確認     イ 電子メールの誤送信の防止
ウ 電子メールの送達確認     エ 電子メールの盗聴の防止
【正解】ア

問39 暗号方式に関する記述のうち,適切なものはどれか。
ア AESは公開鍵暗号方式RSA共通鍵暗号方式の一種である。
イ 共通鍵暗号方式では,暗号化及び復号に使用する鍵が同一である。
ウ 公開鍵暗号方式を通信内容の秘匿に使用する場合は,暗号化に使用する鍵を秘密にして,復号に使用する鍵を公開する。
エ ディジタル署名公開鍵暗号方式が使用されることはなく,共通鍵暗号方式が使用される。<
【正解】イ

問42 ウイルス検知手法の一つであるビヘイビア法を説明したものはどれか。
ア ウイルスの特徴的なコード列が検査対象プログラム内に存在するかどうかを調べて,もし存在していればウイルスとして検知する。
イ 各ファイルに,チェックサム値などウイルスではないことを保証する情報を付加しておき,もし保証する情報が検査対象ファイルに付加されていないか無効ならば,ウイルスとして検知する。
ウ 検査対象ファイルのハッジュ値と,安全な場所に保管してあるその対象の原本のハッジュ値を比較して,もし異なっていればウイルスとして検知する。
エ 検査対象プログラムを動作させてその挙動を監視し,もしウイルスによく見られる行動を起こせばウイルスとして検知する。
【正解】エ

問43 自社の中継用メールサーバで,接続元IPアドレス,電子メールの送信者のドメイン名及び電子メールの受信者のドメイン名のログを取得するとき,外部ネットワークからの第三者中継と判断できるログはどれか。ここで,  AAA.168.1.5とAAA.168.1.10は自社のグローバルIPアドレスとし,  BBB.45.67.89とBBB.45.67.90は社外のクローバルIPアドレスとする。a.b.cは自社のドメイン名とし, a.b.dとa.b.eは他社のドメイン名とする。また, IPアドレスドメイン名は詐称されていないものとする。
7-2 H24a_43
【正解】ウ

■H24春AP
問37 WAFの説明として,適切なものはどれか。
ア DMZに設置されているWebサーバヘ外部から実際に侵入を試みる。
イ WebサーバのCPU負荷を軽減するために,  SSLによる暗号化と復号の処理をWebサーバではなく専用のハードウェア上で行う。
ウ システム管理者が質問に答える形式で,自組織の情報セキュリティ対策のレベルを診断する。
エ 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して,不正な操作を遮断する。
【正解】エ

問38 ディジタル署名などに用いるハッジュ関数の特徴はどれか。
ア 同じメッセージダイジェストを出力する異なる二つのメッセージが,容易に求められる。
イ メッセージが異なっていても,メッセージダイジェストは同じである。
ウ メッセージダイジェストからメッセージを復元することは困難である。
エ メッセージダイジェストの長さはメッセージの長さによって異なる。
【正解】ウ

問39 手順に示すクライアントとサーバの処理と通信で可能になることはどれか。
〔手順〕
(1)サーバはクライアントから要求があるたびに異なる予測困難な値(チャレンジ)を生成して保持するとともに,クライアントへ送る。
(2)クライアントは利用者が入力したパスワードのメッセージダイジェストを計算し,(1)でサーバから送られだチャレンジ"と合わせたものから,さらに,メッセージダイジェスト(レスポンス)を計算する。この“レスポンスと利用者が入力した利用者IDをサーバに送る。
(3)サーバは,クライアントから受け取った利用者IDで利用者情報を検索して,取り出したパスワードのメッセージダイジェストと(1)で保持していだチャレンジ"を合わせたものから,メッセージダイジェストを計算する(レスポンス照合データ)。この“レスポンス照合データ'とクライアントから受け取っだレスポンズとを比較する。
ア 伝送上で発生したパスワードのビット誤りのサーバでの訂正
イ 伝送上で発生した利用者IDのビット誤りのサーバでの訂正
ウ ネットワーク上でのパスワードの,漏えい防止とリプレイ攻撃の防御
エ ネットワーク上での利用者IDの,漏えい防止とリプレイ攻撃の防御
【正解】ウ

問40 ディジタル署名における署名鍵の用い方と,ディジタル署名を行う目的のうち,適切なものはどれか。
ア 受信者が署名鍵を使って,暗号文を元のメッセージに戻すことができるようにする。
イ 送信者が固定文字列を付加したメッセージを,署名鍵を使って暗号化することによって,受信者がメッセージの改ざん部位を特定できるようにする。
ウ 送信者が署名鍵を使って署名を作成し,それをメッセージに付加することによって,受信者が送信者を確認できるようにする。
エ 送信者が署名鍵を使ってメッセージを暗号化することによって,メッセージの内容を関係者以外に分からないようにする。
【正解】ウ

問41 サイト運営者に不特定の利用者が電子メールで機密データを送信するに当たって,機密性を確保できる仕組みのうち,適切なものはどれか。
ア サイト運営者はサイト内のSSLで保護されたWebページに共通鍵を公開し,利用者は電子メールで送信するデータをその共通鍵で暗号化する。
イ サイト運営者はサイト内のSSLで保護されたWebページにサイト運営者の公開鍵を公開し,利用者は電子メールで送信するデータをその公開鍵で暗号化する。
ウ サイト運営者はサイト内のSSLで保護されたWebページに利用者の公開鍵を公開し,利用者は電子メールで送信するデータをその公開鍵に対応する秘密鍵で暗号化する。
エ サイト運営者はサイト内の認証局で利用者の公開鍵を公開し,利用者は電子メールで送信するデータをその公開鍵に対応する秘密鍵で暗号化する。
【正解】イ

問44 ステガノグラフィを説明したものはどれか。
ア データをコピーできないようにする技術のことをいう。
イ データを第三者に盗み見られても解読できないようにするために,決まった規則に従ってデータを変換することをいう。
ウ 文書の正当性を保証するために付けられる暗号化された署名情報のことをいう。
エ メッセージを画像データや音声データなどに埋め込み,メッセージの存在を隠す技術のことをいう。
【正解】エ

■H23秋
問38 ディジタル署名を生成するときに,発信者がメッセージのハッジュ値をディジタル署名に変換するのに使う鍵はどれか。
ア 受信者の公開鍵     イ 受信者の秘密鍵
ウ 発信者の公開鍵     エ 発信者の秘密鍵
【正解】エ

問39 フィッシング(phishing)による被害はどれか。
ア インターネットからソフトウェアをダウンロードしてインストールしたところ,設定したはずのない広告がデスクトップ上に表示されるようになった。
イ インターネット上の多数のコンピュータから,公開しているサーバに一斉にパケットが送り込まれたので,当該サーバが一時使用不能になった。
ウ 知人から送信されてきた電子メールに添付されていたファイルを実行したところ,ハードディスク上にあった全てのファイルを消失してしまった。
エ “本人情報の再確認が必要なので入力してください"という電子メールで示されたURLにアクセスし,個人情報を入力したところ,詐取された。
【正解】エ

問40 クライアントとWebサーバの間において,クライアントがWebサーバに送信するデータを検査して,  SQLインジェクションなどの攻撃を遮断するためのものはどれか。
ア SSL-VPN機能     イ WAF
ウ クラスタ構成     エ ロードバランシング機能
【正解】イ

問41 パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて,本来必要なサービスに影響を及ぼすことなく防げるものはどれか。
ア 外部に公開していないサービスへのアクセス
イ サーバで動作するソフトウェアのセキュリティの脆弱性を突く攻撃
ウ 電子メールに添付されたファイルに含まれるマクロウイルスの侵入
エ 電子メール爆弾などのDOS攻撃
【正解】ア

問42 ブルートフォース攻撃に該当するものはどれか。
ア 可能性のある文字のあらゆる組合せのパスワードでログインを試みる。
イ コンピュータへのキー入力を全て記録して外部に送信する。
ウ 盗聴者が正当な利用者のログインシーケンスをそのまま記録してサーバに送信する。
エ 認証が終了してセッションを開始している,ブラウザとWebサーバの間の通信で,Cookieなどのセッション|吉報を盗む。
【正解】ア

■H23特別
問39 TCP/IPの環境で使用されるプロトコルのうち,構成機器や障害時の情報収集を行うために使用されるネットワーク管理プロトコルはどれか。
ア NNTP     イ NTP     ウ SMTP     エ SNMP
【正解】エ

問40 http:;//host.example.co.jp:8080/fileで示されるURLの説明として,適切なものはどれか。
ア :8080はプロキシサーバ経由で接続することを示している。
イ fileはHTMLで作成されたWebページであることを示している。
ウ hostexa万mple.co.jpは参照先のサーバが日本国内にあることを示している。
エ http:はプロトコルとしてHTTPを使用して参照することを示している。
【正解】エ

脅威系
■H25春AP
問38 暗号解読のための攻撃法のうち,ブルートフォース攻撃はどれか。
ア 与えられた一組の平文と暗号文に対し,総当たりで鍵を割り出す。
イ 暗号化関数の統計的な偏りを線形関数によって近似して解読する。
ウ 暗号化装置の動作を電磁波から解析することによって解読する。
エ 異なる二つの平文とそれぞれの暗号文の差分を観測して鍵を割り出す。

■H24秋AP
問40 完全性を脅かす攻撃はどれか。
ア Webページの改ざん
イ システム内に保管されているデータの持出しを目的とした不正コピー
ウ システムを過負荷状態にするDoS攻撃
エ 通信内容の盗聴

問41 安全なWebアプリケーションの作り方について,攻撃と対策の適切な組合せはどれか。
 攻撃 対策
ア SQLインジェクション SQL文の組立てに静的プレースホルダを使用する。
イ クロスサイトスクリプティング 任意の外部サイトのスタイルシートを取り込めるようにする。
ウ クロスサイトリクエストフォージェリ リクエストにGETメソッドを使用する。
エ セッションハイジャック 利用者ごとに固定のセッションIDを使用する。

■H24春AP
問42 Jis Q 27001では,情報セキュリティは三つの特性を維持するものとして特徴付けられている。それらのうちの二つは機密性と完全性である。残りの一つはどれか。
ア 安全性  イ 可用性  ウ 効率性  工 保守性

■H24春AP
問43 Webアプリケーションにおける脅威とそのセキュリティ対策の適切な組合せはどれか。
ア OSコマンドインジェクションを防ぐために, Webアプリケーションが発行するセッションIDを推測困難なものにする。
SQLインジェクションを防ぐために, Webアプリケーション内でデータベースへの問合せを作成する際にパイント機構を使用する。
ウ クロスサイトスクリプディングを防ぐために,外部から渡す入力データをWebサーバ内のファイル名として直接指定しない。
セッションハイジャックを防ぐために, Webアプリケーションからシェルを起動できないようにする。

■H23春
問41 DNSキャツシュポイズニングに分類される攻撃内容はどれか。
DNSサーバのソフトウェアのバージョン情報を入手して. DNSサーバのセキュリテイホールを特定する。
イ PCが参照するDNSサーバに誤ったドメイン管理情報を注入して,偽装されたWebサーバにPCの利用者を誘導する。
ウ 攻撃対象のサービスを妨害するために,攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。
工 内部情報を入手するために, DNSサーバが保存するゾーン情報をまとめて転送させる。

問42 緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は,どれに分類されるか。
ソーシャルエンジニアリング ウ パスワードクラック
トロイの木馬 エ 踏み台攻撃

問43 あるコンピュータセンタでは,インシデントを六つのタイプに分類した。
Scan :  プローブ,スキャン,そのほかの不審なアクセス
Abuse : サーバプログラムの機能を悪用した不正中継
Forged: 送信ヘッダを詐称した電子メールの配送
Intrusion : システムへの侵入
DoS :  サービス運用妨害につながる攻撃
Other :  その他
このとき,次の三つのインシデントに対するタイプの組合せのうち,適切なものはどれか。
インシデント1:ワームの攻撃が試みられた形跡があるが,侵入されていない。インシデント2:ネットワークの樋鞍による妨害を受けた。
インシデント3 : DoS 用の踏み台プログラムがシステムに設置されていた。
 インシデント1 インシデント2 インシデント3
ア Abuse DoS Intrusion  イ Abuse Forged DoS
ウ Scan DoS Intrusion  工 Scan Forged DoS

問44 ゼロデイ攻撃の特徴はどれか。
ア セキュリティパッチが提供される前に攻撃する。
イ 特定のサイトに対し,日時を決めて,複数台のPCから同時に攻撃する。
ウ 特定のターゲットに対し,フィッシングメールを送信して不正サイトへ誘導する。工 不正中継が可能なメールサーバを見つけた後,それを踏み台にチェーンメールを大量に送信する。

1.暗号方式
共通鍵暗号方式
 代表例はAES(Advanced Encryption Standard)

公開鍵暗号方式
 代表例はRSA(Rivest,Shamir,Adleman)

ハッシュ関数
 代表例はSHA-256
 
これらの3つは、以下に整理しています。
http://sc.seeeko.com/archives/912353.html

また、共通鍵暗号方式と、公開鍵暗号方式の鍵の数に関しては、何度か問われているので理解しておきましょう。
http://sc.seeeko.com/archives/3825114.html

2.メールの暗号化
S/MIME(Secure MIME
PGP(Pretty Good Privacy)

詳しくは以下を参照ください。
http://sc.seeeko.com/archives/cat_125516.html

3.その他
暗号に関して、覚えておきたいキーワードは以下です。
①ハイブリッド暗号
http://sc.seeeko.com/archives/3947989.html

②危殆化
http://sc.seeeko.com/archives/838421.html

----------
部屋から出るときの認証は必要?
----------

入退室管理が厳格になっている会社は多いと思います。そこで、入室時には、多くの場合はICカードをかざして入室します。よりセキュリティが高い会社は生体認証をしていることでしょう。

そんな中、企業によっては、部屋を出るときにも認証が求められるところがあります。アンチパスバックというようです。

私は、この仕組みが大嫌いです。
特に,入室記録が無いと出られない場合が厄介です。
そう。たとえば、誰かと一緒に昼ご飯に行ったきに、会話をしながらだと、ICカードをかざさずに出てしまうことがあります。すると、次に入ろうと思っても,「出場記録がありません」ということで、入室できないのです。
出るときの認証は本当に必要なのだろうか?と思ってしまいます。

それに、カードを紛失したり処理ミスしただけで、部屋から出られなくなるのは怖いものです。火事の時にも部屋から出られないというのは恐怖でしかありません。ですから、本当に緊急時に備え、鍵が壊せるようになっています。ということは、泥棒も壊せるということです。ますます意味が無いような気がしてきました。

さて、認証に関しては、たくさんの内容があります。整理ながら考えましょう。

1.何を認証するか
①利用者認証
②タイムスタンプ(時刻認証)
③メッセージ認証
http://sc.seeeko.com/archives/4564657.html

2.利用者認証
①知識認証
利用者ID とパスワード
http://sc.seeeko.com/archives/cat_125398.html

②所有物認証
IC カード,ワンタイムパスワード
http://sc.seeeko.com/archives/cat_125399.html

③生体認証技術
静脈パターン認証,虹彩認証,声紋認証,顔認証,網膜認証などがあります。
http://sc.seeeko.com/archives/cat_125400.html

また、本人拒否率,他人受入率についても理解しておきましょう。
http://sc.seeeko.com/archives/3825411.html

3.公開鍵基盤(PKI:Public Key Infrastructure)
PKIとは
http://sc.seeeko.com/archives/cat_125390.html

ディジタル署名
http://sc.seeeko.com/archives/cat_125392.html

電子証明書
ディジタル証明書(公開鍵証明書),ルート証明書サーバ証明書,クライアント証明書,CRL(Certificate Revocation List:証明書失効リスト)などのキーワードを理解しましょう。
http://sc.seeeko.com/archives/cat_125391.html

4.その他の認証技術
シングルサインオン
http://sc.seeeko.com/archives/cat_125644.html

CAPTCHA
http://sc.seeeko.com/archives/4844217.html

MAC
http://sc.seeeko.com/archives/4564680.html

④チャレンジレスポンス認証
http://sc.seeeko.com/archives/912429.html

H28春AP午前

問37 暗号方式のうち,共通鍵暗号方式はどれか。

ア AES
イ ElGamal暗号  
ウ RSA
エ 楕円曲線暗号

正解は、アです。

H27秋AP午前
タイムスタンプ認証
問37 手順に示す処理を行ったとき,検証できることはどれか。

〔手順〕
(1)送信者Aはファイルのハッシュ値を計算して,信頼できる第三者機関に送信する。
(2)第三者機関は,信頼できる日時を保持しており,受信したハッシュ値とその受信日時を結合し(結合データ),そのディジタル署名を生成し,ディジタル署名と結合データの組(ディジタル署名済みの結合データ)を送信者Aに返信する。
(3)送信者Aはファイルと第三者機関から送られてきたディジタル署名済みの結合データを受信者Bに送信する。
(4)受信者Bは第三者機関のディジタル署名を確認し,ファイルから計算したハッシュ値と,ディジタル署名済みの結合データから取り出されたハッシュ値を照合する。そして,結合データから取り出された日時を確認する。

ア 当該日時に受信者Bにファイルが到達したこと
イ 当該日時に送信者Aが受信者Bにファイルを送信したこと
ウ 当該日時にファイルが作成されたこと
エ 当該日時にファイルが存在し,それ以降改ざんされていないこと

正解は、エです。

問39 無線LAN環境におけるWPA2-PSKの機能はどれか。

ア アクセスポイントに設定されているSSIDを共通鍵とし,通信を暗号化する。
イ アクセスポイントに設定されているのと同じSSIDとパスワード(Pre-Shared Key)が設定されている端末だけを接続させる。
ウ アクセスポイントは,IEEE 802.11acに準拠している端末だけに接続を許可する。
エ アクセスポイントは,利用者ごとに付与されたSSIDを確認し,無線LANへのアクセス権限を識別する。

正解は、イです。

問40 公開鍵暗号方式の暗号アルゴリズムはどれか。

ア AES
イ KCipher-2
ウ RSA
エ SHA-256

正解は、ウです。

H27春AP午前(H24秋AP午前 問37と同じ)

問38 パスワードに使用できる文字の種類の数をM,パスワードの文字数をnとするとき,設定できるパスワードの理論的な総数を求める数式はどれか。170829_1

正解は、アです。

問44 SPF(Sender Policy Framework)を利用する目的はどれか。

ア HTTP通信の経路上での中間者攻撃を検知する。
イ LANへのPCの不正接続を検知する。
ウ 内部ネットワークへの不正侵入を検知する。
エ メール送信のなりすましを検知する。

正解は、エです。

問45 利用者PCがポットに感染しているかどうかをhostsファイルの改ざんの有無で確認するとき,hostsファイルが改ざんされていないと判断できる設定内容はどれか。ここで,hostsファイルには設定内容が1行だけ書かれており,利用者及びシステム管理者は,これまでにhostsファイルを変更していないものとする。

設定内容
説 明
127.0.0.1 a.b.coma.b.comは利用者PCのOS提供元のFQDNを示す。
127.0.0.1 c.d.comc.d.comは利用者PCの製造元のFQDNを示す。
127.0.0.1 e.f.come.f.comはウイルス定義ファイルの提供元のFQDNを示す。
127.0.0.1 localhostlocalhostは利用者PC自身を示す。


正解は、エです。

H26秋AP午前

問41 無線LANを利用するとき,セキュリティ方式としてWPA2を選択することで利用される暗号化アルゴリズムはどれか。

ア AES
イ ECC
ウ RC4
エ RSA

正解は、アです。

問45 電子メールに用いられるS/MIMEの機能はどれか。

ア ウイルスの検出
イ 改ざんされた内容の復元
ウ スパムメールのフィルタリング
エ 内容の暗号化とディジタル署名の付与

正解は、エです。

H26春AP午前

問36 人間には読み取ることが可能でも,プログラムでは読み取ることが難しいという差異を利用して,ゆがめたり一部を隠したりした画像から文字を判読させ入力させることで,人間以外による自動入力を排除する技術はどれか。

ア CAPTCHA
イ QRコード
ウ 短縮URL
エ トラックバックping

正解は、アです。



H25秋AP午前
 

問38 非常に大きな数の素因数分解が困難なことを利用した公開鍵暗号方式はどれか。

ア AES
イ DSA
ウ IDEA
エ RSA

正解は、エです。



問43 ディジタルフォレンジックスでハッシュ値を利用する目的として,適切なものはどれか。

ア 一方向性関数によってパスワードを変換して保存する。
イ 改変された証拠を復元する。
ウ 証拠と原本との同一性を証明する。
エ パスワードの盗聴の有無を検証する。


正解は、ウです。
以下に解説しています。
http://sc.seeeko.com/archives/3841195.html


問36 シングルサインオンの説明のうち,適切なものはどれか。
ア クッキーを使ったシングルサインオンの場合,サーバごとの認証情報を含んだクッキーをクライアントで生成し,各サーバ上で保存,管理する。
イ クッキーを使ったシングルサインオンの場合,認証対象のサーバを,異なるインターネットドメインに配置する必要がある。
ウ リバースプロキシを使ったシングルサインオンの場合,認証対象のWebサーバを,異なるインターネットドメインに配置する必要がある。
エ リバースプロキシを使ったシングルサインオンの場合,利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。



H28春AP午前

問38 重要情報の取扱いを委託する場合における,委託元の情報セキュリティ管理のうち,適切なものはどれか。

ア 委託先が再委託を行うかどうかは委託先の判断に委ね,事前報告も不要とする。
イ 委託先の情報セキュリティ対策が確認できない場合は,短期間の業務に限定して委託する。
ウ 委託先の情報セキュリティ対策が適切かどうかは,契約開始前ではなく契約終了時に評価する。
エ 情報の安全管理に必要な事項を事前に確認し,それらの事項を盛り込んだ上で委託先との契約書を取り交わす。

正解は、エです。

H27春AP午前

問40 JPCERT/CCの説明はどれか。

ア 工業標準化法に基づいて経済産業省に設置されている審議会であり,工業標準化全般に関する調査・審議を行っている。
イ 電子政府推奨暗号の安全性を評価・監視し,暗号技術の適切な実装法・運用法を調査・検討するプロジェクトであり,総務省及び経済産業省が共同で運営する暗号技術検討会などで構成される。
ウ 特定の政府機関や企業から独立した組織であり,国内のコンピュータセキュリティインシデントに関する報告の受付,対応の支援,発生状況の把握,手口の分析,再発防止策の検討や助言を行っている。
エ 内閣官房に設置され,我が国をサイバー攻撃から防衛するための司令塔機能を担う組織である。

正解は、ウです。

問41 JIS Q 31000:2010(リスクマネジメント-原則及び指針)における,残留リスクの定義はどれか。

ア 監査手続を実施しても監査人が重要な不備を発見できないリスク
イ 業務の性質や本来有する特性から生じるリスク
ウ 利益を生む可能性に内在する損失発生の可能性として存在するリスク
エ リスク対応後に残るリスク

正解は、エです。

H26秋AP午前

問44 システム運用管理者による機密ファイルの不正な持出しを牽制するための対策はどれか。

ア 運用管理者のPCの定期的なウイルス検査
イ 運用管理者のPCへのクライアントファイアウォールの導入
ウ 監視者の配置
エ 機密ファイルのバックアップ

正解は、ウです。

H25秋AP午前
 
問40 ISMSにおいて定義することが求められている情報セキュリティ基本方針に関する記述のうち,適切なものはどれか。

ア 重要な基本方針を定めた機密文書であり,社内の関係者以外の目に触れないようにする。
イ 情報セキュリティの基本方針を述べたものであり,ビジネス環境や技術が変化しても変更してはならない。
ウ 情報セキュリティのための経営陣の方向性及び支持を規定する。
エ 特定のシステムについてリスク分析を行い,そのセキュリティ対策とシステム運用の詳細を記述する。

正解は、ウです。

「機密性」「完全性」「可用性」は情報セキュリティの3大要素とも言われます。
情報セキュリティの目的は、この3つを守ることと考えてよいでしょう。
詳しくは、以下に書いています。
http://sc.seeeko.com/archives/3824770.html

また、情報セキュリティの拡張要素も、言葉としては覚えておきましょう。
・信頼性
・否認防止性(Non Repudiation)
・責任追跡性(Accountability)
・真正性
http://sc.seeeko.com/archives/4064066.html

1.脅威とは
セキュリティ対策をする際に、まず、何から守るかという脅威を理解する必要があります。
脅威は、物理的脅威、技術的脅威、人的脅威の3つに分類されます。
具体的な内容は以下です。
http://sc.seeeko.com/archives/3824796.html

(2)マルウェア、不正プログラム
http://sc.seeeko.com/archives/cat_116328.html

2.不正のメカニズム
不正のトライアングルについても理解しておきましょう。
http://sc.seeeko.com/archives/5126634.html

H28春AP午前
(H24春AP午前 問37と同じ)
問40 WAFの説明として,適切なものはどれか。

ア DMZに設置されているWebサーバへ外部から実際に侵入を試みる。
イ WebサーバのCPU負荷を軽減するために,TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行う。
ウ システム管理者が質問に答える形式で,自組織の情報セキュリティ対策のレベルを診断する。
エ 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して,不正な操作を遮断する。

正解は、エです。

問41 Webアプリケーションのセッションが攻撃者に乗っ取られ,攻撃者が乗っ取ったセッションを利用してアクセスした場合でも,個人情報の漏えいなどの被害が拡大しないようにするために,Webアプリケーションが重要な情報をWebブラウザに送信する直前に行う対策として,最も適切なものはどれか。

ア Webブラウザとの間の通信を暗号化する。
イ 発行済セッションIDをCookieに格納する。
ウ 発行済セッションIDをURLに設定する。
エ パスワードによる利用者認証を行う。

正解は、エです。

問44 スパムメール対策として,サブミッションポート(ポート番号587)を導入する目的はどれか。

ア DNSサーバに登録されている公開鍵を用いて署名を検証する。
イ DNSサーバにSPFレコードを問い合わせる。
ウ POP before SMTPを使用して,メール送信者を認証する。
エ SMTP-AUTHを使用して,メール送信者を認証する。

正解は、エです。

H27秋AP午前

問41 図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信を暗号化したり,復号したりする機能はないものとする。
170829_6
ア a
イ b
ウ c
エ d

正解は、ウです。
以下の出題あり
http://sc.seeeko.com/archives/3825528.html

H27秋AP午前(H26春AP午前 問41と同じ)

問43 ディジタルフォレンジックスの説明として,適切なものはどれか。

ア あらかじめ設定した運用基準に従って,メールサーバを通過する送受信メールをフィルタリングすること
イ 外部からの攻撃や不正なアクセスからサーバを防御すること
ウ 磁気ディスクなどの書換え可能な記憶媒体を単に初期化するだけではデータを復元できる可能性があるので,任意のデータ列で上書きすること
エ 不正アクセスなどコンピュータに関する犯罪に対してデータの法的な証拠性を確保できるように,原因究明に必要なデータの保全,収集,分析をすること

正解は、エです。

H27秋AP午前(H26春AP午前 問42と同じ)

問45 ペネトレーションテストの目的はどれか。

ア 暗号化で使用している暗号方式と鍵長が,設計仕様と一致することを確認する。
イ 対象プログラムの入力に対する出力結果が,出力仕様と一致することを確認する。
ウ ファイアウォールが単位時間当たりに処理できるセッション数を確認する。
エ ファイアウォールや公開サーバに対して侵入できないかどうかを確認する。

正解は、エです。

H26秋AP午前(H24春FE午前 問44を同じ)

問42 通信を要求したPCに対し,ARPの仕組みを利用して実現できる通信可否の判定方法のうち,最も適切なものはどれか。

ア PCにインストールされているソフトウェアを確認し,事前に許可されているソフトウェア以外がインストールされていない場合だけ通信を許可する。
イ PCのMACアドレスを確認し,事前に登録されているMACアドレスである場合だけ通信を許可する。
ウ PCのOSのパッチ適用状況を確認し,最新のパッチが適用されている場合だけ通信を許可する。
エ PCのウイルス対策ソフトの定義ファイルを確認し,最新になっている場合だけ通信を許可する。

正解は、イです。

(H24秋AP午前 問43と同じ)
問43 自社の中継用メールサーバで,接続元IPアドレス,電子メールの送信者のドメイン名及び電子メールの受信者のドメイン名のログを取得するとき,外部ネットワークからの第三者中継と判断できるログはどれか。ここで,AAA.168.1.5とAAA.168.1.10は自社のグローバルIPアドレスとし,BBB.45.67.89とBBB.45.67.90は社外のクローバルIPアドレスとする。a.b.cは自社のドメイン名とし,a.b.dとa.b.eは他社のドメイン名とする。また,IPアドレスドメイン名は詐称されていないものとする。
170829_4

正解は、ウです。

H26春AP午前(H24秋AP午前 問41と同じ)

問40 安全なWebアプリケーションの作り方について,攻撃と対策の適切な組合せはどれか。
170829_5

正解は、アです。

問43 家庭内で,PCを無線LANブロードバンドルータを介してインターネットに接続するとき,期待できるセキュリティ上の効果の記述のうち,適切なものはどれか。

ア IPマスカレード機能による,インターネットからの不正侵入に対する防止効果
イ PPPoE機能による,経路上の盗聴に対する防止効果
ウ WPA機能による,不正なWebサイトへの接続に対する防止効果
エ WPS機能による,インターネットからのウイルス感染に対する防止効果

正解は、アです。

問45 Webサーバにおいて,機密情報を記載したページが第三者に不正利用されることを防止するためのセキュリティ対策のうち,最も適切なものはどれか。

ア Webサーバの受信用のポート番号を標準ポート番号から変更する。
イ 機密情報を記載したページでは,アクセス時に利用者認証を要求する。
ウ 機密情報を記載したページのURLは非公開にし,関係者だけに伝える。
エ ドメイン名をDNSに登録せず,IPアドレスの直接入力だけでアクセスさせる。

正解は、イです。

H25秋AP午前
 
問41 ビヘイビア法のウイルス検出手法に当たるものはどれか。

ア あらかじめ検査対象に付加された,ウイルスに感染していないことを保証する情報と,検査対象から算出した情報とを比較する。
イ 検査対象と安全な場所に保管してあるその原本とを比較する。
ウ 検査対象のハッシュ値と既知のウイルスファイルのハッシュ値とを比較する。
エ 検査対象をメモリ上の仮想環境下で実行して,その挙動を監視する。

正解は、エです。

■H24秋AP午前
問36 シングルサインオンの説明のうち,適切なものはどれか。
ア クッキーを使ったシングルサインオンの場合,サーバごとの認証情報を含んだクッキーをクライアントで生成し,各サーバ上で保存,管理する。
イ クッキーを使ったシングルサインオンの場合,認証対象のサーバを,異なるインターネットドメインに配置する必要がある。
ウ リバースプロキシを使ったシングルサインオンの場合,認証対象のWebサーバを,異なるインターネットドメインに配置する必要がある。
エ リバースプロキシを使ったシングルサインオンの場合,利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。

【正解】エ


問37 パスワードに使用できる文字の種類の数をM,パスワードの文字数をnとするとき,設定できるパスワードの理論的な総数を求める数式はどれか。
アM”

M!n\(M一n)!


M!
(肛一m)!
(M+n-i).n!(肛一1)!

【正解】ア


問41 安全なWebアプリケーションの作り方について,攻撃と対策の適切な組合せはどれか。
 攻撃 対策
ア SQLインジェクション SQL文の組立てに静的プレースホルダを使用する。
イ クロスサイトスクリプティング 任意の外部サイトのスタイルシートを取り込めるようにする。
ウ クロスサイトリクエストフォージェリ リクエストにGETメソッドを使用する。
工 セッションハイジャック 利用者ごとに固定のセッションIDを使用する。

【正解】ア


■H24春AP午前
問43 Webアプリケーションにおける脅威とそのセキュリティ対策の適切な組合せはどれか。
ア OSコマンドインジェクションを防ぐために, Webアプリケーションが発行するセッションIDを推測困難なものにする。
SQLインジェクションを防ぐために, Webアプリケーション内でデータベースへの問合せを作成する際にパイント機構を使用する。
ウ クロスサイトスクリプディングを防ぐために,外部から渡す入力データをWebサーバ内のファイル名として直接指定しない。
セッションハイジャックを防ぐために, Webアプリケーションからシェルを起動できないようにする。

【正解】イ


問44 ステガノグラフィを説明したものはどれか。
ア データをコピーできないようにする技術のことをいう。
イ データを第三者に盗み見られても解読できないようにするために,決まった規則に従ってデータを変換することをいう。
ウ 文書の正当性を保証するために付けられる暗号化された署名情報のことをいう。エ メッセージを画像データや音声データなどに埋め込み,メッセージの存在を隠す技術のことをいう。

【正解】エ

シラバス(以下)ではそれほど深く記載されていませんが、情報技術者試験のでは必須の問題です。
⑤ 公開鍵基盤
PKI(Public Key Infrastructure:公開鍵基盤)の仕組み,特徴,活用場面を理解する。

用語例 PKI(Public Key Infrastructure:公開鍵基盤),ディジタル証明書(公開鍵証明書),ルート証明書サーバ証明書,クライアント証明書,CRL(CertificateRevocation List:証明書失効リスト),OCSP,CA(Certification Authority:認証局),GPKI(Government Public Key Infrastructure:政府認証基盤),BCA( BridgeCertification Authority : ブリッジ認証局), SET ( SecureElectronic Transaction)

詳細は以下
http://sc.seeeko.com/archives/cat_116373.html

H28春AP午前

問45 Man-in-the-Browser攻撃に該当するものはどれか。

ア DNSサーバのキャッシュを不正に書き換えて,インターネットバンキングに見せかけた偽サイトをWebブラウザに表示させる。
イ PCに侵入したマルウェアが,利用者のインターネットバンキングへのログインを検知して,Webブラウザから送信される振込先などのデータを改ざんする。
ウ インターネットバンキングから送信されたように見せかけた電子メールに偽サイトのURLを記載しておき,その偽サイトに接続させて,Webブラウザから口座番号やクレジットカード番号を入力させることで情報を盗み出す。
エ インターネットバンキングの正規サイトに見せかけた中継サイトに接続させ,Webブラウザから入力された利用者IDとパスワードを正規サイトに転送し,利用者になりすましてログインする。

正解は、イです。

H27秋AP午前

問36 クロスサイトスクリプディングの手口に該当するものはどれか。

ア 攻撃者が,スクリプトを用いてWebサイトのOSコマンドを呼び出し,任意のファイルの読出しや変更・削除などの不正操作をする。
イ 攻撃者が,スクリプトを用いて特定のPCへ大量に接続要求を送り出し,通信機能を停止させる。
ウ 攻撃者が用意したスクリプトでWebサイトのサービスポートに順次アクセスし,各ポートに対応するサービスに存在するセキュリティ上の弱点を探し出す。
エ 攻撃者が用意したスクリプトを,閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み,閲覧者のWebブラウザ上でスクリプトを実行させる。

正解は、エです。

問42 ゼロデイ攻撃の特徴はどれか。

ア セキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃する。
イ 特定のWebサイトに対し,日時を決めて,複数台のPCから同時に攻撃する。
ウ 特定のターゲットに対し,フィッシングメールを送信して不正サイトへ誘導する。
エ 不正中継が可能なメールサーバを見つけた後,それを踏み台にチェーンメールを大量に送信する。 

正解は、アです。

問44 ブルートフォース攻撃に該当するものはどれか。

ア WebブラウザとWebサーバの間の通信で,認証が成功してセッションが開始されているときに,Cookieなどのセッション情報を盗む。
イ 可能性がある文字のあらゆる組合せのパスワードでログインを試みる。
ウ コンピュータへのキー入力を全て記録して外部に送信する。
エ 盗聴者が正当な利用者のログインシーケンスをそのまま記録してサーバに送信する。

正解は、イです。

H27春AP午前

問37 DNSキャッシュポイズニングに分類される攻撃内容はどれか。

ア DNSサーバのソフトウェアのバージョン情報を入手して,DNSサーバのセキュリテイホールを特定する。
イ PCが参照するDNSサーバに偽のドメイン情報を注入して,偽装されたサーバにPCの利用者を誘導する。
ウ 攻撃対象のサービスを妨害するために,攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。
エ 内部情報を入手するために,DNSサーバが保存するゾーン情報をまとめて転送させる。

正解は、イです。  

問39 パスワードリスト攻撃に該当するものはどれか。

ア 一般的な単語や人名からパスワードのリストを作成し,インターネットバンキングヘのログインを試行する。
イ 想定され得るパスワードとそのハッシュ値との対のリストを用いて,入手したハッシュ値からパスワードを効率的に解析する。
ウ どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて,他のWebサイトに対してログインを試行する。
エ ピクチャパスワードの入力を録画してリスト化しておき,それを利用することでタブレット端末へのログインを試行する。

正解は、ウです。   

問43 サーバにバックドアを作り,サーバ内で侵入の痕跡を隠蔽するなどの機能がパッケージ化された不正なプログラムやツールはどれか。

ア RFID
イ rootkit
ウ TKIP
エ web beacon

正解は、イです。  

問46 ディレクトリトラバーサル攻撃はどれか。

ア OSの操作コマンドを利用するアプリケーションに対して,攻撃者が,OSのディレクトリ作成コマンドを渡して実行する。
イ SQL文のリテラル部分の生成処理に問題があるアプリケーションに対して,攻撃者が,任意のSQL文を渡して実行する。
ウ シングルサインオンを提供するディレクトリサービスに対して,攻撃者が,不正に入手した認証情報を用いてログインし,複数のアプリケーションを不正使用する。
エ 入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して,攻撃者が,上位のディレクトリを意味する文字列を入力して,非公開のファイルにアクセスする。

正解は、エです。

H26秋AP午前
 
問35 APT(Advanced Persistent Threats)の説明はどれか。

ア 攻撃者はDoS攻撃及びDDoS攻撃を繰り返し組み合わせて,長期間にわたり特定組織の業務を妨害する。
イ 攻撃者は興味本位で場当たり的に,公開されている攻撃ツールや脆弱性検査ツールを悪用した攻撃を繰り返す。
ウ 攻撃者は特定の目的をもち,標的となる組織の防御策に応じて複数の手法を組み合わせ,気付かれないよう執鉱に攻撃を繰り返す。
エ 攻撃者は不特定多数への感染を目的として,複数の攻撃方法を組み合わせたマルウェアを継続的にばらまく。

正解は、ウです。  
  
問39 企業のDMZ上で1台のDNSサーバを,インターネット公開用と,社内のPC,サーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが,DNSキャッシュポイズニングの被害を受けた結果,直接引き起こされ得る現象はどれか。

ア DNSサーバのハードディスク上に定義されているDNSサーハ名が書き換わり,外部からの参照者が,DNSサーバに接続できなくなる。
イ DNSサーバのメモリ上にワームが常駐し,DNS参照元に対して不正プログラムを送り込む。
ウ 社内の利用者が,インターネット上の特定のWebサーバを参照する場合に,本来とは異なるWebサーバに誘導される。
エ 社内の利用者間の電子メールについて,宛先メールアドレスが書き換えられ,送受信ができなくなる。


正解は、ウです。

H26秋AP午前

問40 Webアプリケーションにおけるセキュリティ上の脅威と対策の適切な組合せはどれか。

ア OSコマンドインジェクションを防ぐために,Webアプリケーションが発行するセッションIDを推測困難なものにする。
イ SQLインジェクションを防ぐために,Webアプリケーション内でデータベースへの問合せを作成する際にパイント機構を使用する。
ウ クロスサイトスクリプディングを防ぐために,外部から渡す入力データをWebサーバ内のファイル名として直接指定しない。
エ セッションハイジャックを防ぐために,Webアプリケーションからシェルを起動できないようにする。

正解は、イです。 

H25秋AP午前

問42 クロスサイトスクリプディングの手口はどれか。

ア Webアプリケーションに用意された入力フィールドに,悪意のあるJavaScriptコードを含んだデータを入力する。
イ インターネットなどのネットワークを通じてサーバに不正にアクセスしたり,データの改ざん・破壊を行ったりする。
ウ 大量のデータをWebアプリケーションに送ることによって,用意されたバッファ領域をあふれさせる。
エ パス名を推定することによって,本来は認証された後にしかアクセスが許可されていないページに直接ジャンプする。

正解は、アです。  
 
問44 サーバヘのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち,適切なものはどれか。
170829_14

正解は、イです。
詳細は以下で解説。
http://sc.seeeko.com/archives/3857127.html

H26秋AP午前

問36 ディジタル署名に用いる鍵の組合せのうち,適切なものはどれか。
170829_3

正解は、エです。

問38 ディジタル証明書が失効しているかどうかをオンラインでリアルタイムに確認するためのプロトコルはどれか。

ア CHAP
イ LDAP
ウ OCSP
エ SNMP

正解は、ウです。

H26春AP午前

問39 認証局が侵入され,攻撃者によって不正なWebサイト用のディジタル証明書が複数発行されたおそれがある。どのディジタル証明書が不正に発行されたものか分からない場合,誤って不正に発行されたディジタル証明書を用いたWebサイトにアクセスしないために利用者側で実施すべき対策はどれか。

ア Webサイトのディジタル証明書の有効期限が過ぎている場合だけアクセスを中止する。
イ Webサイトへのアクセスログを確認し,ドメインWhoisデータベースに登録されていない場合だけアクセスする。
ウ 当該認証局のCP(Certificate Policy)の内容を確認し,セキュリティを考慮している内容である場合だけアクセスする。
エ ブラウザで当該認証局を信頼していない状態に設定し,Webサイトのディジタル証明書に関するエラーが出た場合はアクセスを中止する。 

正解は、エです。

H25秋AP午前
  
問39 ディジタル署名において,発信者がメッセージのハッシュ値からディジタル署名を生成するのに使う鍵はどれか。

ア 受信者の公開鍵
イ 受信者の秘密鍵
ウ 発信者の公開鍵
エ 発信者の秘密鍵

正解は、エです。

問36 認証局が発行するCRLに関する記述のうち,適切なものはどれか。
ア CRLには,失効したディジタル証明書に対応する秘密鍵が登録される。
イ CRLには,有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示される。
ウ CRLは,鍵の漏えい,失効申請の状況をリアルタイムに反映するプロトコルである。
エ 有効期限切れで失効したディジタル証明書は,所有者が新たなディジタル証明書を取得するまでの間,  CRLに登録される。

ウはOCSPです。
正解はイです。

問45 脆弱性検査手法の一つであるフアジングはどれか。

ア 既知の脆弱性に対するシステムの対応状況に注目し,システムに導入されているソフトウェアのバージョン及びパッチの適用状況の検査を行う。
イ ソフトウェアのデータの入出力に注目し,問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し,脆弱性を見つける。
ウ ソフトウェアの内部構造に注目し,ソースコードの構文を機械的にチェックするホワイトボックス検査を行うことによって脆弱性を見つける。
エ ベンダや情報セキュリティ関連機関が提供するセキュリティアドバイザリなどの最新のセキュリティ情報に注目し,ソフトウェアの脆弱性の検査を行う。
正解は、イです。

問44 サンドボックス機構に該当するものはどれか。

ア OS,データベース,アプリケーション,ネットワーク機器など多様なソフトウェアや機器が出力する大量のログデータを分析する。
イ Webアプリケーションの入力フォームの入力データに含まれるHTMLタグ,JavaScriptSQL文などを他の文字列に置き換えることによって,入力データ中に含まれる悪意のあるプログラムの実行を防ぐ。
ウ Webサーバの前段に設置し,不特定多数のPCから特定のWebサーバヘのリクエストに代理応答する。
エ 不正な動作の可能性があるプログラムを特別な領域で動作させることによって,他の領域に悪影響が及ぶのを防ぐ。
ぜい
正解は、エです。

問43 受信した電子メールの送信元ドメインが詐称されていないことを検証する仕組みであるSPF (Sender Policy Framework)の特徴はどれか。

ア 受信側のメールサーバが,受信メールの送信元IPアドレスから送信元ドメインを検索してDNSBLに照会する。
イ 受信側のメールサーバが,受信メールの送信元IPアドレスと,送信元ドメインDNSに登録されているメールサーバのIPアドレスとを照合する。
ウ 受信側のメールサーバが,受信メールの送信元ドメインから送信元メールサーバのIPアドレスを検索してDNSBLに照会する。
エ メール受信者のPCが,送信元ドメインから算出したハッジュ値と受信メールに添付されているハッジュ値とを照合する。
正解は、イです。

問42 OpenPGPやS/MIMEにおいて用いられるハイブリッド暗号方式の特徴はどれか。

ア 暗号通イ言方式としてIPsecTLSを選択可能にすることによって利用者の利便性を高める。
イ 公開鍵暗号方式共通鍵暗号方式を組み合わせることによって鍵管理コストと処理性能の両立を図る。
ウ 複数の異なる共通鍵暗号方式を組み合わせることによって処理性能を高める。
エ 複数の異なる公開鍵暗号方式を組み合わせることによって安全性を高める。
正解は、イです。

問41 アクセス制御に用いる認証デバイスの特徴に関する記述のうち,適切なものはどれか。

ア USBメモリにディジタル証明書を組み込み,認証デバイスとする場合は,利用するPCのMACアドレスを組み込む必要がある。
イ 成人には虹彩の経年変化がなく,虹彩認証では,認証デバイスでのパターン更新がほとんど不要である。
ウ 静電容量方式の指紋認証バイスでは,LED 照明を設置した室内において正常に認証できなくなる可能性がある。
エ 認証に利用する接触ICカードは,カード内のコイルの誘導起電力を利用している。
正解は、イです。

問40 リスクベース認証の特徴はどれか。

ア Webブラウザに格納しているパスワード情報が使用できず,かつ,利用者が認証情報を忘れても,救済することによって,普段どおりにシステムが利用できる。
イ いかなる環境からの認証の要求においても認証方法を変更せずに,同一の手順によって普段どおりにシステムが利用できるように利便性を高める。
ウ ハードウェアトークンとパスワードを併用させるなど,認証要求元の環境によらず二つの認証方式を併用することによって,安全性を高める。
エ 普段と異なる環境からのアクセスと判断した場合,追加の本人認証をすることによって,一定の利便性を保ちながら,不正アクセスに対抗し安全性を高める。
正解は、エです。

↑このページのトップヘ