平成１８年度 セキュアド 問２１−４０ 解答編




このページは

セキュアド

（情報セキュリティアドミニストレータ試験）

の解答と解説のページです。

問題だけで勉強したい方は目次へ戻ってください

問２１ 米国ＮＩＳＴが採用したＡＥＳ（Advanced Encryption Standard）における鍵長の条件はどれか。
ア １２８、１９２、２５６ビットから選択する。
イ ２５６ビット未満で任意に指定する。
ウ 暗号化処理単位のブロック長より３２ビット大きくする。
エ 暗号化処理単位のブロック長より３２ビット小さくする。
解答 ア
解説 ＡＥＳはＤＥＳにとり替わる次世代の共通鍵の暗号化技術です。ブロック長は１２８ビットで、鍵長は３つの中から選びます。
問２２ １００人の送受信者が共通鍵暗号方式で、それぞれ秘密に通信を行うときに必要な共通鍵の総数は幾つか。
ア ２００
イ ４，９５０
ウ ９，９００
エ １０，０００
解答 イ
解説 鍵の数は人数×１人が持つかぎの数となります。人数は１００人で、1人が持つかぎの数は、自分以外の人数全員となるので、１００−１で９９個となります。よって、１００×９９＝９９００となります。しかし、Ａ→ＢとＢ→Ａは同じかぎなので、その半分となり、９９００／２で４９５０となります。
問２３ 公開鍵暗号方式の用法によって、送信者が間違いなく本人であることを受信者が確認できる鍵の組合せはどれか。
ア 送信者は自分の公開鍵で暗号化し、受信者は自分の秘密鍵で復号する。
イ 送信者は自分の秘密鍵で暗号化し、受信者は送信者の公開鍵で復号する。
ウ 送信者は受信者の公開鍵で暗号化し、受信者は自分の秘密鍵で復号する。
エ 送信者は受信者の秘密鍵で暗号化し、受信者は自分の公開鍵で復号する。
解答 イ
解説 いわゆるディジタル署名の利用についてです。ディジタル署名は公開かぎ暗号の通常の逆の使い方をします。つまり、送信者の秘密かぎで暗号化し、送信者の公開かぎで復号化します。
問２４ 社内のセキュリティポリシで、利用者の事故に備えて秘密鍵を復元できること、及びセキュリティ管理者の不正防止のための仕組みを確立することが決められている。電子メールで公開鍵暗号方式を使用し、鍵の生成はセキュリティ部門が一括して行っている場合、秘密鍵の適切な保管方法はどれか。
ア １人のセキュリティ管理者が、秘密鍵を暗号化して保管する。
イ 暗号化された秘密鍵の一つ一つを分割し、複数のセキュリティ管理者が分担して保管する。
ウ セキュリティ部門には、秘密鍵を一切残さず、利用者本人だけが保管する。
エ 秘密鍵の一覧表を作成して、セキュリティ部門内に限り参照できるように保管する。
解答 イ
解説 セキュリティはセキュリティの確保と利便性の適度な両立が求められます。選択肢アやエのような場合は、管理者・部門所属者の不正使用が簡単に出来てしまいます。選択肢ウのような場合は、一度なくしてしまうとアクセスできなくなる可能性があります。
問２５ シングルサインオンの説明のうち、適切なものはどれか。
ア クッキーを使ったシングルサインオンでは、サーバごとの認証情報を含んだクッキーをクライアントで生成し、各サーバ上で保存・管理する。
イ クッキーを使ったシングルサインオンでは、認証対象の各サーバをそれぞれ異なるインターネットドメインにする必要がある。
ウ リバースプロキシを使ったシングルサインオンでは、認証対象の各Ｗｅｂサーバをそれぞれ異なるインターネットドメインにする必要がある。
エ リバースプロキシを使ったシングルサインオンでは、ユーザ認証においてパスワードの代わりにディジタル証明書を用いることができる。
解答 エ
解説 シングルサインオンとは、一度ログインをすると他のグループウェアなどのアプリケーションも利用できるようになるという仕組みです。その仕組みには２種類あり、１つは、エージェント型と呼ばれるものであり、Ｗｅｂサーバとの通信で実現します。もう一つはリバースプロキシ型と呼ばれるものであり、文字通りリバースプロキシを利用した認証方式です。どちらも、ドメインなどには依存しませんし、クッキーはクライアント側のデータを保存するものなので間違いです。
問２６ コンピュータウイルスの検出、機能の解明、又は種類の特定をする手法について、適切な記述はどれか。
ア 暗号化された文章中のマクロウイルスを検出するにはパターンマッチング方式が有効である。
イ 逆アセンブルは、バイナリタイプの新種ウイルスの機能を解明するのに有効な手法である。
ウ 不正な動作を識別してウイルスを検知する方式は、ウイルス名を特定するのに最も有効である。
エ ワームは既存のファイルに感染するタイプのウイルスであり、その感染の有無の検出にはファイルの大きさの変化を調べるのが有効である。
解答 イ
解説 パターンマッチングとは、ウィルスを定義したファイルと対象のファイルを比較することで、ウィルスを発見する方法です。しかし、既存のウィルスであればほとんど発見できますが、暗号化や亜種には弱いという欠点があります。逆アセンブルとは、リバースエンジニアリングの一種で、バイナリ（２進数）データをアセンブラ言語（ニーモニック）に変換する行為です。このようなおかしな動作を監視することをヒューリスティックスキャンと言いますが、ウィルス名は会社などによって、異なる場合が多いですので、誤りです。ワームはファイルに感染するのではなく、自己増殖をするのでこれも誤りです。
問２７ メッセージの改ざんを検出するためのメッセージ認証符号ＭＡＣについて説明したものはどれか。
ア 送信者と受信者の共通鍵を元に、メッセージにハッシュ関数を適用して生成したもの
イ メッセージにハッシュ関数を適用して得たデータを送信者の秘密鍵で暗号化したもの
ウ メッセージを一定のビット数のブロックに分割し、各ブロックのデータを数値として加算した総和の値から、一定の計算をして求めたもの
エ メッセージを構成する各バイトに含まれる“１”のビットの個数が奇数になるように、最下位ビットの値を調整したもの
解答 ア
解説 ＭＡＣ（Message Authenication Code）は改ざんを検出する技術の一つで、データをハッシュ関数を用いて変換したもので、同じデータからは同じハッシュ値になりますが、少しでもデータが変わると、大幅にハッシュ値が異なるという特性があり、ハッシュ値から元のデータを求めることが極めて困難であるという特性をもちます。なお、選択肢イはディジタル署名、選択肢ウはチェックサム、選択肢エは奇数パリティの説明です。
問２８ クロスサイトスクリプティングによる攻撃へのセキュリティ対策はどれか。
ア ＯＳのセキュリティパッチを適用することによって、Ｗｅｂサーバへの侵入を防止する。
イ Ｗｅｂアプリケーションで、クライアントに入力データを再表示する場合、情報内のスクリプトを無効にする処理を行う。
ウ ＷｅｂサーバにＳＮＭＰプログラムを常駐稼働させることによって、攻撃を検知する。
エ 許容範囲を超えた大きさのデータの書込みを禁止し、Ｗｅｂサーバへの侵入を防止する。
解答 イ
解説 クロスサイトスクリプティングとは、代表的なセキュリティホールの一種で、“危険な文字”を除去する処理をしない場合に行います。その仕組みを以下に説明します。

@クライアントに悪意のあるページを閲覧させる
Aそのページからユーザのブラウザを経由して攻撃するサイトへスクリプトを送信する
B攻撃されたサイトでは、そのスクリプトが有害化し、情報漏えいやファイルの破壊が起きる

これを防ぐには、サニタイジング（無害化）をする必要があり、たとえば、『＜』を『＆ｌｔ』のように実体参照をするようにするのが一般的です。
問２９ テンペスト技術の説明とその対策として、適切なものはどれか。
ア ディスプレイなどの機器から放射される電磁波を傍受し、内容を観察する技術であり、電磁波遮断が施された部屋に機器を設置することによって対抗する。
イ データ通信の途中でパケットを横取りし、内容を改ざんする技術であり、ディジタル署名による改ざん検知の仕組みを実装することによって対抗する。
ウ マクロウイルスに対して使われる技術であり、ウイルス対策ソフトを導入し、最新の定義ファイルを適用することによって対抗する。
エ 無線ＬＡＮの信号から通信内容を傍受し、解析する技術であり、通信パケットを暗号化することによって対抗する。
解答 ア
解説 テンペスト（Tempest）とは、コンピュータから放出される電波を傍受し、解析することで画面を再構築したり、情報を読み取ったりする技術です。これを防ぐには、電波を遮断する物理的な仕組みが必要です。
問３０ セキュリティ上、脆弱性のあるホストやシステムをあえて公開し、受けた攻撃の内容を観察するためのものはどれか。
ア ＩＤＳ
イ インシデントレスポンス
ウ スパイウェア
エ ハニーポット
解答 エ
解説 ハニースポットとは、蜜の入った壺と訳されます。クラッカーを虫にみたてて、あえてそのサイトを攻撃・侵入させその手口を調べるものです。しかし、ハニースポットの運営には高度な技術や知識が必要となります。
問３１ Ｓ／ＭＩＭＥで実現できるものはどれか。
ア ＳＳＬを利用して電子メールを暗号化する。
イ 共通鍵で電子メールの送信者を認証する。
ウ 受信側がＳ／ＭＩＭＥに対応していなくても、暗証キーを入力して復号する。
エ 電子メールの改ざんを検出する。
解答 エ
解説 Ｓ／ＭＩＭＥとはＭＩＭＥという電子メールで様々な情報を扱うものに、セキュリティ機能を追加したもので、暗号化やディジタル署名をすることができます。つまり、改ざんを検出することができます。
問３２ ＴＬＳについて説明したものはどれか。
ア 相手が秘密鍵をもっているかどうかを検出するために、乱数を送付し、署名してもらう認証
イ トランスポート層において、アプリケーションとは独立に暗号化及びディジタル署名を施すことを可能にした規約
ウ 複数のＬＡＮやコンピュータシステムを、インターネットや共通回線を用いて仮想的に同一ネットワークとして安全に接続する技術
エ ルータ間の通信の秘匿性、相手認証、パケットごとの改ざん防止を提供するためのプロトコル
解答 イ
解説 ＴＬＳはＳＳＬの発展仕様で、ＳＳＬ／ＴＬＳとして一緒に扱う場合も多いほど類似したものです。乱数をかぎの生成時に使用しますが、秘密かぎをもっているかどうかの確認のためではないため間違いです。なお、選択肢ウはＶＰＮ、選択肢エはＩＰsecの説明です。
問３３ 通信の暗号化に関する記述のうち、適切なものはどれか。
ア ＩＰsecのトランスポートモードでは、ゲートウェイ間の通信経路上だけではなく、発信側システムと受信側システムとの間の全経路上でメッセージが暗号化される。
イ ＬＤＡＰクライアントがＬＤＡＰサーバに接続するとき、その通信内容は暗号化することができない。
ウ Ｓ／ＭＩＭＥで暗号化した電子メールは、受信側のメールサーバ内に格納されている間は、メール管理者が平文として見ることができる。
エ ＳＳＬを使用して接続したとき、暗号化されたＨＴＭＬ文章はブラウザでキャッシュの有無が設定できずディスク内に必ず保存される。
解答 ア
解説 ＩＰsecには全体をカプセル化するトンネルモード（ＶＰＮの実現などに利用）と、ペイロード（ヘッダを除いたデータ本体）のみを暗号化するトランスポートモードがあります。ＬＤＡＰ（Lightweight Directory Access Protocol）は暗号化をすることができます。また、格納されている暗号化データはまだ復号化されていないので、内容は暗号文のままです。最後に、キャッシュの有無はブラウザで設定可能です。
問３４ ＩＳＭＳでは、情報セキュリティは三つの事項を維持するものとして特徴付けられている。そのうちの二つは機密性と完全性である。残りの一つはどれか。
ア 安全性
イ 可用性
ウ 効率性
エ 保守性
解答 イ
解説 ＩＳＭＳでは、機密性、完全性、可用性を維持項目としていますが、代表的なＲＡＳＩＳを以下にまとめます。
Ｒ Reliability（信頼性）：故障のしにくさ（ＭＴＢＦに相当）
Ａ Availability（可用性）：使いたいときに使えるか（稼働率に相当）
Ｓ Serviceability（保守性）：修理のしやすさ（ＭＴＴＲに相当）
Ｉ Integrity（保全性）：データの正しさ
Ｓ Security（機密性）：データの防衛の高さ
問３５ 企業内情報ネットワークやサーバへの外部からのアクセスにおいて、通常の経路以外で、侵入者が不正な行為に利用するために設置するものはどれか。
ア ＶｏＩＰゲートウェイ
イ ストリクトルーティング
ウ バックドア
エ フォレンジクス
解答 ウ
解説 バッグドアとは、裏口のことで、不正侵入したクラッカーが再度侵入したり、特定の情報を流入・流出させるために仕掛ける出入り口を指します。バッグドアの放置は極めてセキュリティ上危険です。また、ＶｏＩＰゲートウェイとはネットワーク機器の一種で、ストリクトルーティングは、経路制御に関するもので、フォレンジクスとは、脅威が実際に起こった時に、その証拠をそろえたり、分析することで、証拠を保存したり再発を防止する作業のことです。
問３６ ＩＳＭＳにおけるリスク分析の方法の一つであるベースラインアプローチはどれか。
ア 公表されている基準などに基づいて一定のセキュリティレベルを設定し、実施している管理策とのギャップ分析を行った上で、リスクを評価する。
イ 情報資産を洗い出し、それぞれの情報資産に対して資産価値、脅威、脆弱性及びセキュリティ要件を識別し、リスクを評価する。
ウ 複数のリスク分析方法の長所を生かして組み合わせ、作業効率や分析精度の向上を図る。
エ リスク分析を行う組織や担当者の判断によって、リスクを評価する。
解答 ア
解説 ベースラインアプローチとは、まず確保すべきセキュリティレベルを設定し、既存のガイドラインなどを基にセキュリティレベルの到達度合を調査していくアプローチ法です。高い技術が要らず、短時間でリスクを網羅できますが、未知のリスクや業種特有のリスクに対応できないといった欠点もあります。
問３７ TRX0036-1:2001(ITセキュリティマネジメントのガイドライン−第１部：ITセキュリティの概念及びモデル)では、情報資産に対する脅威の例を表のように分類している。表のbに入るものはどれか。

画像（問37）を表示できません
ア 意図的
イ 環境
ウ 偶発的
エ 人間
解答 ア
解説 ａは人間が起こす脅威。ｂは意図的脅威。ｃは偶発的脅威。ｄは環境が起こす脅威です。この表はとても有名で重要なのでよく覚えておくとよいでしょう。
問３８ システム開発と取引のための共通フレーム（ＳＬＣＰ−ＪＣＦ９８）の目的はどれか。
ア ＩＳＯ／ＩＥＣのＳＬＣＰの検討内容を基にして、対象範囲に企画プロセスとシステム監査プロセスを加え、ソフトウェア取引に関する提案責任と管理責任を明確にすること
イ システム開発作業全般にわたって“共通の物差し”や“共通語”を使うことによって、作業範囲・作業内容を明確にし、購入者と供給者の取引を明確にすること
ウ ソフトウェアを適切に購入・使用するためのガイドラインを示すことによって、ソフトウェアの違法複製行為や違法複製品の使用を防止し、ソフトウェアの適正な取引及び管理を促進すること
エ 特定の業種やシステム形態、開発方法論などに極力依存しないように配慮し、社内の部門間での取引を除く受発注契約をスムーズに遂行すること
解答 イ
解説 共通フレーム９８はシステムのライフサイクルに関する取引で共通の枠組みを規定したものです。また、ソフトウェアを中心としたシステムの開発及び取引を可視化できる、契約者双方の共通の枠組みでもあります。
問３９ 米国で運用されたＴＣＳＥＣや欧州政府調達用のＩＴＳＥＣを統合して、標準化が進められたＣＣ（Common Criteria）の内容はどれか。
ア 暗号アルゴリズムの標準
イ 情報技術に関するセキュリティの評価基準
ウ 情報セキュリティ管理の実施基準
エ セキュリティ管理のプロトコルの標準
解答 イ
解説 ＣＣ（Common Criteria：コモンクライテリア）は、コンピュータセキュリティのための国際規格であり、ISO/IEC15408でもあります。情報技術セキュリティの評価基準、情報技術セキュリティ評価基準、ITセキュリティ評価基準などと呼ばれます。
問４０ ＳＡＭＬ（Security Assertion Markup Language）について説明したものはどれか。
ア Ｗｅｂサービスに関する情報を広く公開し、それらが提供する機能などを検索可能にするための仕組みを定めたもの
イ 権限のない利用者による傍受、読取り、改ざんから電子メールを保護して送信するためのプロトコルを定めたもの
ウ ディジタル署名に使われる鍵情報を効率よく管理するためのＷｅｂサービスプロトコルを定めたもの
エ 認証情報に加え、属性情報とアクセス制限情報を異なるドメインに伝達するためのＷｅｂサービスプロトコルを定めたもの
解答 エ
解説 ＯＡＳＩＳという標準化団体により策定された、ＸＭＬ仕様で、異なるサーバ間でも安全にＩＤやパスワードをやり取りできるようにしたもの。これによりシングルサインオンなどを実現できます。