平成２０年度 セキュアド 問２１−４０ 解答編




このページは

セキュアド

（情報セキュリティアドミニストレータ試験）

の解答と解説のページです。

問題だけで勉強したい方は目次へ戻ってください

問２１ ネットワークを構成する装置の用途や機能に関する記述のうち、適切なものはどれか。
ア ゲートウェイは、主にトランスポート層以上での中継を行う装置であり、異なったプロトコル体系のネットワーク間の接続などに用いられる。
イ ブリッジは、物理層での中継を行う装置であり、フレームのフィルタリング機能をもつ。
ウ リピータは、ネットワーク層での中継を行う装置であり、伝送途中で減衰した信号レベルの補正と再生増幅を行う。
エ ルータは、データリンク層のプロトコルに基づいてフレームの中継と交換を行う装置であり、フロー制御や最適経路選択などの機能をもつ。
解答 ア
解説 それぞれの、機器の対応するＯＳＩ基本参照モデルでの対応層をきちんと確認しておきましょう。

ゲートウェイ：トランスポート層以上（アプリケーション層とも言われることもある）
ブリッジ：データリンク層
リピータ：物理層
ルータ：ネットワーク層
なお、ブリッジは橋という意味で、特定のＩＰアドレスの中継を行ったりするので、ある種のフィルタリングと考えることもできます。
問２２ ＡＥＳの暗号化方式を説明したものはどれか。
ア 鍵長によって、段数が決まる。
イ 段数は、６回以内の範囲で選択できる。
ウ データの暗号化、復号、暗号化の順に３回繰り返す。
エ 同一の公開鍵を用いて暗号化を３回繰り返す。
解答 ア
解説 ＡＥＳは共通鍵暗号方式の代表例で、事実上のＤＥＳの後継です。ブロック長は128ビット、鍵長は128ビット、192ビット、256ビットの3つが利用できます。
問２３ ＴＬＳの機能を説明したものはどれか。
ア ＴＣＰとアプリケーションとの間のレイヤにおいて、通信相手の認証や、暗号方式や暗号鍵のネゴシエーションをHandshakeプロトコルで行う。
イ 電子メールに対して、ＰＫＩを適用するためのデータフォーマットを提供する。
ウ ネットワーク層のプロトコルであり、ＩＰパケットの暗号化及び認証を行う。
エ ログインやファイル転送の暗号通信を行う目的で、チャレンジレスポンスの仕組みを用いてｒコマンド群の認証を行う。
解答 ア
解説 ＴＬＳはトランスポート層で動作するセキュリティプロトコルの一種で主にＨＴＴＰ・ＦＴＰなどで応用利用されています。ディジタル署名や暗号化技術を組み合わせて安全な通信を行うことができます。ネゴシエーションは交渉という意味で、情報用語では互いの情報を交換しながら通信の設定を行うことをいいます。
問２４ 公開鍵暗号方式に関する記述として、適切なものはどれか。
ア ＤＥＳやＡＥＳなどの暗号方式がある。
イ ＲＳＡや楕円曲線暗号などの暗号方式がある。
ウ 暗号化鍵と復号鍵が同一である。
エ 共通鍵の配送が必要である。
解答 イ
解説 公開鍵は暗号鍵と復号鍵が異なる鍵のことをいいます。その代表例は巨大数の因数分解の困難性を利用したＲＳＡです。ＤＥＳやＡＥＳは共通鍵暗号方式の代表例です。
問２５ 公開鍵暗号方式によるディジタル署名の手続きとハッシュ値の使用方法のうち、適切なものはどれか。
ア 受信者は、送信者の公開鍵で署名を復号してハッシュ値を取り出し、元のメッセージを変換して求めたハッシュ値と比較する。
イ 受信者はハッシュ値を自分の公開鍵で暗号化して、元のメッセージとともに受信者に送る。
ウ ディジタル署名を付ける元となったメッセージをハッシュ値から復号する。
エ 元のメッセージ全体に対して公開鍵で暗号化を行い、ハッシュ値を用いて復号する。
解答 ア
解説 公開鍵暗号方式における認証をまとめた図を以下に示します。なお、ハッシュ値はハッシュ関数によって算出され、もとの文字列がすこしでも異なるとまったく異なる値になるという性質をもちます。

画像（問25kai）を表示できません
問２６ ＳＱＬインジェクション攻撃を防ぐ方法はどれか。
ア 入力値から、上位ディレクトリを指定する文字（../)を取り除く。
イ 入力値から、データベースへの問い合わせや操作において特別な意味を持つ文字を解釈されないよう保護する。
ウ 入力値にＨＴＭＬタグが含まれていたら、解釈、実行できないほかの文字列に置き換える。
エ 入力値の全体の長さが制限を越えていたときは受け付けない。
解答 イ
解説 ＳＱＬインジェクション攻撃とは、ＳＱＬの構文の解釈における特別な意味を持つもの（ＳＥＬＥＣＴ等の文字列や終了の；など）を混ぜることで、情報を取り出したりする行為です。これを回避するためには、ＳＱＬ文としてではなく、単なる文字列であるとして解釈するように変換することで実現できます。この操作をエスケープ処理またはサニタイジングといいます。クロスサイトスクリプティングも似た様なことを行います。
問２７ 表に示すテーブルＸ，Ｙへのアクセス要件に関して、JIS Q 27001:2006(ISO/IEC27001:2005)が示す“完全性”の観点からセキュリティを脅かすおそれのあるアクセス権付与はどれか。

画像（問27）を表示できません
ア ＧＲＡＮＴ ＩＮＳＥＲＴ ＯＮ Ｙ ＴＯ Ａ
イ ＧＲＡＮＴ ＩＮＳＥＲＴ ＯＮ Ｙ ＴＯ Ｂ
ウ ＧＲＡＮＴ ＳＥＬＥＣＴ ＯＮ Ｘ ＴＯ Ａ
エ ＧＲＡＮＴ ＳＥＬＥＣＴ ＯＮ Ｘ ＴＯ Ｂ
解答 ア
解説 まる、ＧＲＡＮＴという命令は、権限を与える命令で、ＩＮＳＥＲＴは挿入、ＳＥＬＥＣＴは選択をするときに命令です。このとき、必要な権限は選択肢アと選択肢ウに相当する部分で、選択肢イと選択肢エは不要な権限だと考えられます。ここで、完全性（＝データが正しいこと）の観点を導入すると、データを見られたとしてもデータを改ざんされることはなく、挿入権限のほうが完全性を脅かす可能性が高いということが分かります。
問２８ パスワードに使用できる文字の種類の数をＭ、パスワードの文字数をｎとするとき、設定できるパスワードの論理的な総数を求める数式はどれか。
画像（問28ans）を表示できません
解答 ア
解説 文字の種類をひとけたづつばらして考えると、するＭ×Ｍ×Ｍ×・・・・とけた数ｎ乗したのと同じくなります。よって、種類が多いよりもけた数を多くする方がはるかにセキュリティの効果が高いことが合わせて理解できると思います。
問２９ クロスサイトスクリプティングの手口はどれか。
ア Ｗｅｂアプリケーションに用意された入力フィールドに、悪意のあるＪａｖａＳｃｒｉｐｔコードを含んだデータを入力する。
イ インターネットなどのネットワークを通じてサーバに不正侵入したり、データの改ざん・破壊を行ったりする。
ウ 大量のデータをＷｅｂアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。
エ バス名を推定することによって、本来は認証された後にしかアクセスできないページに直接ジャンプする。
解答 ア
解説 クロスサイトスクリプティングとは、攻撃者が準備したサイトにあるスクリプトが、別のサイトで実行されたときに悪意のある動作を引き起こすコードになることです。これを回避するためには、スクリプト上における特別な意味を持つものを、単なる文字列であるとして解釈するように変換することで実現できます。この操作をエスケープ処理またはサニタイジングといいます。ＳＱＬインジェクションも似た様なことを行いますまた、選択肢イはクラッキング。選択肢ウはバッファオーバーフロー。選択肢エはパストラバースであると推測できます。
問３０ ＲＡＤＩＵＳに関する記述として、適切なものはどれか。
ア ＩＳＰや企業内ＬＡＮなどへのリモートアクセスを実現するとき、ユーザ認証、アクセス制御、アカウント情報管理を統括的に行う。
イ ＬＡＮに接続されたコンピュータに対して自動的にＩＰアドレスを割り当てる。
ウ コンピュータごと、アプリケーションごとに個別に管理されていたユーザ情報やネットワーク資源の情報を、企業や組織全体のディレクトリ情報として格納し、統括的に管理する。
エ 複数のＬＡＮやコンピュータシステムをインターネットや公衆回線を用いて、仮想的に同一のネットワークとして接続する技術であり、情報の機密性、完全性を提供する。
解答 ア
解説 ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）はネットワーク資源へのアクセスの許可・拒否などを含めたリモートアクセス制御を行うネットワーク機器です。また、選択肢イはＤＨＣＰ、選択肢ウはＬＤＡＰ（エルダップ）、選択肢エはＶＰＮだと思われます。
問３１ テンペスト技術の説明とその対策として、適切なものはどれか。
ア ディスプレイやケーブルなどから放射される電磁波を傍受し、内容を観察する技術であり、電磁波遮断が施された部屋に機器を設置することによって対抗する。
イ データ通信の途中でパケットを横取りし、内容を改ざんする技術であり、ディジタル署名による改ざん検知の仕組みを実装することによって対抗する。
ウ マクロウイルスにおいて使われる技術であり、ウイルス対策ソフトを導入し、最新の定義ファイルを適用することによって対抗する。
エ 無線ＬＡＮの信号から通信内容を傍受し、解析する技術であり、通信パケットを暗号化することによって対抗する。
解答 ア
解説 テンペスト（Tempest）とは、コンピュータから放出される電波を傍受し、解析することで画面を再構築したり、情報を読み取ったりする技術です。これを防ぐには、電波を遮断する物理的な仕組みが必要です。

選択肢イは改ざん
選択肢ウはマクロウィルス
選択肢エは盗聴
問３２ 無線ＬＡＮのセキュリティ技術に関する記述のうち、適切なものはどれか。
ア ＥＳＳ−ＩＤ及びＷＥＰを使ってアクセスポイントと通信するには、クライアントにＥＡＰ（Extensible Authentication Protocol）を実装する必要がある。
イ ＷＥＰの暗号化鍵の長さは１２８ビットと２５６ビットがあり、どちらを利用するかによって処理速度とセキュリティ強度に差が生じる。
ウ アクセスポイントにＭＡＣアドレスを登録して認証する場合、ローミング時にＥＥＳ−ＩＤを照合しない。
エ 無線ＬＡＮの複数のアクセスポイントが、１台のＲＡＤＩＵＳサーバと連携してユーザ認証を行うことができる。
解説 エ
解答 いろいろと用語がたくさん登場するので、以下にまとめます。

ＥＳＳ−ＩＤ：無線ネットワークにおける識別子（ネットワーク名のようなもの）。
ＥＡＰ：認証プロトコルの一つであり、各種の拡張認証方式を利用するための手続きをまとめたものである。
ＷＥＰ：無線通信における暗号化技術の一つ。
ＭＡＣアドレス：データリンク層におけるネットワークインタフェースの識別を行うための番号のこと。
ローミング：契約している通信事業者のサービスを、エリア外であっても、提携している他の事業者の利用して受けられるようにする仕組み。
ＲＡＤＩＵＳ：ネットワーク資源へのアクセスの許可・拒否などを含めたリモートアクセス制御を行うネットワーク機器

ＲＡＤＩＵＳサーバには、ユーザ管理も可能なので、複数のアクセスポイントを利用してユーザ認証を行うことも可能です。
問３３ 情報システムのリスクマネジメント全体の説明として、最も適切なものはどれか。
ア 事故や災害の発生を防止したり、それが万一発生した場合には損失を最小限にしたりする手段であり、回避、最適化、移転、保有などの手段がある。
イ 情報システムの機密特性を損なう不安定要因やシステムに内在する脆弱性を識別して、企業活動に生じる損失を防止、軽減するとともに、合理的なコストでの対策を行う。
ウ 情報システムの機能に障害が発生した際に、業務の中断や機密漏えいを、防止又は軽減する緊急時対策を行う。
エ リスクを経済的な範囲で最小化するコントロールを設計するために必要な情報を提供する。
解答 イ
解説 リスク対策をまとめると下の図のようになります。

画像（問33kai）を表示できません

また、リスクマネジメントのはじめにリスク分析を行いどのようなリスクがあり、どれくらいの損害を生み出すかを調べます。
問３４ 金融庁の“財務報告に係る内部統制の評価及び監査の基準”において、内部統制に関係を有する者の役割と責任の記述のうち、適切なものはどれか。
ア 株主は、組織のすべての活動について最終的な責任を有する。
イ 監査役は、内部統制の整備及び運用に係る基本方針を決定する。
ウ 経営者は、取締役の職務の遂行に対して監査の一環として、独立した立場から、内部統制の設備及び運用状況を監視、検証する役割と責任を有する。
エ 内部監査人は、モニタリングの一環として、内部統制の設備及び運用状況を検討、評価し、必要に応じて、その改善を促す職務を担っている。
解答 エ
解説 選択肢アは経営陣、選択肢イは取締役会、選択肢ウは監査役が正しい役割といえます。
問３５ 情報システムのコンティジェンシープランに関する記述のうち、適切なものはどれか。
ア コンティンジェンシープランの目的は、リスクを回避するためのコントロールを設計することである。
イ 障害の抑制・防止対策が適切に設定されているシステムは、コンティジェンシープランの対象外である。
ウ 障害復旧までの見込み時間の長さによって、幾つかの対応方法を盛り込んだコンティンジェンシープランを策定する。
エ ソフトウェアのバグによるシステムの停止は、コンティンジェンシープランの対策外である。
解答 ウ
解説 コンティジェンシープランとは、危機管理計画と訳され、インシデント（セキュリティを脅かす攻撃）等によって被害を受けたときの対策を練り、その内容には、障害復旧の時間や連絡先などが盛り込まれます。
問３６ “JIS Q 9001:2000(ISO 9001:2000)品質マネジメントシステム−要求事項”に規定されている経営者の責任はどれか。
ア 経営者は、品質マネジメントシステムの構築、実施及び改善に対するコミットメントの証拠を示さなければならない。
イ 組織内の部門、階層ごとの品質目標は、経営者が設定しなければならない。
ウ 品質管理の責任は経営者にあるので、権限を委譲することなく、必要なプロセスの確立、実施及び維持を確実にしなければならない。
エ 不具合又は不満足な状況に陥った場合、それが是正されるまで、経営者は後工程への進行を止めなければならない。
解答 ア
解説 ＩＳＯ９００１の５章経営者の責任の５．１経営者のコミットメントには、「トップマネジメントは、品質マネジメントシステムの構築及び実施、並びにその有効性を継続的に改善することに対するコミットメントの証拠を次の事項によって示すこと。」と記述されています。また、５．２顧客重視には「顧客満足の向上を目指して、トップマネジメントは、顧客要求事項が決定され，満たされていることを確実にすること」と記述されています。
問３７ 共通フレーム２００７（ＳＬＣＰ−ＪＣＦ２００７）の目的はどれか。
ア ＩＳＯ／ＩＥＣのＳＬＣＰの内容を基にして、対象範囲にシステム監査プロセスを加え、ソフトウェア取引に関する提案責任と管理責任を明確にすること
イ ソフトウェア開発作業全般にわたって“共通の物差し”を使うことによって、作業範囲・作業内容を明確にし、取得者と供給者の取引内容を明確にすること
ウ ソフトウェアを適切に購入・使用するためのガイドラインを示すことによって、ソフトウェアの違法複製行為や違法複製品の使用を防止し、ソフトウェアの適正な取引及び管理を促進すること
エ 特定の業種やシステム形態、開発方法論などに極力依存しないよう配慮し、社内の部門間での取引を除く受発注契約をスムーズに遂行すること
解答 イ
解説 共通フレーム９８はシステムのライフサイクルに関する取引で共通の枠組みを規定したものです。また、ソフトウェアを中心としたシステムの開発及び取引を可視化できる、契約者双方の共通の枠組みでもあります。共通フレーム２００７では、これに上流プロセスの可視化と信頼性ガイドライン要素を重視しているといわれています。ＩＰＡによって策定されました。
問３８ 情報セキュリティの評価基準ＪＩＳＸ５０７０（ＩＳＯ／ＩＥＣ１５４０８）の説明のうち、適切なものはどれか。
ア ＩＴ製品及びシステムの、経済産業省による情報セキュリティマネジメント整合性評価制度に用いられる評価基準
イ ＩＴ製品及びシステムの、セキュリティにかかわる部分の評価基準
ウ ＩＴ製品及びシステムの、セキュリティを含むシステム全体のの評価基準
エ ＩＴ製品のうち、ＯＳとハードウェアを対象とするセキュリティレベルの評価基準
解答 イ
解説 国際規格ＩＳＯ／ＩＥＣ１５４０８を日本規格ではＪＩＳＸ５０７０に相当し、日本のセキュリティ評価・認証制度となっています。対象製品は、セキュリティ機能を持ったIT製品/システムであり、ソフトウェア、ハードウェア、ファームウェアが対象になります。（ＩＰＡのＨＰより）とあります。
問３９ ＪＩＳＱ２００７：２００６のリスクマネジメントで採用されているセーフガードはどれか。
ア ＩＴシステムの資源に影響を及ぼす不確かな事象を識別、制御、除去、又は低減する総合的なプロセス
イ 脅威によって影響を受ける資産又は資産グループの弱さ
ウ 重要情報を含む資産をどのように管理、保護、及び分配するかを統制する規則、指令、及び実践
エ リスクを低減する実践、手順、又はメカニズム
解答 エ
解説 セーフガードとは安全措置（または弱者救済措置）と訳されるように、被害を軽減させたり、被害を受けた部分に救護措置をとることをいいます。この場合では、リスク低減の実践やシステムがこれに相当すると考えられます。
問４０ ＳＡＭＬ（Security Assertion Markup Language）の説明として、最も適切なものはどれか。
ア Ｗｅｂサービスに関する情報を広く公開し、それらが提供する機能などを検索可能にするための仕組み
イ 権限のない利用者による傍受、読取り、改ざんから電子メールを保護して送信するためのプロトコル
ウ ディジタル署名に使われる鍵情報を効率よく管理するためのＷｅｂサービスプロトコル
エ 認証情報に加え、属性情報とアクセス制御情報を異なるドメインに伝達するためのＷｅｂサービスプロトコル
解答 エ
解説 ＯＡＳＩＳという標準化団体により策定された、ＸＭＬ仕様で、異なるサーバ間でも安全にＩＤやパスワードをやり取りできるようにしたもの。これによりシングルサインオンなどを実現できます