【セキュマネ】平成29年度秋午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成29年度秋科目B問2を解説します。

パスワードクラック攻撃が3種も絡みました。攻撃の手口と対策を学べます。技術的には「タイムアウト」はSGでは新しい知識かも。SCやDBでは見るので今後のために覚えます。

設問2(2)b「ウェブ診断仕様」は、資料を見たことなければなかなか難しいのですが。消去法で取れますし、失点しても痛手ではないです。

ただし思い返せば、”ガイドラインって問題文に繰り返し登場するよなぁ”と。今後また別のページが出るかもしれません。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1) | 確実とマシな解答

正答は、イ, オ。
イ：児童用PWDを数字4桁から英数記号8文字に変更
オ：アカウントのロック時間を1分間から60分間に変更

下線①「ブルートフォース攻撃のリスクを低減するために認証機能の仕様を変更」して、設問文「Wサービスの仕様案」を更に改善する旨。

認証（＝ログイン）へのブルートフォース攻撃（＝PWDにあらゆる文字列を試す）の成立を低減させる話。＞【Iパス】パスワードクラック４種のNote

図1「Wサービスの仕様案」の「認証機能」に危ないのありますね。
図1-2-(1)「数値4桁の児童用パスワード」。
選択肢イで「数字4桁から英数記号8文字以上に変更」で、ブルートフォース攻撃は成立しにくくなります。児童は入力が大変ですが…。

問題文を読んだ時点で"4桁ぽっちは危ないでしょ"と◀印。＞長文問題を読む６つのテクニックNote（３－３）

あと1つを各選択肢を見ながら決めます。

• ア：PWDの入力内容を常に非表示にする。
  ➡×。
  非表示にしようが、入力はできるので攻撃は防げません。

• ウ：保護者用PWDを英数記号8文字以上から数字9桁に変更。
  ➡×。
  桁が1桁増えても、文字種類が少なくなったので、攻撃が成立し易い方向かな。

• エ：アカウントロックする閾値を、5回から8回に変更。
  ➡×。
  失敗できる回数が増えているのでダメ。

• オ：アカウントロックする時間を、1分間から60分間に変更。
  ➡△。
  1分でロック解除されたら再度攻撃できるなんて、実質連続で攻撃し続けるのと同じ。60分間なら、攻撃者が諦める/管理者が調査して気づくかも。

オが一番マシですね。個人的には〇かはちょっと言えないかなぁと。

設問1(2) | 王道なセキュリティ対策たち

正答は、カ（ログインへタイムアウトの導入）。

WebページやYoutubeで、ずっつ”くるくる”してるの見たことあるかもですね。

下線②は「共用PCにおける閲覧リスクを低減する機能を追加」。下線②前に、児童は共用PC@図書館/学校を使うから、試験結果/成績を他の人に見られるだろうねって話。

他人に閲覧されるリスクに注目して、選択肢を見ると、カ「ログインをタイムアウトさせる機能」が良いですね。

復習なので、不正解の選択肢もセキュリティ対策として理解します。

• ア：アカウントロックを利用者が解除する機能
  つい間違いが続いてロックされることはあるので、解除する機能があっても良いですね。でも1時間待てば解除されるから追加しなくても良いかなぁとも。

• イ：定期的なPWD変更を促す機能
  不正ログインの防止になりますね。
  個人的には全然違うPWDにすると忘れるので、語尾に数値や記号を追加するだけにしてます。PWDは「ハッシュ値」で保管されるのでちょっと変更するだけで、全然違うハッシュ値になるので問題ありません。

• ウ：PWD強度をチェックする機能
  色んな文字種（英大小, 数字, 記号）を使っているか、文字数は長いかなど。単語を使っていないかなど。＞【Iパス】パスワードクラック４種のNote
  「パスワードポリシー」にて、PWD登録時に条件を設けるのもテ（文字数, 大文字小文字・数字記号を含めるなど）。

• エ：パスワードを忘れた時に使う"秘密の質問"機能。
  小学校の名前やペットの名前などを設定しますね。PWDよりは意味があって、本人しか知らなそうな情報。

• オ：マルウェア検知機能
  ウイルス対策ソフトのような。一般的なのはシグネチャ型によるパターンマッチング方式。

• カ：ログインをタイムアウトさせる機能
  ➡〇。
  ログインしっぱしでPCから立ち去り、他人がPCを使い始めたら見られちゃいます。

設問2(1)a | Webアプリ系の攻撃４＋α

正答は、ウ（能動的, 受動的）。

• 受動的とは”受け身”。他からの働きかけで動く。指示に従うなど。

• 能動的とは”自分から動く”。自分で考えて提案/行動するなど。

表1の1～4は、Webサイトへ入力できる機能がある場合に、入力機能を悪用した攻撃です。＞【Iパス】Web系攻撃５種のNote

「SQLインジェクション」は、データベースを不正利用する攻撃。

攻撃者が入力してサーバを不正に動かすので、能動的。

「クロスサイトスクリプティング（XSS）」は、Webサイトに悪意のあるスクリプトを埋め込んで、閲覧者の訪問時に実行させ偽サイトに誘導する攻撃。

攻撃者仕込んで待ってます。攻撃者が各利用者に（能動的に）攻撃はしてません。利用者がWebサイトを訪れた時に発症するので、受動的。

太字にした用語と手口（キーワード）で覚えてくださいね。

• XSS（クロスサイトスクリプティング）：Webサイトに悪意のあるスクリプトを埋め込んで、閲覧者の訪問時に実行させ偽サイトに誘導する

• XSRF（CSRF, クロスサイトリクエストフォージェリ）：Webサイトに悪意のあるスクリプトを埋め込んで、閲覧者が気づかないうちに別サイトで意図しない操作をする

• SQLインジェクション：データベースを不正利用する

• BoF（バッファオーバーフロー）：想定外の長大な入力をしてバッファをあふれさせ、攻撃者の用意したプログラムを実行させるなど誤動作させる

他にも、「ディレクトリトラバーサル攻撃」「OSコマンドインジェクション」も覚えます。Iパスレベルです。＞【Iパス】Web系攻撃５種のNote

設問2(2)b | 消去法で一番マシな解

正答は、ア（クローラへの耐性）。

「クローラ」とは、Webページを巡回する情報収集プログラム。例えばgoogleなどの検索エンジンがWebサイトのデータベースを作成/更新するために、クローラを徘徊させてます。

表1を見ると【空欄b】に攻撃名が入りそうなのがイジワルですね。間違っても仕方ないかなぁと。

正解一発引きはキビシイので、他選択肢も検討して、”クローラがマシかなぁ”程度の精度です。表1【空欄b】は可用性に関わる点にも注意。

• セッション管理の不備：HTTP通信は「セッションID」って整理番号で管理されます。例えば攻撃者にセッションIDが盗聴されると、なりすましアクセスができます（セッションハイジャック）。他にも「セッションID固定化攻撃」もあり。＞【SC】セキスペにでた73種の攻撃Note（セッション系）
  ➡なりすましの類なので「機密性」絡みかなぁ。セッション管理不備で通信/サービスが上手くいかないのを可用性と解釈も若干できますが。アは保留しときます。

• 「ディレクトリトラバーサル」：Webページのリンクを用いずに、直接ファイルやフォルダへのアクセスを試みる攻撃。
  ➡Webサイトへのアクセスなので「機密性」絡み。＞【Iパス】Web系攻撃５種のNote

• ディレクトリリスティング：Webサーバのファイル一覧を入手する攻撃（詳細は過去問道場さんへ）。ディレクトリトラバーサル攻撃と似てますし、リスティング（リストする）の意味で覚えるのは簡単そう。
  ➡ファイルの一覧なので「機密性」絡み。

• 認可制御の不備, 欠落：「認可」は操作権限を認めること。例えばファイルの閲覧・編集・削除など。「認証」はログイン可否（ID, PWD）、「認可」はログイン後の操作の権限の話。
  ➡アクセス可否なので「機密性」絡み。

ア（クローラへの耐性）とイ（セッション管理）が残るまで絞れたら相当良いですね。あとは、”ア：クローラへの耐性がない=アクセス数に弱い➡他利用者が使えなくなる=可用性に影響➡表1可能性と一致”と思考できるなら。

表1では7種類でしたが、資料では13種類でした（pdfファイル：IPA公式サイト）。今回カットされたのが出るかもしれませんね。

SGでは度々”仕様書””ガイドライン”が登場します。その場その場で正解できますが、資料も入手して眺めるべきです。覚えるかはさておき。今後、別の頁がでるかもしれませんし。

設問2(3) | 委託先への監督/連絡

正答は、ウ（i, ii, iii, v）。
i：開発中にセキュリティ追加が必要な場合、委託元に提案する
ii：再委託先も含めた開発体制を、委託元に説明する
iii：セキュリティ試験の結果を、委託元に納品する
v：納品後のセキュリティサポートの方法/費用を、委託元に説明する

下線③委託仕様書に盛り込んだ他の事項（表1Web診断とは別）の話。

他社への開発委託の話なので、自社データの秘密契約・プログラムのセキュリティなどの話だろうなぁと推察。

ivは、P社以外から受注した仕事の仕様書を開示せよ。ないですよね。他は、P社が依頼人として絡んでいるので妥当かなと。

• i：開発中にセキュリティ追加が必要な場合、委託元P社に提案する
  ➡〇。勝手に追加されても困るし、より良くしたいから提案して欲しいですよね。

• ii：再委託先も含めた開発体制を、委託元P社に説明する
  ➡〇。下請けに出すならちゃんと監督して欲しいし、どこに手伝ってもらうのか説明して欲しいですよね。

• iii：セキュリティ試験の結果を、委託元P社に納品する
  ➡〇。試験結果は報告して欲しいです。

• iv：他社から受領した仕様書を、委託元P社に開示する
  ➡×。P社関係です。そこまでの権利はない。

• v：納品後のセキュリティサポートの方法/費用を、委託元P社に説明する
  ➡〇。アフターサービスの説明は欲しいです。

設問3(1)c | 問題文を芋づるで辿る

正答は、イ（OSコマンドインジェクションの脆弱性が検出された）。

【空欄c】の脆弱性は「要治療・精密検査（優先度：高）」と判定されたました。

問題文を辿って表1に到達したいです。

「優先度：高」は、表3より「危険度が”高”」。

「危険度が”高”」は、表2より危険度が「高」は「能動的攻撃」で「機密性や脆弱性の被害」につながるもの。

表1で危険度「高」は、2つ（SQLインジェクション, OSコマンドインジェクション）。「能動的」なのは2つとも。「機密性や脆弱性の被害」も2つとも。

表1では1つに絞れませんでしたが、選択肢にあるのは片方だけ。イ（OSコマンドインジェクション）

他選択肢も見ます。
危険度「高」「能動的攻撃」「機密性」「脆弱性」がポイント。
結局、危険度だけで全て消去できたので簡単でした。

• ア：HTTPヘッダインジェクション
  ➡表1-6。危険度「中」なので×。

• ウ：XSRF
  ➡表1-3。危険度「中」なので×。

• エ：XSRFと”意図しないリダイレクト”
  ➡表1-3。危険度「中」なので×。
  表1-5。危険度「中」なので×。

• オ：被害が軽微な脆弱性
  ➡表2-低と同じ。危険度「低」なので×。

• カ：攻撃成功の可能性が低い脆弱性
  ➡表2-低と同じ。危険度「低」なので×。

設問3(2) | 問われた条件に真正面

正答は、ウ（情報セキュリティ委員会による、承認）。

ちょっと発想や解く手順に慣れが必要です。

問題文の何に注目するかをキーワードから特定します。設問文の「P社の情報セキュリティ管理規定」をスルーせず、取っ掛かりとします。