【登録セキスペ】令和6年秋午後問4の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和6年秋午後問4」の解説をします。

※模範解答も別解も多いので、図解だけとか・分からないとこだけなど、絞って読まれた方が息切れしないかもです。

新SCになって午後1（2問）と午後2（1問）が廃止され、午後（2問）になりました。新SC午後は、午後2よりは短いのですが、作文文字数が無制限になるなど、深さが増しています。

令和6年のプログラム系問題は、問3はソースコードがあり、問4はありません。HTTPの通信内容（ヘッダ）やHTMLやCSS程度なら呑めるかな。「プログラムコード問題を切った3問体制」で準備を進めれば良いかな、と考え至りました。次回もこの傾向であれば良いですが、新SCは未だ日が浅いので何とも…。

さて問4はWebサービスの悪用がテーマ。

「セッションハイジャック」や「メールヘッダインジェクション攻撃」を駆使します。プログラムというよりは、データ通信や処理の中身を見ているので、ネスペ寄りかも。

初見だと情報量が多くて混乱しますが、時間は沢山あります。演習でじっくり解いて復習したら「ちょっと理解して腰を据えればちゃんと点数稼げるなぁ」という印象。

下図で「赤×」がないことから理不尽ではないです。ただ初見で解いた感想はもっと難しいとは思います。解説や図をたくさん準備したので、何度も読んで頂けたら嬉しいです。

作文は多いですが、模範解答も3種×2も提案され、幅が広いよう。理解できた範囲、問題文に書かれた範囲で、解答を捻りだせば合格に粘れると思います。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

長文問題なので、以下のテクニックを使います。解説の中でも適宜リンクしてますので、気が向いたら読んでみてくださいね。
＞長文問題を読む６つのテクニック
＞長文問題を解く６つのテクニック

＞午前2対策Noteのリスト

＼私の3ヶ月の学習履歴／

問4も解く候補にした理由

そもそも私はプログラム系を切ってるので、問3と問4の見極め方を確立していません。旧SCの午後1を解いたときに、プログラム問題は使用言語やテーマがバラバラで、得点再現性がないと判断しました。

「PCで動けば良いのがプログラム」「PCでできることはPCでしたい」「紙面でやりたくない」。
＞SCの時間配分と問題選びNote

問4を選んだのは消去法。問3にソースコードがあったから。問4の画面遷移やHTTPレスポンスぐらいなら、どうにかなるかなと。

またプログラム系を選ぼうかと考え始めたのは、知識系の問1と問2がディープだったから。

問1も問2もテーマは頻出なので良いです。マルウェア感染と迷惑メール対策。しかし、問1は解き始めが絶望的に遅く、問2はSPF, DKIM, DMARCの詳細知識が必要。問1は選ぶけど、問2を選ぶかは自信が持てませんでした。
＞SCR6年秋午後問1の解説Note
＞SCR6年秋午後問2の解説Note

以上より、問1は解くとして、問2か問4のどちらかを選ぶ方針としました。

新SCの座学問題のレベルは間違いなく上がっています。今までアドバンスドだったものがベーシックになっています。

例えば今回の問2。SFPは今までも常識でしたが、DKIMとDMARCの中身が詳しく出るのが常識になりました。令和元年問1にジャブがあり、令和6年で確定しました。
＞SCR元年秋午後1問1の解説Note
＞SCR6年秋午後問2の解説Note

PG系問題の読みについて

繰り返しになりますが。私はプログラム系を切ってるので、問題の読み方も確立されていません。

プログラムではない問題（知識・設定）では、表を読み飛ばすなどの解法が確立していますが…。
＞長文問題を読む６つのテクニック
＞長文問題を解く６つのテクニック

よって素直に読んでいきました。もちろん設問を最初に読んで、どこまで読むかぐらいの確認はしています。＞長文問題を読む６つのテクニック（１）

座学系問題では早く解き始めをするために表スキップなどもしていますが。表のスキップもせず、注釈も読んで、一歩一歩読み進めました。幸い図3と表1をカウントしなければ、解き始めの空欄aまで実質2頁ぐらいですから。＞長文問題を読む６つのテクニック（６）

読み | マーキングが重要

では問題文を読んでいきます。

読みながらマーキングするのはいつもの通り。組織やシステム名は四角囲み、数値は丸囲み、怪しいポイントは▼印。＞長文問題を読む６つのテクニック（３）

四角囲みだらけになりますがやります。「Mサイト」「氏名」「自宅住所」…「会社情報」「求人情報」…。あとでデータベースとか出るかもですからね。あと「WebAPI」。

【セキュリティ診断の診断対象と診断方法】

図1。

図2。

気になったのは、以下。

• 4(2)：なんで複数のAPIKeyを発行できるんだ？ 有効期限切れに先立って申請できるってことか？

• 注1：これはダメ絶対。利用者IDが容易に推測できます。

利用者IDは日付＋6桁の通し番号。

例えば、2025/01/01に一人でも会員登録すれば、利用者ID20250101000001は必ず存在します。容易に推測できますし、プログラムでIDを1つずつ増やして情報収集もできます。

202250101000001から1つずつ増やして「IDがありません」とエラーが出たら、202250102000001からまた始めれば、そのうち全会員の情報だって抽出できますね。

その意味では、2(3)。企業に問合せ/応募をしていない会員の求人情報を無尽蔵に検索できるのは疑問。求人者属性（希望職種・希望条件）で絞り込む検索なら分かりますが。

図3。

ざっくり見ます。日常経験と照らし合わせられると強いですね。

PWD変更が2通り（画面12～13, 14～17）あるのがリアルで、画面09後に2手に分かるのがややこしそう。

そして注記が多い…。解く時に見返すとは思いますが、見た感じ怪しい印象はなかったです。

表1。

URLなので、ほーっと。一応注記1。パスワード再設定のURLは「ランダム英数字32字」になってるから一安心。利用者IDは危なかったですが。

図4。やっと解きに入れそう。

図Aの攻撃の手口 | セッションハイジャック

最初から全貌を解説しますね。

図Aの手順1～7は穴埋めもあって混乱するので図解にしました。

要は、攻撃者が入手したsessionIDで、利用者にアクセスさせてIDとPWDを入力してログインしてもらう。攻撃者は「そろそろログインしたかな」って頃に試す。

よって対策は、ログイン成功した時に新しいsessionIDを発行して、ログイン成功した人にだけ渡す。攻撃者は新しいsessionIDを入手してないので、アクセスできない。

設問1(1)a | sessionIDは受付番号