【登録セキスペ】令和5年度春期午後2問1の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和5年度春期午後2問1」の解説をします。

模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。

今回は解いて/復習しちゃえば、点を取り易い問題でした。午後1のスキルを生かし、午後2の2時間に耐えられる集中力/体力を養えれば良いですね。

なお、私が気軽に解いて1時間でした。午後2は午後1と違って時間は充分あります。しっかり選んで、粘って点数を積み上げていきたいです。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。

※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法

設問1 | 序盤からノーヒントかぁ

模範解答は「診断対象のWebサイトの設計書を確認するという方法」

頑張って正解したいです。午後問には、これぐらいの離れ業はやってのけねば勿体ないです。

下線①は表2「手動登録機能」なので、「手動登録機能」を探すと、図1(2-2)。特段URLの入手法の記述なし。

模範解答の「設計書」も問題文にありません。想像ですね。ノーヒント問題。第一問から出してくるのはイジワルだなぁ。＞長文問題を解く６テクニックNote（６）

解く経緯。

私の解答は「登録申請にある担当者に、URL一覧を提出するよう要請する」28文字。

担当者から情報入手の手段を考えます。序盤の「登録申請」にURL情報はないか。問題文にヒントなければリアル作業を想像してOK。担当者に問い合わすのは確実で現実的。

2頁「Webサイトの立ち上げ時は、～Webサイトの概要, システム構成, IPアドレス, 担当者などの登録申請」では、ファイル構造が含まれているとは思えませんでした。また、Web立ち上げ後に追加したページもあるでしょう。

よって、担当者に連絡するって最終手段を解答にしました。ただ、問題文と絡めておきたいので「登録申請」「担当者」を組み込みました。

他にも「Webサイトのファイル名とディレクトリ構造の情報を得る」27文字。文字数制限で「担当者から」を入れられませんでした。「Webサイトのディレクトリ構造とファイル一覧を入手する」28文字。

次節で解説しますが、ファイル名とディレクトリからURLが決定されます。

補強 | Webサーバの公開ディレクトリ

私の別解の意味を解説します。
「Webサイトのファイル名とディレクトリ構造の情報を得る」
「Webサイトのディレクトリ構造とファイル一覧を入手する」
これらが何故正しいのか。

Webサーバの仕組みを知っておきます。＞【セキスペに出た】Linuxの基本知識（Webサーバのディレクトリ構造）Note

過去問で、「ディレクトリトラバーサル攻撃」で役立った実績があります。＞SC令和4年春午後1問2設問2(1)ディレクトリトラバーサル攻撃のNote

私たちは「http://www.～/index.html」とアクセスしますが、実際はWebサーバの「/var/www/html/index.html」にアクセスしています（ソフトウェアがApache2の場合）。

「http://www.～/org/index_org.html」ならWebサーバの「/var/www/html/org/index_org.html」。orgフォルダ中のファイルを指します。

＞【セキスペに出た】Linuxの基本知識（Webサーバのディレクトリ構造）Note
＞SC令和4年春午後1問2設問2(1)ディレクトリトラバーサル攻撃のNote

補強 | SQLインジェクション

次の設問2(1)abに備えて「SQLインジェクション攻撃」を復習します。

入力した文字列でSQL文を作るのですが、入力文字列をSQL文的に小細工して、不正利用を試みます。＞【合格ノートの裏表紙】73個の攻撃手法（SQLインジェクション）Note

上図青文字は「ペン」を入力した時のSQLと本来の動き。赤文字は小細工した入力で、1=1が常に真、orで結合してるのでWhere句が常に真となり、全データが表示されてしまうのを示しています。

＞SCH28秋AMII問17（過去問道場様）
＞SCR3春AMII問12（過去問道場様）

設問2(1)ab | 文法見て、結果を考える

正答は、
a：イ（' and 'a'='a）
b：ウ（' and 'a'='b）

正解してください。

今回の問題。よく分からなければ、ひとまず全パターン考えます。

ア：文法エラーで検索結果10件はでない、0件も多分でない・エラーなので
イ：SQL通る
ウ：SQL通る
エ：SQL通る。単に検索文字列が長くなっただけで、SQLインジェクションの試験になっていない。意味なし。
オ：SQL通る。エと同じ。意味なし。

ウはSQL通りますが、'a'='b'が絶対偽、andで論理積になっているのでWHERE句は常に偽。該当結果は0件に。

エもSQL通り、「manual」が該当すれば検索結果は出ます。

設問2(2)c, (3) | XSS動作と画面遷移

正答は（2-3）
模範解答は「アンケート入力1からアンケート入力2に遷移するURLの拡張機能に、アンケート確認のURLを登録する」

少し難しいですが、少し考えれば解釈できます。正解しましょう。

空欄c, 下線②の話の流れ。「スクリプトが二つ先の画面で～出されていました」がXSSが成立した現象。それを空欄c, 下線②で再設定する話。図1で設定を探します。

図3を見ると、1番目で入力したら3番目で出力、2番目で入力したら4番目で出力されます。これらの繋がりも意識した検査が必要という話。

使う機能を図1から探します。(2-3)「設定すると、診断対象URLの応答だけでなく、別のURLの応答も判定対象になる」。

言葉の意味。「診断対象のURL」とは入力画面のこと、その応答は画面が表示されたこと。「別のURLの応答」に出力画面を設定したら、入力画面・出力画面の両方を関連付けて診断できる話。

よって、1番目と2番目のURLについいて、(2-3)「拡張機能」を設定する主旨。

私の解答は「アンケート入力1と2のURLに、診断対象URLの拡張機能設定で、アンケート確認とアンケート送信完了のURLを各々登録する」60文字ぴったし。図1(2-3)の設定手順をベースに、図3の画面名を入れて作文しました。

個人的には「各々」を入れられたのが良かった。入力1と確認、入力1と送信完了の画面が対応しますから。

ただ「アンケート入力1」「アンケート入力2」とマトモに書くと文字数消費が激しいので、簡略化しました。他にも「アンケート確認/送信完了」でも通じると思います。

設問2(4) | かなり考えるかな

模範解答は「トピック検索結果の画面での検索結果の件数が1以上になる値」。

私も考え込みましたが発想はできました。問題点の切り分け（SQL構文, SQLインジェクション攻撃, 実データ）が必要でしたね。実データまで考える問題でした。

結構考えましたね。なんでB社で10件でて、Zさんでは0件なんだろうと。

SQLの【空欄a】は同じなので、manual, xyzの違い。キーワードで該当記事がなかったと頑張って考え至ります。

よってテキトーなキーワードではなく、ちゃんと検索結果がでるようなキーワードにする必要がある。

私の解答は「トピック検索で該当結果が出る言葉をkeywordに設定する」29文字。40文字から11文字下、まぁ良いでしょう。

補強 | そもそもなんでAND？

攻撃者はORにするはず。なぜなら、1=1など常に真になる式とORすれば、検索ワードに無関係に全データを抽出できるので。

今回の問題のSQLでは、AND以降があってもなくても件数は変わりません。結局はmanualやxyzをキーワードにしたデータが表示されるだけ。

今回はテスト。ORだと全件でてテストに時間がかかるので、ANDにして10件程度に抑えたのかなぁ。件数が出れば、SQLインジェクションが成立したか診断はできるので。

もう一つ。過去問で不思議だったケースがありました。

SQLインジェクションは、文字列への小細工が普通。しかし数値検索で出題。「”」「’」小細工をしないから面白くないけどなぁって。＞SC令和7年春午後問2設問1の解説

下図の通り、項目が数値型なので、「'」小細工をするとSQL構文エラーになる珍しい例。小細工せず「and 1=1」を追加するだけで攻撃成立。面白くないです。

宜しければ併せて演習してください。攻撃テーマを揃えて連続演習するのもテですから。＞SC令和7年春午後問2設問1の解説

これら2例は、問題を出すためにアレンジされた面が強いかも。大抵のデータベースは文字列検索ですし、大抵の攻撃はORで全データを抜き出すと思って良いかと。

設問3(1) | 動的=毎回変わる

正答は
ウ（検索結果）
エ（新規会員情報入力）

必ず正解してください。

下線④は「URLの自動登録機能を使用した」時、設問文「URLが登録されなかった」から、下線④後「手動で登録した」話。

では「自動登録機能」を調べに図1の2(2-1)へ。注1は、URLに検索ワードを含める、という意味。

例えば「https://www.google.com/search?q=検索する言葉」のように「q=～」で組み込んで、ブラウザからサーバへデータを伝える手法。所謂「GET」メソッド。「POST」とよく出ます。＞GETとPOSTのNote（ネスペ）

次は表2。「自動登録」と「手動登録」の比較記載あり。自動登録の範疇と手動登録のメリット/必要性を発見できるかな。

表2左「自動登録機能」。「登録が漏れる場合がある」のは「URLが～動的に生成されるような場合」。つまり、URLが変わる系の画面。毎度変わっちゃうなら、URL発行後にURL手動登録するしかないですね。

選択肢の画面名は図4と一致。URLが変わる系を探します。いい感じに注記がたくさんありますね。ガッツリ解く時にはヒントの山。＞長文問題を解く６つのテクニックNote（２）

注記4「次の画面に遷移するURLがJavaScriptで動的に生成される」。

「よくある質問検索」画面で入力されたキーワードに応じて「検索結果」画面のURLを発行する感じですね。googleで検索した後のURL見てみて下さい。ごちゃごちゃアレンジされてますよね。

よって、ウ（検索結果）。

もう一つ。

注2「電子メールで登録された登録URL」。登録申請したら、ランダムなURLが発行されてメールに送付、申請者本人ならメールのURLにアクセスできる。本人確認の一環。

よって、エ（新規会員情報入力）。

日常経験が生きます。「新規会員登録申込み」画面ででメールアドレスを入力したら、発行されたURLがメールで送られてきて、URLをクリックしたら登録が進む仕組み。普段のWeb登録で経験ないでしょうか。私は先日Steamの登録で体験しました。＞長文問題を解く６つのテクニックNote（６－２）

設問3(2) | 「回数」が異彩放ってる

模範解答は
遷移（A）：同じアカウントで連続5回パスワードを間違えるとアカウントがロックされるから
遷移（C）：キャンペーンは1会員に付き1回した申込みができないから

必ず正解してください。問題文のヒントどころか答えそのまま。

下線⑤は「パラメータが同じ値であるリクエストを複数回送信するとエラー」になる話。これらのキーワードで探します。パラメータを送る/複数回なのが異彩。

図1(3-1)。複数回送信したら拒否されるURLへの対応機能。でも、対応策なので一旦保留。今後「どのような機能を使うか？設定するか？」と問われたら解答に使えます。▼印します。＞長文問題を読むテクニックNote（３－３）

探し続けて、またまた図4の注記。

注記1「1回だけ申込みできる」。テストで複数回できなさそう。図1(3-1)機能の設定が必要。

注1「パスワードを連続5回間違えるとアカウントがロックされる」。セキュリティ的に良いですが、侵入テストの時間がかかりますね。図1(3-1)機能の設定が必要かも。

設問3(2)「2組み挙げ」に合う感じに2つ見つかりました。

設問4(1)d | HttpOnlyだけじゃなく

模範解答は「HTML内のスクリプトからcookieへのアクセス」

難しいかもですが、間違えちゃったら午後1対策が不充分かもしれません。今後は必ず正解してください。次節の4つの設定を完璧に理解してください。

【空欄d】までの話。XSSによってWebブラウザでスクリプトが実行され、CookieにアクセスされCookieの内容を窃取されるので、【空欄d】で禁止する。

次節で纏めますが、HTTP/HTTPSのセキュリティ絡み「HttpOnly」「Secure」「SameSite」「HSTS」はしばしばテーマになります。

Webのセキュリティ設定

Webページ/HTTP通信でのセキュリティ設定は、以下4点を押さえてください。

• HttpOnly：Cookieの適用範囲をHTTP, HTTPSの時のみにする。転じてJavaScriptなどからCookieへのアクセスを制限する。

• Secure：HTTPSの時のみCookieを送付する。

• SameSite：別のドメインのサイトに遷移した際に、クッキーを送らない設定。※細かい設定がSC午後に出た実績アリ。

• HSTS：PCがWebサーバにHTTPで接続されたら、Webサーバが暗号化されたHTTPS接続に切り替えるよう強制する。

＞参考Web（サイバーマトリックス社）

HttpOnly：JavaScriptからCookieへのアクセスを制限する

JavaScriptはWebブラウザで実行されてしまいます。つまりcookieにブラウザ経由でアクセスし、持出されるリスクあり。

HttpOnlyにて、HTTP/HTTPS通信だけがCookieにアクセスできるよう制限。サーバとの通信以外でcookieへのアクセス対策。

Secure：盗聴によるCookie窃取の対策

これで、暗号通信HTTPSの時だけCookieを送ります。

午前問題御用達の出題状況
＞【登録セキスペ２問】CookieのNote
＞【ネスペ１問】CookieのNote

SameSite：XSRF対策としてのCookie送付先の制限

下表みたく、ガチめに出てますよ。

＞【登録セキスペ】令和6年春午後問3の解説

HSTS：HTTPS通信に強制切替する

＞【登録セキスペ２問】HSTSのNote
＞【登録セキスペ】令和6年秋午後問4の解説

設問4(2) | XSSの王道は偽表示/偽Web誘導

模範解答は「偽の入力フォームを表示させ、入力情報を攻撃者サイトに送る手口」

何らかの作文はしてください。

下線⑥「XSSを悪用した～攻撃」。今までにヒントはなかったので、勝手に考えてOK。模範解答は、XSSで偽入力画面を表示して情報を窃取する代表格。

他にも、スクリプトを実行した「情報を盗む攻撃」を考え付けば書いてOKです。採点者に伝わるように40文字制限で頑張ります。

例えば「偽サイトに誘導」させて、個人情報を入力させるでもOK。イニシエから最新まで通用する知識。
＞SC平成24年春午後1問2の解説Noteより
＞SC令和6年春午後問2の解説Noteより

IPAの図解と対策をざっくり見ると良いかも。基本的な仕組みと対策は勿論「Content-Typeの指定」「X-XSS-Protection」「Content Security Policy (CSP)」など、なーんか今後出そうは雰囲気のものも。

覚えるかはさておき分類もある模様。「Reflected XSS（ユーザーにクリックさせる）」「Stored XSS（Webに仕込む）」は今までで知ってる手法。「DOM Based XSS」はWebブラウザ上でスクリプトを生成。出るかもしれません（エムオーテックス社）。

と思ったら、SC平成30年午後2問1に出てました（採点講評）。

設問5(1) | ひとまず素直に書く

模範解答は「group_codeが削除されているリクエスト」

必ず何か書いて下さい。図5, 6を比較して素直に書いてください。理解できなくても、「分かった範囲の事実」は書いて下さい。逆に勘で解釈/蛇足しては失点するので注意。

下線⑦は「細工されたリクエスト」の話。

図6が細工された方、図5が細工されてない正常リクエスト。図5, 6を見比べると「group_code=～」が、図5にあって、図6になし。

以上で模範解答には到達します。

過去問演習なので、理解を深めます。

「group_code」を探すと、またもや図4注記3。「会員Nが所属しているグループを識別するためのgroup_codeというパラメータ」。

グループの識別がなぜ必要か、を探す。

7頁末「申込ができるキャンペーンが会員の所属しているグループによって異なる」。にも関わらず、下線⑦後「会員Nが本来閲覧できないはずのキャンペーンへのリンクが表示され～申し込むことが可能であった」。

「本来閲覧できないはず」とは別グループ向けのキャンペーンという意味。

たぶんプログラムのミスですね。group_codeがあれば正しく動きますが、group_codeがなければ全部表示しちゃう（本来はエラーを出すべき）。

補強 | HTTPリクエスト/レスポンスの詳細

図5の理解を深めます。

リクエスト | GETとPOST

図5「リクエスト」は、クライアントからサーバへの通信。図5では<<campaignSearchのwebページ見せて>>とリクエストしてます。その際に、CookieでSessionID（自分がだれかを示す整理券番号）とgroup_code（所属グループのID）を送ってます。

図5では「POST」メソッドで送りました。HTTPリクエストのボディにデータを載せて伝送します。

上図下に書いたのは「GET」での送り方。設問3(1)のURLにデータを載せたのは「GET」でしたね。

HTTP/HTTPSでサーバへデータを送るのは「GET」「POST」の2種類が代表格。どちらか分からなくなったら<<ポストに投函する時は封筒で包むから、POSTはデータ内に入れて外から直接見えない方だな>>と、私は覚えてます。

レスポンス | ステータス/ヘッダ/ボディ

図5下のレスポンスは、サーバからの返事。
※太字は午後問題に出題実績あり。

• ステータス行：例えば、200番は正常終了、404番は「Not Found」要求されたページが存在しない、などなど。

• ヘッダ：例えば、Set-Cookie：クライアントにCookieをセット、X-Forwaded-For：送信元IPアドレス（プロキシやLB特定可能）

• ボディ：データ。今回はWebページのhtmlコード。

図5注記2「レスポンスはレスポンスボディから記載している」とは、ステータス行やヘッダを省略してますよって意味でした。

上図下が、htmlコードをWebブラウザが解釈した結果。hタグは見出し。aタグはリンクを作ります。他にも、liは箇条書き、imgは画像など色々あります。

設問5(2)e, f | パラメータを探すだけ

正答は
e：JSESSIONID
f：group_code

分からなくても1問は拾ってください。候補が3つしかないので、何か1つ選んで両方に書けば1問拾えます。

図5, 6からパラメータ変数を探します。

【空欄e】は「ログインしている会員Nを特定」できるもの。

またもや図4注1「ログイン時に発行されるセッションIDであるJSESSIONID」より、ログインに成功したら会員に発行されるので会員を特定できます。

【空欄f】は「会員Nが所属するグループ」の値が入っているので、group_code。設問5(1)で理解済みの図4注記3「会員Nが所属しているグループを識別するためのgroup_codeというパラメータ」。

仮に分からなくても、「JSESSIONID」「group_code」「keyword」から勘で書くこともできますね。パラメータがそれぐらいしかないので。

設問6(1) | 序盤にヒントある系

模範解答は「グループ各社で資産管理システムを導入し、Webサイトの情報を管理する」

難しいですが、午後1の演習経験があれば正解できます。終盤問題のヒント/答えが問題文序盤にあるのはアルアル。＞長文問題を解く６テクニック（５問題序盤）Note

前問の設問5の【空欄f】から3～6行しかなく、尻切れ感で問題文は終わりますね。

この状況で、これから設問6(1)(2)の2問。

「ノーヒント問題」か「問題文序盤にヒント隠す系」と疑います。後者だったら良き、前者ならちょいメンドウ。
＞長文問題を解く６テクニック（６ノーヒント）Note
＞長文問題を解く６テクニック（５問題序盤）Note

模範解答は「問題文序盤に隠す系」でした。

設問文に「A社で取り入れている管理策」を探して考えます。「管理策」がキーワード。

2頁序盤。「A社では、資産管理システムを利用し、IT資産の管理」「Webサイトの立ち上げ時は、～登録申請が必要」。この辺りから作文します。対策はA社だけなので、グループ各社にはまだ適用していません。

模範解答は理解できます。「グループ各社で資産管理システムを導入し、Webサイトの情報を管理する」。

私の解答は「Webサイトの立ち上げ時に、資産管理システムへの登録申請を行うようにする」37文字。問題文を流用します。省力できますし、問題文に即してますから、あれこれ付け加えるより良いです。

設問6(2) | 日常経験から「一本化」を発想

模範解答は「B社への問合せ窓口をA社の診断部門に設置し、窓口が累積した情報をA社グループ内で共有する」

頑張って何か書いて下さい。午後1演習が充分なら「ノウハウまとめかな」「一本化かな」と自然に発想できます。私は後者。

蓄積した情報をグループ内で共有するのは、QAA（よくある質問）や手順書/ベストプラクティス的なノウハウ集だと思います。

今後のために解答カードに持っておきます。模範解答は流用しましょう。<<おめーが模範解答にしたんのを、×にできねーだろぉ>>と。＞長文問題を解く６テクニック（６ノーヒント）Note

私は、窓口の一本化を発想しました。

例えば学校でセミナーの感想を学生さんから頂きますが、先方にはある程度まとめますね。同じ感想、同じ系統の感想があるので、まとめて件数と一緒にお伝えします。

私の解答は「問合せを一旦A社に集めて、整理統合してB社に問い合わせる」28文字。まぁ通じるかなと。

「セキュリティ推進部」とか「同じ/似た質問を統合して」など、より具体的に書いても構いません。

「ノーヒント問題」。想像や日常経験からで構いません。＞長文問題を解く６テクニック（６ノーヒント）Note

読みテクの確認

長文問題の読み方/解き方にはコツがあります。
＞長文問題を読む６テクニックNote
＞長文問題を解く６テクニックNote

午後1の演習で全て身につけて下さい。
＞SC午後1の解説Note（最新～平成24年）
※PG問題の解説は作りません。

以下では<<この問題で、これやった？>>と「午後力」を2点だけ確認します。午後1演習をしっかりしていれば、必ず出来ているはずです。

表1と図1はざっくり見出しだけ

この問題は解き始めが遅いです。

設問1の下線①表2は、4頁目。3頁読み込まねばなりません。

解き始めて流れに乗りたいので、ざっくり概要を把握しつつ到達したいです。少し訓練が必要ですが、表（文字だらけ）をスキップします。＞長文問題を読む６つのテクニックNote（６）

表は、どうせ解く時に詳しく見ます。

文字だらけの表なんて、覚えきれません。<<解き始める前の読み>>で目的もなしに全部読んでも、どうせ読み返します。だったら、どんなことが載ってて、気になる点（機器など）だけ少し見て、表前の話と表後の話が繋がればOKとします。

逆に図は必ず見ます。

むしろ問題を選ぶ時点ですら図は見ます。ネットワーク図や画面遷移図を見て、理解できそうか見積もります。＞長文問題を読む６つのテクニックNote（５）

しかし今回の図1も文字だらけ。表と同じくスキップします。まぁ項目を見て、<<色んな機能が書いてあるから、今後使うんだろうなぁ>>ぐらいで。

「時間がかかる」に▼印できたか

8頁終盤「確認の解答まで1週間掛かった」には、▼印をしたでしょうか？＞長文問題を読む６つのテクニックNote（３－３）

セキュリティで即時性は大事です。「時間が掛かった」や「連絡先が分からなかった」などは、必ず今後改善せねばなりません。ほぼ確実に問われるので、すぐに▼印をしておいてください。

他にも2頁中盤。「診断の実施有無や内容はグループ各社の判断に任せている」。絶対にインシデントの原因になるのに決まってますよね。必ず▼印です。<<いや､全社的に統一して管理せえよ>>とツッコミましょう。

まとめ

お疲れ様でした！

初見はともかく、復習しちゃえば<<実は、そんなに難しくない問題だった>>と感じたら実力がついてます。

理不尽な問題がないですね。設問1, 6(2)はノーヒントとはいえ、日常経験から充分想像できます。

あとは「４つの補強」。

• Webサーバの「ディレクトリ構造」

• SQLインジェクションの「'」小細工

• Webセキュリティの「4属性」

• HTTPリクエストとレスポンスの「データ構造」

必ず今後に役立ちます。なぜなら既に過去問に出ているので。

午後2は、午後1演習で身に付けたスキルを活かし、長時間の集中力/体力を培うための演習です。午後1を念入りに、午後2は体力づくりに少なめの演習で構いません。午後1で「午後力」を確認してくださいね。

ではまた、別のNoteでお会いしましょう。でわでわ。

＞SC午後1の解説Note（最新～平成24年）マガジン
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法