【登録セキスペ】平成31年度春期午後2問2の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ平成31年度春期午後2問2」の解説をします。

模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。

設問1が大丈夫だった方は、8割ぐらい取れると思います。過去問演習をしていれば特段理不尽はありません。

設問5(5)圧縮ファイルを展開した時のファイル書き込みに反応してリアルタイムスキャンが発動するのだけ、発想がキビシイかも。

私は、営業秘密3要件は言葉で覚えてましたが、「～性」で覚えてませんでした。用語問題・選択肢の半分が分からない時は、失点確率が高いので私は退くかも。幸い問1もPG系じゃないので、選べるんですよね。＞平成31年度春期午後2問1の解説Note

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。

※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法

読み

読みながら気になった点があったので、逐次挙げていきます。

組織体制はあまり絡まないが

最初13頁。組織が立地的にも部署的にも複雑な印象。

あまり解きに大きく絡むことはないのですが、一瞬樹形図を描こうかと思いました。図1見ればまぁ納得。良かった。やはり図は一瞬で把握できて良いですね。＞長文問題を読む６のテクニックNote（５）

社内/社外管理のどちらか

13頁中盤「取引先が参加しているメーリングリスト」。

私の読解が悪いのか"メーリングリストの管理者主体が分からないなぁ"と思いました。

他社が管理しているメーリスに自社営業/設計部員が参加しているのなら、漏えいや感染の恐れがありますし。「取引先が参加している」ところに営業/設計部員がお邪魔してるニュアンスに感じます。

一応、怪しいので▶印。マーキングやってて困ることはないので。お金と一緒で、なくて困ることはあっても/あって困ることはありません。＞長文問題を読む６のテクニックNote（３－３）

設問1abc | 選ぶ前に判断する

正答は
a：秘密管理
b：有用
c：非公知

私は営業秘密の3要件を「～性」で覚えてませんでした。初っ端から失点ハンデはキツイので問1に切り替えた方が良いです。

• 秘密として管理されている（秘密管理性）
  施錠付キャビネット、秘密ラベルを貼るなど

• 公然と知られていないこと（有用性）

• 事業に有益であること（非公知性）

また昨今は「限定提供データ」の限定提供性・相当蓄積性・電磁的管理性がIパスに出てます。＞【Iパス】不正競争防止法Note

設問2(1)d | メールサーバの基礎セキュリティ

正答は「オープンリレー」

中継すると送信元が自サーバになるので、攻撃者に悪用（踏み台）されてしまいます。”この手紙をあの人に届けて”と言われて届けてあげたら、悪口の手紙で自分が責められてしまうような。＞平成28年春午後1問2設問1aの解説Note

メールサーバと云えば"オープンリレーの禁止"と"外部/内部メールサーバに分ける"のがセキュリティで最初に考えるべきこと。＞サーバの配置まとめNote

設問2(2) | 疑問が残る

正答は「x1. y1. z1. 16 / 29」

下線①前「A社のネットワークからの利用だけが可能となるよう」なので、送信元がA社のIPアドレスなのだけ受ければ良し。

設問文で「ネットワークアドレス」を問われています。ネットワークアドレスは表3。

クラウドTは、A社のグローバルIPアドレスを見るので、DMZ（x1.y1.z1.16/29）。

ただ、後の表4にプロキシサーバ（x1.y1.z1.18）が登場するので、DMZのネットワークアドレスよりもプロキシサーバのIPアドレスで制限した方が堅実だと思うんですけどね。なんでだろ。

図1注記4に「内部システムLAN～DPCからのインターネットアクセスは、プロキシサーバ経由で行われる」なので。メールなんて通常業務は、各部署LANの社員PCでしょうし。

DMZのDNSサーバからメール送信しなくて良いと思いますし。逆に送信できると、漏えい手段を残しておくことになります。

設問3(1)e | DNSサーバの基礎セキュリティ

正答は「x1. y1. z1. 18」

インターネット上のWebにアクセスするために名前解決します。A社ではインターネットにアクセスする時は、必ずプロキシサーバを経由します。よって、DNSサーバが名前解決を受け取るのはプロキシサーバだけ。

プロキシサーバのIPアドレスは表4「x1.y1.z1.18」。

これを学校の先生に置き換えると。普通の先生は「自分の学校のこと（受付の場所や駐車場の案内）」だけ答えます。ところがオープンリゾルバ状態の先生は、外部の人から「他校の住所を教えて」と頼まれると、わざわざ調べて答えてしまう。

一見すると親切ですが危険。なぜなら、外部の人のために調べてしまうと、その先生（＝DNSサーバ）が“踏み台”にされてしまうからです。

DNSサーバが、外部の人のために、インターネットにIPアドレス調べに行ってはダメ。次のDNSリフレクション攻撃の「踏み台」として悪用されるので。＞平成28年春午後1問2設問2cの解説Note

設問3(1)f

正答は「NTP」

【空欄f】後「時刻」に反応。これだけです。簡単な割りに、ちょいちょい出てきますね。＞SC平成30年秋午後1問3設問1の解説Note

強いて2点補強するならば。

自社DMZにNTPサーバを設け、外部NTPサーバから時刻l取得、自社内に時刻を配布する構成あり。＞SC平成30年秋午後1問3設問1の解説Note（図1）

「タイムゾーン」・日本標準時（JST）と世界協定時（UTC）・時差計算（9時間）の出題実績あり。
＞SC平成24年秋午後1問3設問1bの解説Note
＞SC令和3年度春期午後2問1設問1(4)aの解説Note

読み

メーリングリストの危うさ

17頁頭「同報用メールアドレスがあり、～同報される」。

危ないわけではないのですが。多人数に同報できるので、外部から送信されるとフィッシングやマルウェア感染の確率が高まるかなと。私の専門学校でも全教員に送信されるアドレスに、外部から怪しい広告メールが届くことがあります。

また誤送信すると漏えいや混乱が起こることもあるかな。個別のお返事やフランクなメールが全員に受信されるので。研究会用MLで「お詫び」ってメールを流すハメになって恥ずかしいですよ。

ジョーアカウント攻撃

17中盤「初期パスワードには、メールアドレスと同じ文字列を登録」。これ絶対▶印。＞長文問題を読む６のテクニックNote（３－３）

メールアドレスなんて名刺に書くし知られる可能性があり、大抵は名前@ドメインですから予測もし易いです。

なお”ID=PWD”とするパスワードクラック攻撃を「ジョーアカウント攻撃」と云います。＞【Iパス】パスワードクラックのNote

設問3(1)g | 一番マシなのを選ぶ

正答は、ア（AES）

正解できます。消去法で良いかと。

「暗号化アルゴリズムは【空欄g】」なので、暗号化アルゴで強いものを探します。

イ：DESよりはア：AESの方が強固。MD5はハッシュ関数・しかも脆弱。ウ：HMACはディジタル署名に似た類。

エ：ZipCryptoはめちゃ脆弱な暗号化アルゴリズム（wikipedia）。普通のPCで数分で解読できちゃうみたい。知らないでしょうし、私は覚えるつもりないです。

以上より、アかエで迷います。

選択肢は全て調べてから、優先順位をつけて復習します。

• AES：現在推奨されている暗号アルゴリズム。共通鍵で使用。RC4→DES（→3DES）→AES。脆弱性が指摘され最終的にAESが使われるように。Iパス/FEレベルの話。

• DES：AESと同じく暗号アルゴリズム。非推奨。

• HMAC：メッセージ認証コード（MAC）の1つ。ハッシュ関数と共通鍵で作ります。公開鍵と秘密鍵を使うディジタル署名と似ています。

• MD5：

• ZipCrypto：zip形式（圧縮ファイル）の暗号化。脆弱性があるのでダメ。覚えない方が良い。

補強 | より深く出るようになった暗号スイート

最近、安全な暗号化アルゴ/ハッシュ値を選ぶ問題が良く出ています。直近だと暗号スイート（組み合わせ）まで出て、どんどん高難度化して、さすがにスルーできなくなりました。＞令和5年度春期午後2問2設問3(3)の解説Note

使っちゃダメな、ハッシュ関数MD5・暗号化RC4, DESを覚えて置きます。