平成28年度春期 システム監査技術者 午前Ⅰ 問14

被害範囲を見極めるための視点

この分野では、事象が起きた後に影響を広げないための考え方を、被害範囲の捉え方に絞って整理し、各案が影響の限定という目的とどう結び付くかを丁寧かつ慎重に読み取ります。

この問題で問われていること

確認の中心は、個別の手段を暗記することではなく、各案が影響を限定する方向を示しているかを、問題文の条件に沿って対象と作用範囲の捉え方から落ち着いて比較することです。

視点

被害を限定する視点に絞り、各案がどの範囲を対象にし、影響の広がりをどう捉えているかを落ち着いて整理します。

確認ポイント

• 各案が対象とする影響の範囲を、問題文の条件に沿って確認する
• 影響が広がる可能性をどの程度まで想定した表現かを確認する
• 示された考え方が、被害を限定する目的と矛盾しないかを確認する

正解

エ

解説

セッションを乗っ取られた場合、攻撃者は正規利用者と同じセッションを利用できます。そのため、重要情報を送信する直前にパスワードによる利用者認証を行い、追加の本人確認を実施する対策が適切です。

理由

攻撃者がセッションIDを利用している場合、セッションが有効であることだけでは正規利用者本人であると判断できません。重要情報を送信する直前にパスワード認証を行えば、セッションIDとは別の本人確認を追加できます。

比較

通信の暗号化は通信経路の盗聴や改ざんへの対策です。CookieやURLへのセッションID設定はセッション識別方法に関するもので、既に乗っ取られたセッションを使う攻撃者への追加確認にはなりません。

選択肢ア

これは不正解だよ。通信の暗号化は盗聴や改ざんの防止には有効だけれど、すでにセッションを乗っ取った攻撃者が、そのセッションを使ってアクセスする状況自体は解消しない。設問の直前対策としては不十分だよ。

選択肢イ

これは不正解だよ。発行済セッションIDをCookieに格納することは、セッションを識別する方法の説明にすぎず、攻撃者が取得済みのセッションを利用することを防ぐ追加確認にはならない。重要情報送信直前の対策として適切ではないよ。

選択肢ウ

これは不正解だよ。発行済セッションIDをURLに設定しても、攻撃者に乗っ取られたセッションを本人のものとして扱う状態は変わらない。URLに識別子を含める方法は、重要情報を送信する直前の利用者確認にもならないよ。

選択肢エ（正解）

これは正解だよ。セッションが攻撃者に乗っ取られていても、重要情報を送信する直前にパスワードによる利用者認証を行えば、セッションIDだけでは足りない本人確認を追加できる。個人情報の漏えいなどの被害拡大を抑える対策として最も適切だよ。

学習のポイント

重要操作時の再認証と、通信保護・セッション管理の役割を区別して学習しましょう。