平成27年度春期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：業務の流れを見える化する図を選ぼう

この問題は、仕事の流れや処理の手順を図で整理するときに、どの図が向いているかを考える問題だよ。たとえば、料理の手順を「誰が」「どの順番で」「何をするか」に分けて書くレシピ表みたいに、役割分担や作業の順番を見やすくする図がポイントだよ。

この問題で問われていること

シーケンス図は主にオブジェクト同士のメッセージのやり取り、クラス図はデータや部品の構造を表す図だよ。ここでは、業務フローや処理手順を整理する図との違いを見分けられるかが問われているよ。

Activity Diagram

an activity diagram represents workflow、 branching、 and concurrent actions in UML

workflow\nbranching\nparallel actions

確認ポイント

• オブジェクト間メッセージ時系列図ではありません。
• 処理フローを表します。
• アクティビティ図を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。アプリにOSの命令を混ぜて実行させる話なので、たとえるなら受付に普通の依頼書を出すふりをして、裏に「倉庫を作れ」と作業命令を書き足すようなもの。これはディレクトリトラバーサルではなく、OSコマンドインジェクションの説明だよ。

選択肢イ

これは不正解だよ。SQL文に攻撃者の文字列を混ぜ込んで、データベースに予定外の命令を実行させる話だね。たとえるなら、注文票の品名欄に「ついでに金庫も開けて」と書き足して、店員にそのまま実行させるようなもの。これはSQLインジェクションで、ディレクトリトラバーサルではないよ。

選択肢ウ

これは不正解だよ。不正に入手したIDとパスワードでログインして、いろいろなサービスを使ってしまう話だね。たとえるなら、盗んだ合鍵でビルに入り、各部屋を使うようなもの。ファイルの場所をたどって本来見えないファイルを見る攻撃ではないよ。

選択肢エ（正解）

これは正解だよ。入力された文字からファイル名を作るアプリに「../」のような上の階層へ戻る指定を入れて、公開されていないファイルを見に行くのがディレクトリトラバーサル攻撃だよ。たとえるなら、窓口で「資料室のこの棚だけ見ていい」と言われたのに、案内板の抜け道を使って上の階の機密書庫まで行ってしまう感じだね。