SC情報処理安全確保支援士試験午後Ⅰ

平成27年度春期情報処理安全確保支援士午後Ⅰ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

近年，ミドルウェアの脆弱性やWebアプリケーションソフトウェアの脆弱性を狙った攻撃被害の他に，Webサイトへの不正ログインの被害が多数報告されるようになった。こうしたWebサイトへの不正ログインに対してセキュリティ対策を講じるには，Webサイト管理者と利用者のそれぞれが脅威を正しく理解する必要がある。本問では，衣料品のショッピングサイトにおける不正アクセスを題材に，パスワード攻撃に対する正しい理解と，その脅威に対して適切な対策を講じる能力を問う。

解き方のヒントを見る

問03：パスワード攻撃は“攻め方の違い”で見分けよう

パスワード攻撃には、流出したハッシュ値と照合して元のパスワードを推測するもの、同じIPから短時間に何度も試すもの、たくさんのIPに分散して少しずつ試すもの、別サイトで漏れたID・パスワードを使い回してログインを狙うものがあるよ。泥棒が正面玄関を連打するのか、仲間を分散させるのか、盗んだ合鍵を試すのかで対策が変わるイメージだね。それぞれの攻撃の特徴を見て、適切な防御策を選ぼう。

この問題で問われていること

攻撃の種類ごとに、何を観測すれば気づけるのか、どんな対策が効くのかを切り分けられるかがポイントだよ。

Password Attack Patterns

countering fraudulent logins requires distinguishing hash-cracking、 single-IP brute force、 distributed attempts from many IPs、 and credential stuffing with leaked credentials

hash cracking\nrate by same IP\ndistributed attack from many IPs\ncredential stuffing

確認ポイント

攻撃類型を混同しない。
同一 IP 監視だけでは不十分と見る。
他サイト流出資格情報再利用を押さえる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成27年度春期情報処理安全確保支援士試験午後Ⅰ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

平成27年度春期 情報処理安全確保支援士 午後Ⅰ 問3

問題