SC情報処理安全確保支援士試験午後Ⅱ

平成28年度秋期情報処理安全確保支援士午後Ⅱ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

本問は，情報システムを運用する組織における脆ぜい弱性対応に関する問題である。昨今，広く利用されている機器において重大な脆弱性が連続的に報告されることがあり，機器を利用する側としては，緊急性を要する脆弱性にどのように対処するのかが問われるケースが増えてきた。個別の脆弱性に場当たり的に対処するのでは非効率であり，脆弱性対応を行う作業者の負荷も考慮し，迅速かつ的確に脆弱性に対応する必要性が増している。本問では，脆弱性が及ぼす影響を技術的に判断する能力，及び頻発する脆弱性への組織的対応方法に関する知識を問う。

解き方のヒントを見る

問02：Shellshock対策は“壊れた鍵穴”を全社で急いで見つけて守る話だよ

まずは社内にある対象ソフトウェアのバージョンをサッと洗い出そう。Shellshock は、攻撃用の文字列が Bash で評価された瞬間に悪さをされるタイプの脆弱性だよ。だから、「どこでその文字列が実行され得るのか」を見極めるのが大事。すぐに全部へパッチを当てるのが難しい場合は、玄関前に警備員を置くイメージで、WAF のシグネチャ防御を暫定的に使おう。さらに、外部サイトとの通信はプロキシで見張って、怪しい通信を止めることで、情報漏えいや侵入のリスクを下げるんだ。

この問題で問われていること

この問題では、単に個別サーバへパッチを当てるだけでなく、会社全体で『見つける、優先順位を付ける、暫定的に守る、通信を監視する』という緊急対応の流れを設計できるかが問われているよ。

Coordinated Response to Critical Vulnerabilities

organizational vulnerability response requires quickly identifying affected versions、 understanding exploit payloads such as Shellshock、 and balancing temporary WAF protection with patch deployment

identify affected versions fast\nunderstand exploit payload\nWAF can be temporary mitigation\nmonitor and block outbound attacker communication

確認ポイント

対象バージョン把握を最優先に置く。
攻撃文字列の意味を読む。
WAF は恒久対策ではなく暫定策と見る。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000g6fw-att/2016h28a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000g6fw-att/2016h28a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000g6fw-att/2016h28a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成28年度秋期情報処理安全確保支援士試験午後Ⅱ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成28年度秋期 情報処理安全確保支援士 午後Ⅱ 問2

問題