SC情報処理安全確保支援士試験午後Ⅱ

平成29年度秋期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

昨今，Miraiボットネットに代表される，今までに類を見ないほど大量のIoT機器から成るボットネットによる，DDoS攻撃が発生している。ネットワークカメラやインターネットルータ，ネットワークストレージなどのメーカが，これらへの対策として販売停止，あるいはファームウェア更新を実施する必要に追われたのは記憶に新しい。IoTマルウェアの感染手法はITシステムにおいては古典的であるとも言えるが，ITシステムにおいては常識になっているセキュリティ対策が，IoT機器では実施されていないことが多いという点と，IoT機器の脆ぜい弱性が悪用されて，大規模な攻撃が発生したという点で，注目に値する。本問では，IoTシステムについて，ネットワークカメラを使ったビデオ監視システムを題材に，セキュリティ検査を実施し，セキュリティ対策を立案する能力を問う。

解き方のヒントを見る

問01：IoT機器を“買ったままの鍵”で使わないための守り方

ポイントは、カメラを玄関に置くなら、ドアも鍵もちゃんと確認しようね、という話だよ。HTTPのまま通信したり、初期ID・初期パスワードのような“誰でも知っていそうな合鍵”を残したりすると危ない。端末そのものを認証する、利用者番号を加えて本人確認を強くする、認証失敗が全体で増えていないか見張る、といった複数の守りを重ねて防御するのが大事だよ。

この問題で問われていること

この問題では、IoT機器ならではの“最初から入っている設定”や“運用中に起きやすい弱点”を踏まえて、何をどこで守るべきかを考えるよ。カメラ本体は何を確認するのか、アプリ側はどんな認証を担当するのか、鍵情報の共有や管理はどう安全にするのか、といった責務を具体的に整理できるかが問われているよ。

IoT Video System Security

secure IoT video monitoring requires removing debug functions、 verifying certificate paths、 using client certificates、 resisting credential stuffing、 and making vulnerability assessment a delivery condition

remove debug code\nverify certificate paths\nuse client certificates\nwatch authentication failures\nrequire security test pass

確認ポイント

デバッグ機能を残したまま出荷しない。
証明書パス検証を無効化しない。
受入条件に脆弱性検査を入れる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fqpm-att/2017h29a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成29年度秋期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成29年度秋期 情報処理安全確保支援士 午後Ⅱ 問1

問題