平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16

サンドボックスは、あやしいプログラムをいきなり家全体に入れずに、まずは“専用の小部屋”で動かすような仕組みだよ。その小部屋では、使えるAPI、読めるファイル、アクセスできるネットワークなどを制限しておく。だから、もしプログラムが変な動きをしても、被害がシステム全体に広がりにくくなるんだ。

この問題で問われていること

ポイントは、サンドボックスが“通信内容を見て攻撃っぽいか判定する仕組み”ではなく、“プログラムをどんな環境で、どこまで動かしてよいかを制御する仕組み”だと見抜くことだよ。WAFのシグネチャ判定や、SQLインジェクション対策のプレースホルダとは役割が違うので、そこを切り分けよう。

Sandboxing

a sandbox confines a program by limiting accessible resources and permitted functions so its impact does not spread system-wide

isolate execution\nlimit resources\nlimit available functions\ncontain impact

確認ポイント

• 実行環境の隔離と制限を見る。
• 通信遮断ルールそのものではありません。
• 影響閉じ込めが狙い。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これは怪しい言葉や攻撃っぽい通信を入口で見張って止める“警備員付きの受付”のような仕組みで、WAFの説明だよ。サンドボックスは通信を入口で止めるというより、プログラムを小さな囲いの中で動かして被害を閉じ込める仕組みだよ。

選択肢イ

これは不正解だよ。サンドボックスは、危ないかもしれないプログラムを“囲いの中の砂場”で遊ばせて、外に迷惑をかけないようにする仕組みなんだ。複数の仮想マシン同士を操作できるようにする話ではないよ。むしろ勝手に触れないように分ける考え方に近いよ。

選択肢ウ（正解）

これは正解だよ。サンドボックスは、子どもを砂場の中で遊ばせるように、プログラムを限られた場所・限られた道具だけで動かす仕組みなんだ。もしそのプログラムが悪さをしても、家全体、つまりシステム全体に被害が広がりにくくなるよ。

選択肢エ

これは不正解だよ。これはSQL文にあとから値を安全にはめ込む“空欄付きの注文票”みたいな仕組みで、プレースホルダやバインド機構の説明だよ。SQLインジェクション対策には関係するけど、プログラムを隔離して動かすサンドボックスの説明ではないよ。