SC情報処理安全確保支援士試験午後Ⅰ

平成29年度春期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webサイトは安全な状態で公開されることが望まれているので，脆ぜい弱性対策を積極的に進めている企業が増えてきている。しかし，開発者やシステム管理者の，Webアプリケーションソフトウェアの脆弱性に対する理解が不足しているために，対策しているつもりであっても脆弱性が存在した状態でWebサイトが公開されている場合がある。本問では，クロスサイトリクエストフォージェリを題材に，Webアプリケーションソフトウェアに潜む脆弱性を理解し，対策が適切に実装されているかを評価する能力を問う。

解き方のヒントを見る

問02：見た目だけじゃなく、ログイン記録と画面の守りをちゃんと確認しよう

この問題のポイントは、画面上のログイン回数だけを信じずに、実際のログと照らし合わせて確認することだよ。さらに、confirm は「本当に実行していい？」と確認する役、submit は「実際に送信する」役、という違いも押さえよう。タグの属性を制限する話は、火の粉が広がらないように防火扉を置くイメージで、XSS の影響範囲を広げないための対策なんだ。

この問題で問われていること

一見きちんと作られている Web 画面でも、画面遷移の制御やトークンの仕組みが本当に効いているかを見抜けるかが問われているよ。見た目ではなく、裏側の動きまで確認する意識を持とう。

CSRF Control Verification

effective CSRF protection combines unguessable hidden values、 enforced confirmation flow、 and checks against direct submission that skips intended screens

use unguessable hidden token\nrequire confirmation step\nblock direct submission\nreview session abuse conditions

確認ポイント

トークン値は利用者が知り得ない値にする。
確認画面を飛ばす経路を塞ぐ。
XSS との連動も確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fzx1-att/2017h29h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fzx1-att/2017h29h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fzx1-att/2017h29h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成29年度春期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成29年度春期 情報処理安全確保支援士 午後Ⅰ 問2

問題