SC情報処理安全確保支援士試験午後Ⅱ

平成30年度春期情報処理安全確保支援士午後Ⅱ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webサイトのセキュリティは，向上してきてはいるものの，セキュリティインシデントはいまだに後を絶たない。脆ぜい弱性診断の実施や，設計，実装，テスト及び運用のガイドラインの利用といったセキュリティ対策に改善の余地があると考えられる。本問では，Webサイトのセキュリティを題材に，Webサイトで発生したセキュリティインシデントについて調査し，対策を立案する能力，脆弱性診断を実施する場合にWebサイトの仕様に基づいて診断手順を検討する能力，及び診断結果から得られた知見を基にガイドラインを改善する能力を問う。

解き方のヒントを見る

問02：攻撃の跡を探して、次の守り方まで決める問題だよ

POSTデータの中に攻撃っぽい文字列が入っていないかを探すこと、WebサイトYの全ファイルを正常なものと見比べること、公開鍵認証が正しく使われているか確認することがポイントだよ。さらに、OS・ミドルウェア・フレームワークの名前とバージョンも集めて、どこに弱点がありそうかを見える化しよう。クロスサイトスクリプティングやクリックジャッキングの診断も、料理のレシピみたいに手順として整理しておくことが大事だよ。

この問題で問われていること

インシデントが起きた後に、まず攻撃の痕跡を調べて、次に脆弱性を診断し、最後に再発防止のためのガイドライン改善までつなげられるかが問われているよ。

Web Incident Investigation and Diagnosis Design

web-site incident response must combine file comparison、 environment inventory、 and concrete diagnostic procedures for XSS and clickjacking

compare all site files\ncollect OS/middleware/framework versions\ndefine XSS checks\ndefine clickjacking checks

確認ポイント

比較対象を明確にする。
環境情報収集を省かない。
診断手順を具体化する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成30年度春期情報処理安全確保支援士試験午後Ⅱ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

平成30年度春期 情報処理安全確保支援士 午後Ⅱ 問2

問題