SC情報処理安全確保支援士試験午後Ⅰ

令和4年度秋期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

製品開発においては，設計・開発時に十分なセキュリティ対策を行うことが重要である。脆ぜい弱性単体では発生し得る被害が小さいように見えたとしても，他の脆弱性と組み合わせられることで，より大きな被害が発生することもある。本問では，IoT製品の開発を題材に，開発者として脆弱性単体だけでなく，複数の脆弱性の組合せによって生じるリスクを特定する能力，及びアプリケーションプログラムのセキュリティ対策を策定する能力を問う。

解き方のヒントを見る

問01：小さな弱点も、つながると大きな穴になるよ

この問題のポイントは、脆弱性を一つずつ見るだけじゃなくて、攻撃者がそれらをどう組み合わせて悪用するかまで想像して、設計や実装を見直すことだよ。

この問題で問われていること

一見すると小さなミスや欠陥でも、いくつか組み合わさると大きな被害につながることがあるよ。家の窓の鍵、裏口、合鍵の管理を別々に考えるだけでなく、「泥棒ならどこから順番に狙うかな？」と考える感じで、開発者として対策を立てられるかが問われているよ。

Combined Vulnerability Risk

secure IoT product development must consider how DNS poisoning、 certificate validation flaws、 CSRF、 and command execution flaws combine into larger attack chains

DNS poisoning\ncertificate validation\nCSRF\ncommand execution

確認ポイント

脆弱性を単体で評価しない。
攻撃の連鎖を考える。
実装と設計の両方を直す。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和4年度秋期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和4年度秋期 情報処理安全確保支援士 午後Ⅰ 問1

問題