SC情報処理安全確保支援士試験午後Ⅱ

令和5年度春期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

企業グループでは，グループ会社がそれぞれ多数のWebサイトを構築している場合がある。さらに，そうしたWebサイトのセキュリティ品質を一定に保つための脆ぜい弱性診断を第三者に委託している場合と自社で実施している場合がある。本問では，Webサイトに対する脆弱性診断を題材として，各種脆弱性に関する知識，それらを発見するためのツールの利用方法と注意点に関する知識，及び脆弱性診断を自社で実施する上での課題を解決する能力を問う。

解き方のヒントを見る

問01：脆弱性診断は“道具を動かすだけ”じゃなく、地図と足跡と攻撃ルートをつなげよう

グループ各社のサイトを診断するときは、いきなりツールを走らせて終わりにしないことが大事だよ。まず設計書や仕様書を見て、「どんな画面や機能をチェックすべきか」という地図を確認しよう。次に、ブラウザ拡張などでURLの移動を記録して、利用者がどの画面からどの画面へ進むのか、足跡を追うイメージで画面遷移を確認するんだ。認証まわりでは、パスワードを5回間違えたらアカウントがロックされるかを見ることで、不正ログイン対策がちゃんと働いているかを評価できるよ。さらに、XSSで偽の入力フォームを表示させ、`JSESSIONID` や `group_code` に関係する情報が不正送信につながる流れまで、攻撃シナリオとしてきちんと再現する必要があるんだ。

この問題で問われていること

この問題では、脆弱性診断を“スキャンツールを実行して結果を見るだけ”で終わらせず、設計資料で確認したテスト観点、実際の画面遷移の観測、そしてXSSなどを使った攻撃シナリオを一本の流れとしてつなげて考えられるかが問われているよ。

Combining Design Review and Dynamic Diagnosis

effective web assessment starts from design documents、 tracks URL transitions、 checks lockout behavior、 and reconstructs XSS-driven fake-form theft including session identifiers

review site design before testing\ntrack URL transitions in browser\nconfirm account lockout threshold\nreconstruct XSS fake-form credential theft\nwatch session identifiers such as JSESSIONID

確認ポイント

設計書確認を省略しない。
URL 遷移の観測手段を持つ。
XSS とセッション窃取の流れをつなげる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和5年度春期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和5年度春期 情報処理安全確保支援士 午後Ⅱ 問1

問題