情報セキュリティスペシャリスト試験の午前Ⅱ問題と旧試験の午前問題からランダムに25問抽出します。問題を入れ替えたい場合は、ブラウザで再読み込みを行ってください。

SC:情報セキュリティスペシャリスト試験
SU:情報セキュリティアドミニストレータ試験(旧試験)
SV:テクニカルエンジニア(情報セキュリティ)試験(旧試験)

SC H21 秋 午前Ⅱ 問23

開発した製品で利用している新規技術に関して特許の出願を行った。 日本において特許権の取得が可能なものはどれか。

  • 学会で技術内容を発表した日から11か月目に出願した。
  • 顧客と守秘義務の確認を取った上で技術内容を説明した後, 製品発表前に出願した。
  • 製品に使用した暗号の生成式を出願した。
  • 製品を発売した後に出願した。
  • 解答を見る
    正解:イ


    SC H25 秋 午前Ⅱ 問16

    ディレクトリトラバーサル攻撃はどれか。

  • 攻撃者が, OSの操作コマンドを利用するアプリケーションに対して, OSのディレクトリ作成コマンドを渡して実行する。
  • 攻撃者が, SQL文のリテラル部分の生成処理に問題があるアプリケーションに対して, 任意のSQL文を渡して実行する。
  • 攻撃者が, シングルサインオンを提供するディレクトリサービスに対して, 不正に入手した認証情報を用いてログインし, 複数のアプリケーションを不正使用する。
  • 攻撃者が, ファイル名の入力を伴うアプリケーションに対して, 上位のディレクトリを意味する文字列を使って, 非公開のファイルにアクセスする。
  • 解答を見る
    正解:エ

  • OSコマンドインジェクションの説明。
  • SQLインジェクションの説明。
  • ディレクトリトラバーサル攻撃の説明ではないので誤り。
    ちなみに、ディレクトリサービスの接続にはLDAPというプロトコルが標準的に用いられていることが多い。LDAPクエリに不正なパラメータを入力し、LDAPサーバから機密情報を不正入手する攻撃を「LDAPインジェクション」という。
  • ディレクトリトラバーサル攻撃の説明。

  • SC H26 秋 午前Ⅱ 問21

    トランザクションA~Dに関する待ちグラフのうち, デッドロックが発生しているものはどれか。ここで, 待ちグラフの矢印は, X → Y のとき, トランザクションXはトランザクションYがロックしている資源のアンロックを待っていることを表す。

    sc-h26-aki-am-q21


    解答を見る
    正解:イ


    SC H26 秋 午前Ⅱ 問22

    テストで使用されるスタブ又はドライバの説明のうち, 適切なものはどれか。

  • スタブは, テスト対象モジュールからの戻り値を表示・印刷する。
  • スタブは, テスト対象モジュールを呼び出すモジュールである。
  • ドライバは, テスト対象モジュールから呼び出されるモジュールである。
  • ドライバは, 引数を渡してテスト対象モジュールを呼び出す。
  • 解答を見る
    正解:エ


    SC H27 秋 午前Ⅱ 問11

    VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると, セグメントを分けない場合に比べて, どのようなセキュリティ上の効果が得られるか。

  • スイッチが, PCから送出されるICMPパケットを全て遮断するので, PC間のマルウェア感染のリスクを低減できる。
  • スイッチが, PCからのブロードキャストパケットの到達範囲を制限するので, アドレス情報の不要な流出のリスクを低減できる。
  • スイッチが, PCのMACアドレスから接続可否を判別するので, PCの不正接続のリスクを低減できる。
  • スイッチが, 物理ポートごとに, 決まったIPアドレスのPC接続だけを許可するので, PCの不正接続のリスクを低減できる。
  • 解答を見る
    正解:イ


    SC H24 春 午前Ⅱ 問15

    SMTP-AUTHを使ったメールセキュリティ対策はどれか。

  • ISP管理下の動的IPアドレスからの電子メール送信について,管理外ネットワークのメールサーバへSMTP通信を禁止する。
  • PCからの電子メール送信について,POP接続で利用者認証済の場合にだけ許可する。
  • 通常のSMTPとは独立したサブミッションポートを使用して,PCからメールサーバへの電子メール送信時の認証を行う。
  • 電子メール送信元のサーバについてDNSの逆引きが成功した場合にだけ,電子メール受信を許可する。
  • 解答を見る
    正解:ウ

  • OP25B(Outbound Port 25 Blocking)の説明。
  • POP before SMTPの説明。
  • SMTP-AUTHを使ったメールセキュリティ対策です。
  • DNSの逆引きとは、IPアドレスからドメイン名に変換すること。SMTP-AUTHとは関係ないので、誤り。
  • 【解説】
    一般的に電子メールの送信には、SMTP(25番ポート)を利用しています。

    SMTPには、ユーザー認証機能がないため、スパムメールを送信する業者(スパマー)がたくさんいます。スパマーは、ISP提供のメールサーバを経由せず、メール送信先のメールサーバに直接接続しようとします。

    そこで多くのISPでは、スパムメール対策として、OP25B(Outbound Port 25 Blocking)を導入しています。

    OP25Bとは、ISP提供のメールサーバを経由せず、外部のSMTPサーバ(25番ポート)へ直接接続しようとするパケットをブロックすることです。

    正当な利用者が、ISP提供のメールサーバを経由せず、メール送信先のメールサーバに直接接続する場合は、ポート番号25の代わりに、サブミッションポート(587番ポート)を使用します。

    サブミッションポートの利用には、「SMTP-AUTH」による認証が必要となるため、正当な利用者のみがメール送信を行うことができます。


    SU H20 秋 午前 問19

    SSLに関する記述のうち, 適切なものはどれか。

  • SSL-VPNで使用できるアプリケーションは, HTTPプロトコルを使用するアプリケーションに限定される。
  • 暗号化には, 共通鍵暗号方式ではなく, 公開鍵暗号方式が使われる。
  • 通信内容を暗号化する機能と通信相手を認証する機能をもつ。
  • トランスポートモードとトンネルモードの二つのモードがある。
  • 解答を見る
    正解:ウ


    SV H20 春 午前 問42

    チャレンジ・レスポンス方式として, 適切なものはどれか。

  • 暗号化プロトコル(SSL)によって、クライアント側で固定のパスワードを暗号化して送信する。
  • 固定パスワードと, サーバから送られたランダムなデータとをクライアント側で演算し, その結果を認証用データに用いる。
  • トークンというデバイスで毎回異なった表示されるデータをパスワードとして送信する。
  • ゆがんだ文字などの画像データをサーバから送り, 利用者にそれを読み取らせて入力させることによって認証する。
  • 解答を見る
    正解:イ


    SC H24 秋 午前Ⅱ 問18

    DNSSECに関する記述として,適切なものはどれか。

  • DNSサーバへのDoS攻撃を防止できる。
  • IPsecによる暗号化通信が前提となっている。
  • 代表的なDNSサーバの実装であるBINDの代替として使用する。
  • ディジタル署名によってDNS応答の正当性を確認できる。
  • 解答を見る
    正解:エ

    DNSSEC(DNS Security Extensions)は、DNSのセキュリティ拡張方式。
    DNSのレコードに公開鍵暗号方式によるディジタル署名を付加し、応答を受け取った側で、そのディジタル署名を検証する仕組み。ディジタル署名を検証することで、レコードの送信者の正当性と応答が改ざんされてないことを保証できる。
    DNSキャッシュポイズニングの対策に有効。


    SC H25 春 午前Ⅱ 問2

    DNSSEC(DNS Security Extensions)の機能はどれか。

  • DNSキャッシュサーバの設定によって再帰的な問合せの受付範囲が最大になるようにする。
  • DNSサーバから受け取るリソースレコードに対するディジタル署名を利用して, リソースレコードの送信者の正当性とデータの完全性を検証する。
  • ISPなどのセカンダリDNSサーバを利用してDNSコンテンツサーバを二重化することで名前解決の可用性を高める。
  • 共通鍵暗号技術とハッシュ関数を利用したセキュアな方法で, DNS更新要求が許可されているエンドポイントを特定し認証する。
  • 解答を見る
    正解:イ

    DNSSEC(DNS Security Extensions)は、DNSのセキュリティ拡張方式。
    DNSのレコードに公開鍵暗号方式によるディジタル署名を付加し、応答を受け取った側で、そのディジタル署名を検証する仕組み。ディジタル署名を検証することで、レコードの送信者の正当性と応答が改ざんされてないことを保証できる。
    DNSキャッシュポイズニングの対策に有効。


    SC H27 春 午前Ⅱ 問5

    サイドチャネル攻撃の説明はどれか。

  • 暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量(処理時間や消費電流など)やエラーメッセージから, 攻撃対象の機密情報を得る。
  • 企業などの機密情報を詐取するソーシャルエンジニアリングの手法の一つであり, 不用意に捨てられた機密情報の印刷物をオフィスの紙ゴミの中から探し出す。
  • 通信を行う2者間に割り込んで, 両者が交換する情報を自分のものとすり替えることによって, 気づかれることなく盗聴する。
  • データベースを利用するWebサイトに入力パラメタとしてSQL文の断片を与えることによって, データベースを改ざんする。
  • 解答を見る
    正解:ア

  • サイドチャネル攻撃の説明。
    サイドチャネル攻撃は、暗号処理装置を物理的手段(処理時間や装置から発する電磁波など)で観察・測定することで、装置内部の機密情報を取得する攻撃手法です。「タイミング攻撃」や「電力解析攻撃」、「電磁波解析攻撃」などの種類がある。
  • スキャビンジング(ごみ箱あさり)の説明。
  • 中間者攻撃(Man-in-the-middle攻撃)の説明。
  • SQLインジェクションの説明。

  • SC H26 春 午前Ⅱ 問21

    関係モデルにおける外部キーに関する記述のうち, 適切なものはどれか。

  • 外部キーの値は, その関係の中で一意でなければならない。
  • 外部キーは, それが参照する候補キーと比較可能でなくてもよい。
  • 参照先の関係に, 参照元の外部キーの値と一致する候補キーが存在しなくてもよい。
  • 一つの関係に外部キーが複数存在してもよい。
  • 解答を見る
    正解:エ

    外部キーとは、参照先の関係の主キーまたは候補キーを参照する列のこと。
    外部キーは一意である必要はなく、NULLを設定することもできる。
    一つの関係に外部キーが複数存在してもよいが、外部キーに値を設定する場合、その値は参照先の表に存在している値と一致している必要がある。

    候補キーとは、主キーの候補となるキーのこと。
    候補キーの条件は、行を一意に特定でき、かつ最低限の属性の組合せであることです。1つの表に候補キーが複数存在する場合があります。

  • 外部キーは、その関係の中で一意である必要はない。
  • 外部キーと参照先の関係のキーは比較可能でなければならない。
  • 外部キーに値を設定する場合、その値は参照先の表に存在している値と一致している必要がある。
  • 正しい記述です。

  • SU H20 秋 午前 問28

    パスワードに使用できる文字の種類の数を〟,パスワードの文字数を形とするとき,設定できるパスワードの理論的な総数を求める数式はどれか。

    SU H20 秋 午前Ⅱ 問28

    解答を見る
    正解:ア


    SC H23 特別 午前Ⅱ 問20

    通信プロトコルで使用するデータ形式を記述するための記法であって、SNMPのパケットの符号化に利用されているものはどれか。

  • ASN.1
  • JSON
  • SGML
  • SOAP
  • 解答を見る
    正解:ア


    SU H20 秋 午前 問26

    SQLインジェクション攻撃を防ぐ方法はどれか。

  • 入力から, 上位ディレクトリを指定する文字列 (../) を取り除く。
  • 入力中の文字がデータベースへの問合せや操作において特別な意味をもつ文字として解釈されないようにする。
  • 入力にHTML タグが含まれていたら, 解釈, 実行できないほかの文字列に置き換える。
  • 入力の全体の長さが制限を超えていたときは受け付けない。
  • 解答を見る
    正解:イ

  • ディレクトリトラバーサルの対策
  • SQLインジェクションの対策
  • クロスサイトスクリプティング(XSS)の対策
  • バッファオーバーフローの対策

  • SC H25 春 午前Ⅱ 問21

    関係データベースのビューを利用する目的はどれか。

  • DISTICT指定, GROUP BY句及びHAVING句をもつ演算処理を独立させて, プログラムに単純化したデータ更新手段を提供する。
  • 行や列を特定の条件で絞り込んだビューだけをアクセスさせることによって, 基となる表のデータの一部を隠蔽して保護する手段を提供する。
  • データベースの物理的記憶構造の変更に影響されないように, アプリケーションプログラムに対して物理的データ独立性を提供する。
  • 複数の表を結合したビューにインデックスを付与することによって, 複数の表にまたがった高度な検索手段を提供する。
  • 解答を見る
    正解:イ

    ビューとは、1つ以上の表または他のビューから任意のデータを選択して構成された仮想テーブル。ビューを利用することで、基となる表の保護したいデータを隠蔽することができます。


    SC H25 秋 午前Ⅱ 問24

    ITサービスマネジメントの問題管理プロセスにおけるプロアクティブな活動はどれか。

  • インシデントの根本原因を究明する。
  • 過去に同様のインシデントが発生していないか調査する。
  • 過去のインシデントの記録を分析し, 今後起こりそうなインシデントを予測する。
  • 根本原因を突き止めた問題を既知のエラーとして登録する。
  • 解答を見る
    正解:ウ

    問題管理は、ITILのサービスサポートを構成するプロセスの1つで、インシデントの根本原因を究明し、その解決と予防を目的とします。

    問題管理は大きく分けると、「リアクティブな問題管理」と「プロアクティブな問題管理」の2つに分類されます。

    簡単に言えば、
    リアクティブ(受動的)は、インシデント発生後に行う対応。
    プロアクティブ(積極的)は、インシデント発生前に行う対応です。

    選択肢のア、イ、エは、インシデント発生後に行うリアクティブな活動です。
    選択肢のウは、インシデント発生前に行うプロアクティブな活動です。


    SC H25 秋 午前Ⅱ 問17

    LANの制御方式に関する記述のうち, 適切なものはどれか。

  • CSMA/CD方式では, 単位時間当たりの送出フレーム数が増していくと, 衝突の頻度が増すので, スループットはある値をピークとして, その後下がる。
  • CSMA/CD方式では, 一つの装置から送出されたフレームが順番に各装置に伝送されるので, リング状のLANに適している。
  • TDMA方式では, 伝送路上におけるフレームの伝搬遅延時間による衝突が発生する。
  • トークンアクセス方式では, トークンの巡回によって送信権を管理しているので, トラフィックが増大すると, CSMA/CD方式に比べて伝送効率が急激に低下する。
  • 解答を見る
    正解:ア

  • 正しい記述です。
  • トークンアクセス方式(トークンパッシング)の説明です。
  • TDMA方式(時分割多元接続)では、衝突は発生しません。
  • トークンアクセス方式(トークンパッシング)では、トラフィックが増大しても、CSMA/CD方式のように伝送効率が急激に低下することはありません。

  • SC H23 特別 午前Ⅱ 問7

    認証局が送信者に発行したディジタル証明書を使用して送信者又は受信者が行えることはどれか。

  • 受信した暗号文を復号して, 盗聴を検知する。
  • 受信した暗号文を復号して, メッセージが改ざんされていないことと送信者が商取引相手として信頼できることを確認する。
  • 受信したメッセージのディジタル署名を検証して, メッセージが改ざんされていないこととメッセージの送信者に誤りがないことを確認する。
  • メッセージにディジタル署名を添付して, 盗聴を防止する。
  • 解答を見る
    正解:ウ


    SC H22 秋 午前Ⅱ 問3

    FIPS 140-2を説明したものはどれか。

  • 暗号モジュールのセキュリティ要求事項
  • 情報セキュリティマネジメントシステムに関する認証基準
  • ディジタル証明書や証明書失効リストの標準仕様
  • 無線LANセキュリティ技術
  • 解答を見る
    正解:ア

    FIPS 140(Federal Information Processing Standardization 140)
    暗号モジュール(暗号処理を行うソフトウェア及びハードウエア)のセキュリティ要求事項を規定した米国連邦標準規格。FIPS 140-2の末尾の2は、規格のバージョンを表す。


    SC H22 春 午前Ⅱ 問22

    次のクラス図におけるクラス間の関係の説明のうち, 適切なものはどれか。

    SC H22 春 午前Ⅱ 問22

  • "バス"、"トラック"などのクラスが"自動車"クラスの定義を引き継ぐことをインスタンスという。
  • "バス"、"トラック"などのクラスの共通部分を抽出し"自動車"クラスとして定義することを、汎化という。
  • "バス"、"トラック"などのクラスは、"自動車"クラスに対するオブジェクトという。
  • "バス"、"トラック"などのそれぞれのクラスの違いを"自動車"クラスとして定義することを、特化という。
  • 解答を見る
    正解:イ

  • "バス"、"トラック"などのクラスが"自動車"クラスの定義を引き継ぐことを継承(インヘリタンス)という。
  • 正しい記述。
  • "バス"、"トラック"などのクラスは、"自動車"クラスに対するサブクラスという。
  • "自動車"クラスを違いによって、"バス"、"トラック"などのクラスに定義することを、特化という。

  • SC H23 特別 午前Ⅱ 問9

    ウイルスの検出手法であるビヘイビア法を説明したものはどれか。

  • あらかじめ特徴的なコードをパターンとして登録したウイルス定義ファイルを用いてウイルス検査対象と比較し, 同じパターンがあれば感染を検出する。
  • ウイルスに感染していないことを保証する情報をあらかじめ検査対象に付加しておき, 検査時に不整合があれば感染を検出する。
  • ウイルスの感染が疑わしい検査対象を, 安全な場所に保管する原本と比較し, 異なっていれば感染を検出する。
  • ウイルスの感染や発病によって生じるデータ書込み動作の異常や通信量の異常増加などの変化を監視して, 感染を検出する。
  • 解答を見る
    正解:エ

  • パターンマッチング法の説明。
  • チェックサム法の説明。
  • コンペア法の説明。
  • ビヘイビア法の説明。

  • SC H26 秋 午前Ⅱ 問13

    サイドチャネル攻撃を説明したものはどれか。

  • 暗号化装置における暗号化処理時の消費電力などの測定や統計処理によって, 当該装置内部の機密情報を推定する攻撃
  • 攻撃者が任意に選択した平文とその平文に対応した暗号文から数学的手法を用いて暗号鍵を推測し, 同じ暗号鍵を用いて作成された暗号文を解読する攻撃
  • 操作中の人の横から, 入力操作の内容を観察することによって, IDとパスワードを盗み取る攻撃
  • 無線LANのアクセスポイントを不正に設置し, チャネル間の干渉を発生させることによって, 通信を妨害する攻撃
  • 解答を見る
    正解:ア


    SU H20 秋 午前 問25

    公開鍵暗号方式によるディジタル署名の手続とハッシュ値の使用方法のうち, 適切なものはどれか。

  • 受信者は, 送信者の公開鍵で署名を復号してハッシュ値を取り出し, 元のメッセージを変換して求めたハッシュ値と比較する。
  • 送信者はハッシュ値を自分の公開鍵で暗号化して, 元のメッセージとともに受信者に送る。
  • ディジタル署名を付ける元となったメッセージをハッシュ値から復元する。
  • 元のメッセージ全体に対して公開鍵で暗号化を行い, ハッシュ値を用いて復号する。
  • 解答を見る
    正解:ア


    SV H20 春 午前 問45

    パケットフィルタリング型ファイアウォールがルール一覧に示したアクションに基づいてパケットを制御する場合, パケットAに対する処理はどれか。ここで, ファイアウォールでの処理は, ルール一覧に示す番号の1から順に行い, 一つのルールが適用された場合には残りのルールは適用されない。

    sv-h20-haru-am-q45

  • 番号1によって, 通過が禁止される。
  • 番号2によって, 通過が許可される。
  • 番号3によって, 通過が許可される。
  • 番号4によって, 通過が禁止される。
  • 解答を見る
    正解:ア