SC H21 春 午前Ⅱ 問1

DNSキャッシュポイズニングに分類される攻撃内容はどれか。

  • DNSサーバのソフトのバージョン情報を入手して, DNSサーバのセキュリティホールを特定する。
  • PCが参照するDNSサーバに誤ったドメイン管理情報を注入して, 偽装されたWebサーバにPCの利用者を誘導する。
  • 攻撃対象のサービスを妨害するために, 攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。
  • 内部情報を入手するために, DNSサーバが保存するゾーン情報をまとめて転送させる。
  • 解答を見る
    正解:イ

    DNSは、IPアドレスとホスト名を対応付ける仕組みシステム。
    このDNSの仕組みを悪用した攻撃として、DNSキャッシュポイズニングがある。

    DNSキャッシュポイズニング(汚染)は、DNSサーバに偽の情報を蓄積(キャッシュ)させる攻撃手法。
    PCの利用者が正しいホスト名に接続しているつもりでも、攻撃者が罠を仕掛けたWebサーバに誘導されてしまう。


    SC H21 春 午前Ⅱ 問2

    SSLを使用して通信を暗号化する場合, SSL-VPN装置に必要な条件はどれか。

  • SSL-VPN装置は, 1台1台を識別できるようにディジタル証明書を組み込む必要がある。
  • SSL-VPN装置は, 装置メーカが用意した機器固有のディジタル証明書を組み込む必要がある。
  • SSL-VPN装置は, 装置メーカから提供される認証局を利用する必要がある。
  • 同一ドメイン内で複数拠点にSSL-VPN装置を設置する場合は, 同一のディジタル証明書を利用する必要がある。
  • 解答を見る
    正解:ア


    SC H21 春 午前Ⅱ 問3

    シングルサインオンの説明のうち, 適切なものはどれか。

  • クッキーを使ったシングルサインオンの場合, サーバごとに認証情報を含んだクッキーをクライアントで生成し, 各サーバ上で保存, 管理する。
  • クッキーを使ったシングルサインオンの場合, 認証対象の各サーバを異なるインターネットドメインに配置する必要がある。
  • リバースプロキシを使ったシングルサインオンの場合, 認証対象の各Webサーバをそれぞれ異なるインターネットドメインにする必要がある。
  • リバースプロキシを使ったシングルサインオンの場合, 利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。
  • 解答を見る
    正解:エ


    SC H21 春 午前Ⅱ 問4

    スパムメールの対策として, あて先ポート番号25番のメールに対しISPが実施するOP25Bの説明はどれか。

  • ISP管理外のネットワークからの受信メールのうち, スパムメールのシグネチャに該当するメールを遮断する。
  • 動的IPアドレスを割り当てたネットワークからISP管理外のネットワークに直接送信されたメールを遮断する。
  • メール送信元のメールサーバについてDNSの逆引きができない場合, そのメールサーバからのメールを遮断する。
  • メール不正中継の脆(ぜい)弱性をもつメールサーバからの受信メールを遮断する。
  • 解答を見る
    正解:イ

    OP25B(Outbound Port 25 Blocking)
    ISP提供のメールサーバを経由せず、外部のSMTPサーバ(25番ポート)へ直接接続しようとするパケットをブロックすることです。


    SC H21 春 午前Ⅱ 問5

    ディジタル署名を利用する目的はどれか。

  • 受信者が署名鍵を使って暗号文を元の平文に戻すことができるようにする。
  • 送信者が固定文字列を付加した平文を署名鍵を使って暗号化し, 受信者がメッセージの改ざん部位を特定できるようにする。
  • 送信者が署名鍵を使って署名を作成し, それに平文に付加することによって、受信者が送信者を確認できるようにする。
  • 送信者が署名鍵を使って平文を暗号化し, 平文の内容を関係者以外に分からないようにする。
  • 解答を見る
    正解:ウ


    SC H21 春 午前Ⅱ 問6

    SHA-1を説明したものはどれか。

  • 160ビットの出力データを生成し, 改ざんの検出に利用するアルゴリズム
  • IPsecで使用される暗号化アルゴリズム
  • 公開鍵暗号方式において暗号化鍵を生成するアルゴリズム
  • データの暗号化が正常に完了したことの確認に利用するアルゴリズム
  • 解答を見る
    正解:ア
    SHA-1(Secure Hash Algorithm 1)は、ハッシュ関数であり、原文の長さに関係なく、160ビットのハッシュ値を算出する。


    SC H21 春 午前Ⅱ 問8

    情報システムのリスク分析に関する記述のうち, 適切なものはどれか。

  • リスクには, 投機的リスクと純粋リスクがある。 情報セキュリティのためのリスク分析で対象とするのは, 投機的リスクである。
  • リスクの予想損失額は, 損害予防のために投入されるコスト, 復旧に要するコスト, 及びほかの手段で業務を継続するための代替コストの合計で表される。
  • リスク分析では, 現実に発生すれば損失をもたらすリスクが, 情報システムのどこに, どのように潜在しているかを識別し, その影響の大きさを測定する。
  • リスクを金額で測定するリスク評価額は, 損害が現実になった場合の1回当たりの平均予想損失額で表される。
  • 解答を見る
    正解:ウ


    SC H21 春 午前Ⅱ 問9

    DMZ上の公開Webサーバで入力データを受け付け, 内部ネットワークのDBサーバにそのデータを蓄積するシステムがある。 DBサーバへの不正侵入対策の一つとして, ファイアウォールの最も有効な設定はどれか。

    SC H21 春 午前Ⅱ 問9

  • DBサーバの受信ポートを固定にし, WebサーバからDBサーバの受信ポートへ発信された通信だけをファイアウォールで通す。
  • DMZからDBサーバあての通信だけをファイアウォールで通す。
  • Webサーバの発信ポートは任意のポート番号を使用し, ファイアウォールでは, いったん終了した通信と同じ発信ポートを使った通信を拒否する。
  • Webサーバの発信ポートを固定し, その発信ポートの通信だけをファイアウォールで通す。
  • 解答を見る
    正解:ア


    SC H21 春 午前Ⅱ 問10

    通信の暗号化に関する記述のうち, 適切なものはどれか。

  • IPsecのトランスポートモードでは, ゲートウェイ間の通信経路上だけでなく, 発信ホストと受信ホストの間の全経路上でメッセージが暗号化される。
  • LDAPクライアントがLDAPサーバに接続するとき, その通信内容は暗号化することができない。
  • S/MIMEで暗号化した電子メールは, 受信側のメールサーバ内に格納されている間は, メール管理者が平文として見ることができる。
  • SSLを使用すると, 暗号化されたHTML文書はブラウザのキャッシュの有無が設定できず, ディスク内に必ず保存される。
  • 解答を見る
    正解:ア


    SC H21 春 午前Ⅱ 問11

    メールサーバ(SMTPサーバ)の不正利用を防止するために行う設定はどれか。

  • ゾーン転送のアクセス元を制御する。
  • 第三者中継を禁止する。
  • ディレクトリに存在するファイル名の表示を禁止する。
  • 特定のディレクトリ以外でのCGIプログラムの実行を禁止する。
  • 解答を見る
    正解:イ


    SC H21 春 午前Ⅱ 問12

    ルートキット(rootkit)を説明したものはどれか。

  • OSの中核であるカーネル部分の脆弱性を分析するツール
  • コンピュータがウイルスやワームに感染していないかをチェックするツール
  • コンピュータやルータのアクセス可能な通信ポートを外部から調査するツール
  • 不正侵入してOSなどに不正に組み込んだものを隠ぺいする機能をまとめたツール
  • 解答を見る
    正解:エ

    ルートキットの由来は、UNIXからきています。

    攻撃者であるクラッカーが、システムのあらゆる操作権限を持つ「root」ユーザの権限を奪った後も、不正侵入に気づかれないようするための「キット」ということから、ルートキットと呼ばれるようになりました。

    現在では、UNIXに限らず、不正侵入時にOSなどに組み込んだものを隠蔽するツール群のことを指す用語として使われています。


    SC H21 春 午前Ⅱ 問13

    TCP/IPネットワークにおけるICMPの説明として, 適切なものはどれか。

  • MACアドレスだけが分かっているときにIPアドレスの解決を可能にする。
  • グローバルIPアドレスとプライベートIPアドレスを相互に変換する。
  • 送信元ホストへ, IPパケットの送信エラー報告などの制御メッセージを通知する。
  • ネットワーク内のIPアドレスを一元管理し, クライアントに動的に割り当てる。
  • 解答を見る
    正解:ウ

  • RARPの説明。
  • NATの説明。
  • ICMPの説明。
  • DHCPの説明。

  • SC H21 春 午前Ⅱ 問14

    TCP/IPのネットワークにおいて, TCPのコネクションを識別するために必要なものの組合せはどれか。

  • あて先IPアドレス, あて先TCPポート番号
  • あて先IPアドレス, あて先TCPポート番号, 送信元IPアドレス, 送信元TCPポート番号
  • あて先IPアドレス, 送信元IPアドレス
  • あて先MACアドレス, あて先IPアドレス, あて先TCPポート番号, 送信元MACアドレス, 送信元IPアドレス, 送信元TCPポート番号
  • 解答を見る
    正解:イ


    SC H21 春 午前Ⅱ 問15

    TCPヘッダ中のウィンドウサイズの説明として, 適切なものはどれか。

  • 受信エラー時の再送に備えて送信側が保持しているデータのサイズを受信側に知らせるために使用される。
  • 受信側からの確認応答を待たずに, データを続けて送信できるかどうかの判断に使用される。
  • 送信側と受信側の最適なバッファサイズを接続開始時のハンドシェイクで決定するために使用される。
  • 複数セグメントから成るデータの送信時, 後続するセグメント数を受信側に知らせるために使用される。
  • 解答を見る
    正解:イ

    ウィンドウサイズ
    受信側からの確認応答(ACK)を待たずに、連続して送受信できるデータ量のこと。


    SC H21 春 午前Ⅱ 問16

    DBMSの表へのアクセスにおいて, 特定の利用者だけにアクセス権を与える方法として, 適切なものはどれか。

  • CONNECT文で接続を許可する。
  • CREATE ASSERTION文で表明して制限する。
  • CREATE TABLE文の参照制約で制限する。
  • GRANT文で利用を許可する。
  • 解答を見る
    正解:エ

    DBMSの表へのアクセスにおいて、アクセス権限の定義にはGRANT文を使用します。


    SC H21 春 午前Ⅱ 問17

    DBMSの排他制御機能に関する記述のうち, 適切なものはどれか。

  • 排他制御機能によって, 同時実行処理でのデータの整合性を保つことができます。
  • 排他制御機能の使用によって, デッドロックを防止できる。
  • 排他制御はDBMSが自動で行い, アプリケーションプログラムからロック, アンロックの指示はできない。
  • バッチによる更新処理では排他制御を行う必要はない。
  • 解答を見る
    正解:ア


    SC H21 春 午前Ⅱ 問18

    システム開発で行われる各テストについて,そのテスト要求事項が定義されているアクティビティとテストの組合せのうち,適切なものはどれか。

    システム方式設計 ソフトウェア方式設計 ソフトウェア詳細設計
    運用テスト システム結合テスト ソフトウェア結合テスト
    運用テスト ソフトウェア結合テスト ソフトウェアユニットテスト
    システム結合テスト ソフトウェア結合テスト ソフトウェアユニットテスト
    システム結合テスト ソフトウェアユニットテスト ソフトウェア結合テスト

    解答を見る
    正解:ウ


    SC H21 春 午前Ⅱ 問19

    ハードウェアの保守点検及び修理作業を実施するときに, 運用管理者が実施すべき, 事前又は事後に確認に関する説明のうち, 適切なものはどれか。

  • システムが自動的に回復処置を行った障害については, 障害前後のエラーログが残っているので, 障害原因や対応処置の報告ではなく、ログの分析結果を確認する。
  • 定期保守時の点検項目は事前に分かっているので, 事前と事後の確認は省略できるが, 作業の開始と終了については, 保守作業者に確認する。
  • 予防保守を遠隔方式で行う場合, 遠隔地のシステムへの影響は出ないので, 作業内容などの事前確認は行わず, 事後に作業実施結果を確認する。
  • 臨時保守の場合, 事前に保守作業者が障害の発生状況を確認したことを確認し, 事後に障害原因や作業実施結果を確認する。
  • 解答を見る
    正解:エ


    SC H21 春 午前Ⅱ 問20

    ソフトウェア開発のプロセスモデルのうち, 開発サイクルを繰り返すことによって, システムの完成度を高めていくプロセスモデルはどれか。

  • RADモデル
  • ウォータフォールモデル
  • スパイラルモデル
  • プロトタイピングモデル
  • 解答を見る
    正解:ウ


    SC H21 春 午前Ⅱ 問21

    ソフトウェアを保守するときなどに利用される技術であるリバースエンジニアリングの説明としてはどれか。

  • ソースプログラムを解析してプログラム仕様書を作る。
  • ソースプログラムを探索して修正個所や影響度を調べる。
  • ソースプログラムを見直して構造化プログラムに変換する。
  • ソースプログラムを分かりやすい表現に書き換える。
  • 解答を見る
    正解:ア


    SC H21 春 午前Ⅱ 問22

    ITILにおけるインシデント管理プロセスの役割として, 適切なものはどれか。

  • 新しいサービスの要求を利用者から受け付け, 企画立案すること
  • 一時的回避策で対処した問題を分析し, 恒久対策を検討すること
  • 潜在的な問題を事前に発見し, 変更要求として取りまとめること
  • 低下したサービスレベルを回復させ, 影響を最小限に抑えること
  • 解答を見る
    正解:エ


    SC H21 春 午前Ⅱ 問23

    データベースサーバのハードディスクに障害が発生した場合でもサービスを続行できるようにするための方策として, 最も適切なものはどれか。

  • 共通データベースの格納場所を複数のハードディスクに分散させる。
  • サーバディスクを二重化し, 通常稼働時は同時に二つのディスクに書き込む。
  • サーバの予備機を設置し, OSとアプリケーションソフトを本番機と同じ構成にして待機させておく。
  • 別のディスクにデータベースを毎週末にコピーする。
  • 解答を見る
    正解:イ

  • RAID0(ストライピング)の説明。ハードディスクが1台でも故障するとデータを復旧できません。
  • RAID1(ミラーリング)の説明。片方のハードディスクが故障した場合、もう一方のハードディスクでサービスを続行できます。
  • 本番機のハードディスクが故障すれば、データを復旧することができません。
  • 週末のバックアップでは、ハードディスク障害時点の状態にデータを戻すことはできない。

  • SC H21 春 午前Ⅱ 問7

    リスク対策をリスクコントロールとリスクファイナンスに分けた場合, リスクファイナンスに該当するものはどれか。

  • システムが被害を受けた場合を想定して保険をかけた。
  • システム被害につながるリスクの発生を抑える対策に資金を投入した。
  • システムを復旧するのに掛かった費用を金融機関から借り入れた。
  • リスクが顕在化した場合のシステム被害を小さくする対策に資金を投入した。
  • 解答を見る
    正解:ア

    リスクコントロールは、リスクの発生や損失を最小限に抑えるために事前に行う対策のこと。
    リスクコントロールの種類には、リスクの発生・損失を抑える「リスク最適化(リスク低減)」、リスクそのものを持たない「リスク回避」などがある。

    リスクファイナンスは、リスクが発生した際に生じる損失に備えて行う資金的対策のこと。
    リスクファイナンスの種類には、保険に加入することで自社以外にもリスクを移す「リスク移転」、自己資金を蓄えて損失時の対応に備える「リスク保有」などがある。

  • リスク発生時の損失に備えて、保険をかけるのはリスクファイナンスに該当する。
  • リスクコントロールのリスク最適化(リスク低減)に該当する。
  • リスク対策に該当しない。
  • リスクコントロールのリスク最適化(リスク低減)に該当する。

  • SC H21 春 午前Ⅱ 問24

    アクセス権限を管理しているシステムの利用者IDリストから, 退職による権限喪失者が削除されていることを検証する手続として、最も適切なものはどれか。

  • アクセス権限削除申請書の全件について, 利用者IDリストから削除されていることを確認する。
  • 最新の利用者IDリストの全件について, 対応するアクセス権限削除申請書が存在しないことを確認する。
  • 人事発令簿の退職者の全件について, 利用者IDリストから削除されていることを確認する。
  • 利用者IDリストの更新履歴の全件について, 対応するアクセス権限削除申請書の存在を確認する。
  • 解答を見る
    正解:ウ


    SC H21 春 午前Ⅱ 問25

    外部保管のために専門業者にバックアップ媒体を引き渡す際の安全性について, セキュリティ監査を実施した。指摘事項となる状況はどれか。

  • 委託元責任者が, 一定期間ごとに, 専門業者における媒体保管状況を確認している。
  • 委託元責任者が, 専門業者との間で, 機密保持条項を盛り込んだ業務委託契約を結んだ上で引き渡している。
  • 委託元担当者が, 専用の記録簿に, 引渡しの都度, 日付と内容を記入し, 専門業者から受領印をもらっている。
  • 委託元担当者が, バックアップ媒体を段ボール箱に入れ, 専門業者に引き渡している。
  • 解答を見る
    正解:エ