セキュリティ

SC平成31年度春期
中間者攻撃を想定した認証方式の検討【情報処理安全確保支援士試験 平成31年度 春期 午後1 問2 No.2】

情報処理安全確保支援士試験 平成31年度 春期 午後1 問2 設問2 【出典:情報処理安全確保支援士試験 平成31年度 春期 午後1問2(一部、加工あり)】 【認証方式の強化】 情報システム部長からメールサービスPの認証 […]

続きを読む
SC平成31年度春期
不正無線LANアクセスポイント経由で誘導される手口【情報処理安全確保支援士試験 平成31年度 春期 午後1 問2 No.1】

情報処理安全確保支援士試験 平成31年度 春期 午後1 問2 No.1 【出典:情報処理安全確保支援士試験 平成31年度 春期 午後1問2(一部、加工あり)】 問2 クラウドサービスのセキュリティに関する次の記述を読んで […]

続きを読む
SC平成31年度春期
CORSの実装と複数オリジンへの対応【情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 No.3】

情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 No.3 【出典:情報処理安全確保支援士試験 平成31年度 春期 午後1問1(一部、加工あり)】 【CORSを利用した実装】 Cさんは、スクリプトZの実装にC […]

続きを読む
SC平成31年度春期
CORS(Cross-Origin Resource Sharing,オリジン間リソース共有)【情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 No.2】

情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 No.2 【出典:情報処理安全確保支援士試験 平成31年度 春期 午後1問1(一部、加工あり)】 【CORSの概要】 CORSとは、あるWebサイトから他のW […]

続きを読む
SC平成31年度春期
Same-Originポリシ・クロスサイトリクエストフォージェリ【情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 No.1】

情報処理安全確保支援士試験 平成31年度 春期 午後1 問1 設問1 【出典:情報処理安全確保支援士試験 平成31年度 春期 午後1問1(一部、加工あり)】 問1 Webサイトのセキュリティに関する次の記述を読んで、設問 […]

続きを読む
SC平成30年度秋期
インシデント対応のレビュー【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.5】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 設問5 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問2(一部、加工あり)】 【インシデント対応のレビュー】 インシデントQの対応が一段落し […]

続きを読む
SC平成30年度秋期
インシデントのタイムライン作成【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.4】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 設問4 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問2(一部、加工あり)】 【インシデントQのタイムラインと措置】 G部長は、調査結果の確 […]

続きを読む
SC平成30年度春期
遠隔操作機能をもつマルウェアの動作と検知後の初動活動【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.3】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.3 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問2(一部、加工あり)】 【マルウェアについての通知】 マルウェアを配布していたサイト […]

続きを読む
SC平成29年度秋期
ログ管理ポリシ策定要件と通常時トラフィックの把握【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.2】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.2 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問2(一部、加工あり)】 【インシデント対応能力の向上への取組み】 G部長は、図4の事 […]

続きを読む
SC平成30年度秋期
NIST SP 800-61(コンピュータインシデント対応ガイド)【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.1】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問2 No.1 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問2(一部、加工あり)】 問2 セキュリティインシデントへの対応に関する次の記述を読ん […]

続きを読む
SC平成30年度秋期
ハイブリッドクラウド環境におけるモバイル環境の考慮【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.5】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.5 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問1(一部、加工あり)】 【モバイル環境の検討】 X社システム部門は、従業員が出張先や […]

続きを読む
SC平成30年度秋期
セキュリティのエンドポイント管理における運用管理ツールの効果【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.4】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.4 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問1(一部、加工あり)】 【エンドポイント管理の検討】 X社は、独自の情報セキュリティ […]

続きを読む
SC平成30年度秋期
オンプレミスからハイブリッドクラウド移行におけるシングルサインオン、通信経路の高負荷【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.3】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.3 【ID管理及び利用者認証の検討】 X社システム部門は、X社のデータセンタ、工場及び拠点のシステム環境(以下、オンプレミス環境という)にIaaS C、 […]

続きを読む
SC平成30年度秋期
クラウド環境への移行における制約【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.2】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.2 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問1(一部、加工あり)】 【クラウド環境への移行に関する検討】 X社システム部門は、次 […]

続きを読む
SC平成30年度秋期
個人情報保護の法規則(EUのGDPR)【情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.1】

情報処理安全確保支援士試験 平成30年度 秋期 午後2 問1 No.1 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後2問1(一部、加工あり)】 問1 クラウド環境におけるセキュリティ対策に関する次の記述を […]

続きを読む
SC平成30年度秋期
脆弱性公開直後のWAFによる暫定対策【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.5】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.4 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問3(一部、加工あり)】 【リスク軽減策の検討】 セキュリティ専門会社からは、脆弱性情 […]

続きを読む
SC平成30年度秋期
スクリプトの特徴による攻撃拡散有無の調査【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.4】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.4 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問3(一部、加工あり)】  【インシデントの調査】依頼を受けたセキュリティ専門会社は、 […]

続きを読む
SC平成30年度秋期
セキュリティインシデントの被害拡大防止策【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.3】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.3 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問3(一部、加工あり)】 【セキュリティインシデントの発生と対処】 脆弱性Tの情報をS […]

続きを読む
SC平成30年度秋期
CVSS【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.2】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.2 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問3(一部、加工あり)】 【脆弱性情報の公開と対応】 ある日、S君は、アプリケーション […]

続きを読む
SC平成30年度秋期
ログ管理における時刻整合【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.1】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 No.1 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問3(一部、加工あり)】 問3 ソフトウェアの脆弱性対策に関する次の記述を読んで、設問 […]

続きを読む
SC平成30年度秋期
持ち帰りPCのチェックなどの再発防止策【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.4】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.4 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問2(一部、加工あり)】 【セキュリティインシデントの再発防止策】 M君は、無線LAN […]

続きを読む
SC平成30年度秋期
NAPTとDHCPのログ解析【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.3】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.3 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問2(一部、加工あり)】 【無線LANセグメントの調査】 10.100.130.1は、 […]

続きを読む
SC平成30年度秋期
ワームによる事象の解析【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.2】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.2 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問2】 【セキュリティインシデントの発生】 ある日、セキュリティ管理部のJ主任にNSM […]

続きを読む
SC平成30年度秋期
情報セキュリティ対策の強化【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.1】

情報処理安全確保支援士試験 平成30年度 秋期 午後1 問2 No.1 【出典:情報処理安全確保支援士試験 平成30年度 秋期 午後1問2】 問2 セキュリティインシデント対応に関する次の記述を読んで、設問1〜4に答えよ […]

続きを読む
1(8)③利用者認証
IEEE 802.1X

特徴 IEEE 802.1Xとは、LAN内の利用者認証方式の規格で、不正にネットワークに参加することを防ぐ技術である。 有線LAN、無線LANとも利用可能だが、無線LAN環境における標準の認証機構として利用されている。 […]

続きを読む
5(6)アプリケーションセキュリティ
電子メール暗号化プロトコル

特徴 PGP(Pretty Good Privacy)とは、公開鍵暗号方式を使用して電子メールの暗号化、認証、改ざん検知を行うツールの一つ。通信を行う双方のメールソフトが対応していることが必要。公開鍵の検証にフィンガープ […]

続きを読む
5(1)セキュアプロトコル
TLS

特徴 TLS(Transport Layer Security)通信により、HTTPS(HTTP over TLS)、つまり、HTTP通信のデータを暗号化する。 HTTPの他、FTPやIMAPなどのTCPを利用するアプリ […]

続きを読む
5(2)認証プロトコル
SMTP-AUTH

特徴 SMTP-AUTH(SMTP Service Extension for Authentication)とは、SMTP(Simple Mail Transfer Protocol)の拡張機能で、メールクライアントか […]

続きを読む
1(7)攻撃手法
OSコマンドインジェクション

特徴 OSコマンドインジェクションとは、Webアプリケーションの脆弱性を悪用する攻撃手法の一つで、Webページ上でユーザの入力値を元にOSコマンドを使用して動的にWebページを生成するシステムで、入力値として不正な値とす […]

続きを読む
5(6)アプリケーションセキュリティ
HSTS

特徴 HSTS(HTTP Strict Transport Security)とは、WebサイトがWebブラウザに対してHTTPS(HTTP over TLS)での接続を強制させる機能である。 HTTPS化したWebサイ […]

続きを読む
1(3)②マルウェア・不正プログラム
Mirai

特徴 Mirai(ミライ)とは、ネットワークカメラや家庭用ルータ、スマート家電などのIoT機器を対象とするボット型のマルウェアで、2016年頃から報告されている。 感染した端末上で、ランダムなIPアドレスを生成してtel […]

続きを読む
4(1)②技術的セキュリティ対策
クラウドサービス区分

特徴 クラウドサービスは、JIS X 9401:2016(情報技術ークラウドコンピューティングー概要及び用語)により以下のような区分が定義されている。 IaaS(Infrastructure as a Service): […]

続きを読む
1(7)攻撃手法
MITB攻撃

特徴 MITB(Man-in-the-Browser)攻撃とは、Webサービス利用時の通信に対して、利用者のWebブラウザとWebサーバ間の通信に介入する攻撃のことで、利用者のパソコンなどに入り込んだマルウェアなどによっ […]

続きを読む
3(3)制御システムのセキュリティ評価
EDSA認証

特徴 EDSA(Embedded Device Security Assurance)認証は、制御システムの組込み機器である制御機器に関するセキュリティ保証に関する認証制度であり、ISA(The Internationa […]

続きを読む
1(7)攻撃手法
DNSリフレクタ攻撃

特徴 DNSリフレクタ攻撃とは、送信元IPアドレスを攻撃対象のIPアドレスに詐称したDNS問合せパケットを、多数の端末から一斉にDNSサーバへ送信し、応答パケットを攻撃対象に送りつける攻撃である。 DNSの応答パケットを […]

続きを読む
4(1)①人的セキュリティ対策
サイバーセキュリティ経営ガイドライン

特徴 サイバーセキュリティ経営ガイドラインとは、経済産業省とIPAが策定しているもので、企業の経営者向けにサイバー攻撃への対応方法が明記されているもの 2015年から公開され、最新版は2017年11月公開のVer2.0 […]

続きを読む
3(1)セキュリティ評価基準
FIPS PUB 140-2

特徴 FIPS PUB(Federal Information Processing Standards Publication)とは、米国の情報セキュリティ関連の文書で、NIST(National Institute […]

続きを読む
1(7)攻撃手法
マルチベクトル型DDoS攻撃

特徴 マルチベクトル型DDoS(Distributed Denial of Service:分散型サービス妨害)攻撃とは、複数のDDoS攻撃を組み合わせた攻撃のこと。 例えば、攻撃対象のWebサーバ1台に対して、多数のP […]

続きを読む
4(1)②技術的セキュリティ対策
ブロックチェーン

特徴 ブロックチェーンとは、仮想通貨(暗号通過)の基盤技術で、取引データとハッシュ値の組み(ブロック)を順次つなげて記録した分散型台帳を、P2P(Peer to Peer)ネットワークを介して多数の参加者が保有し、管理す […]

続きを読む
3(4)脆弱性評価の指標
CVE

特徴 CVE(Common Vulnerabilities and Exposures)は、ソフトウェア製品などで発見された脆弱性やインシデントについて情報を収集・公開しているデータベースの一つで、1999年から米非営利 […]

続きを読む
1(8)①暗号技術
AES

特徴 AES(Advanced Encryption Standard)は、米国標準の暗号化方式として2000年に採用された。 共通鍵暗号方式の一つで、無線LANの通信の暗号化やTLS通信で利用されている。 暗号化に用い […]

続きを読む
5(6)アプリケーションセキュリティ
ファジング

特徴 検査対象のソフトウェア製品に「ファズ(fuzz)」と呼ばれる問題を引き起こしそうなデータを大量に送り込み、その応答や挙動を監視することで脆弱性を検出する検査手法 問題を引き起こしそうなデータとは、例えば、極端に長い […]

続きを読む
1(7)攻撃手法
ブルートフォース攻撃

特徴 ブルートフォース(Brute Force)とは、「暴力」「強引な力」という意味で、いわゆる力任せの攻撃手法。「総当たり攻撃」とも呼ばれる。 考えられる全ての種類の文字列などの組み合わせを総当りで試行して、パスワード […]

続きを読む
1(7)攻撃手法
クロスサイトスクリプティング

特徴 クロスサイトスクリプティング(XSS:Cross Site Scripting)は、攻撃者による悪意のあるスクリプトをセキュリティの脆弱性があるWebサイトに横断させることによって攻撃を行う手法 この場合の脆弱性は […]

続きを読む
5(2)認証プロトコル
IEEE 802.1X

特徴 IEEE 802.1Xは利用者認証の方式を定めた規格で、主に無線LAN環境における認証機構として利用されている。 構成要素は以下の3つ サプリカント(supplicant):認証を受けるクライアント オーセンティケ […]

続きを読む
5(1)セキュアプロトコル
IPsec

特徴 IPsec(security architecture for IP)とは、TCP/IPネットワークで暗号通信を行うためのプロトコルの一つで、要素技術の組み合わせで実現される。 AH(Authentication […]

続きを読む
5(6)アプリケーションセキュリティ
HSTS

特徴 HSTS(HTTP Strict-Transport-Security)は、HTTPレスポンスヘッダフィールドの一つで、WebサイトがWebブラウザに対して、指定された期間において、当該Webサイトへのアクセスをh […]

続きを読む
5(2)認証プロトコル
EAP-TLS

特徴 EAP-TLS(Extensible Authentication Protocol – Transport Layer Security)は、認証プロトコルの一つで、サーバ認証にサーバ証明書、クライア […]

続きを読む
1(7)攻撃手法
ICMP Flood攻撃

特徴 ICMP Flood攻撃(Ping Flood攻撃)とは、攻撃対象に大量で大きなサイズのICMP echo要求パケットを送信することによって、攻撃対象そのものや攻撃対象が属するネットワークのリソースを枯渇させる攻撃 […]

続きを読む
1(8)③利用者認証
LDAP

特徴 LDAP(Lightweight Directory Access Protocol)とは、ディレクトリサービスにアクセスするためのプロトコルの一つで、ディレクトリツリーへのアクセス手順や、データ交換フォーマットを […]

続きを読む