Itパスポート勉強会for vb aer_ネットアップ版_20210731

情報処理技術者試験
を
利用したITの学び方
2021/7/31
Ryu.Cyber
Twitter: @CyberWintellig1

アジェンダ
 アイスブレイク
 ITって何（なん）ね？
 情報処理技術者試験とは
 試験対策オリエンテーション
 試験対策セキュリティー分野
 ネットワーク技術の解説
 マルウェア（ウィルス）対策
 鍵のお話

アイスブレイク
 アイスブレイクがてら自己紹介
 スライドでは割愛

ITって何（なん）ね？
 英語Information Technologyの略
 情報技術
 情報を情報技術を使って処理する情報処理技術
 情報技術に関連する工学、学問、技術
 計算機科学
 情報学
 情報工学
 通信工学
 暗号技術、暗号理論
 コンピュータセキュリティ、情報セキュリティ

情報を
 符号化する
 加工する、計算する
 通信する
 守る（暗号化）
 情報はなぜビットなのか
 https://www.nikkeibp.co.jp/atclpub
mkt/book/06/P82700/

で？情報技術ってなによ？
 ぶっちゃけ、数学です
 歴史の中で試行錯誤され
 効率化
 一般化
 体系化
 展開
 これが繰り返されて今に至る
 プログラマの数学
 https://www.hyuki.com/math/

情報処理技術者試験とは

情報処理技術者試験とは
 効率化
 一般化
 体系化
 展開
を学んで試す試験

 国家試験
 特定ベンダーの製品（Oracle Database、Microsoft Excel
など）に依存した問題の出題は禁止
 試験に出題されるソフトウェア（DBMS、表計算ソフトな
ど）はすべて架空（非実在）のソフトウェア
 ゆえに、即戦力となれる試験ではない

山の登り方
 ベンダー系試験
 と
 情報処理技術者試験
 実践（現場）からか
基礎理論からか

ITパスポート
 試験要綱Ver.4.6 2020年9月
14日掲載
 6ページ目
 https://www.jitec.ipa.go.j
p/1_13download/youkou_v
er4_6.pdf

VBAerと
 ITパスポートはITを利用する
人向け
 VBAerは基本情報のほうが重
なってる分野は広い

試験対策
 過去問シャッフルして繰り返し出題される
 ぶっちゃけ丸暗記でも
 過去は選択肢まで同じだった
 百人一首「むすめふさほせ」な試験対策もできた

試験問題解説の情報
 ITパスポートは入門試験の位置づけにしては範囲広い
 シラバス見て萎える
 問題が選択式のため、個々の問題解説は情報があるが数
行でわかりにくい
 過去問集本、サイト
 ITパスポート試験ドットコム
 https://www.itpassportsiken.com/

出題分野と関連ある資格、職
場組織
分野職場資格
ストラテジ幹部
本社部門
経営企画部
ITストラテジ
マネージメント PM
PL
システム運用
サービスデスク
プロジェクトマネージャー
ITサービスマネージャー
情報処理案件確保支援士
テクノロジー開発
設計
システム構築
システムアーキテクト
ネットワークスペシャリスト
データーベーススペシャリスト
エンベデッドシステムスペシャリスト

分野職場資格
ストラテジ幹部
本社部門
経営企画部
ITストラテジ
マネージメント PM
PL
システム運用
サービスデスク
プロジェクトマネージャー
ITサービスマネージャー
情報処理案件確保支援士
テクノロジ開発
設計
システム構築
システムアーキテクト
ネットワークスペシャリスト
データーベーススペシャリスト
エンベデッドシステムスペシャリスト
ITパスポートの試験が
なぜ難しくかんじるのか
 上級職、上級資格の
出題範囲も含まれる
 上級資格の午前試験
問題と同じものが出
題される
 選択式問題は用語を
知っておいてね
 記述式問題は自分の
言葉で説明してね
 論述式問題は自分の
考えを論じてね

各分野のつながり
 テクノロジ
 情報数学
 CS(コンピュー
ターサイエンス、
計算機科学)
 マネージメント
 生産工学
 OR
 QC（品質）
 ストラテジ
テクノロジ
マネージメント
ストラテジ

ITパスの出題順と逆
 ITパスポート
 ストラテジ
 マネージメント
 テクノロジ
 昔の情報処理技術者試験、高度の午前
 テクノロジ
 マネージメント、ストラテジ

シラバス
 https://www.jitec.ipa.go.jp/
1_13download/syllabus_ip_ve
r5_0.pdf

ITパスポート試験ドットコム
https://www.itpassportsiken.com/
 サイトの紹介を行いました

参考書
問題解決の数理
放送大学
https://info.ouj.ac.jp/~maps17/

放送大学
 無料公開トップ
 https://v.ouj.ac.jp/view/ouj/#/navi/vod?ca=491
 007 身近なネットワークサービス（’２０） 1570412p
 15 Webのしくみと応用（’１９） 1570358p
 021 コンピュータとソフトウェア（’１８） 1570285p
 031 コンピュータの動作と管理（’１７） 1570234p
 012 経営情報学入門（’１９） 1548557p

gacco
 一覧
 https://gacco.org/list.html
 個人で実践安心・安全なインターネット利用
のためにできること
 https://lms.gacco.org/courses/course-
v1:gacco+pt035+2020_02/about
 家族で実践安心・安全なインターネッ
ト利用のためにできること
 セキュリティ・プライバシ・法令
v1:gacco+ga135+2021_06/about
 はじめてのデジタル変革（自治体編）
 【経営学】事例から学ぶデジタル・トランスフォー
メーション
 アーキテクチャ・品質エンジニアリング
 はじめて情報システムを学ぶ学生・生徒のために

Fisdom
 https://www.fisdom.org/

JMOC
 https://www.jmooc.jp/
 gacco、Fisdomをまとめて検索できる

オリエンテーションまとめ
 広く浅く出題される
 問題は高度分野と同じだから難しい
 情報漏洩を抑止したい、セキュリティの分野重視されて
る
 つながるからセキュリティが必要
 つながる＝ネットワーク技術
 今後はIoTも（ここ3回で出題が6問と急に増えている）
 むやみにやっても効率悪いから戦略（ストラテジ）があ
り、マネジメントがある
 経営戦略とつながり

後半
 セキュリティ分野
 ネットワーク技術の解説
 どこのレイヤー、どのプロトコルのセキュリティか？
 例題
 マルウェア（ウィルス）対策
 今主流の攻撃
 どう守るか？
 技術、マネジメント
 例題
 鍵のお話
 例題

セキュリティ分野
 つながるから侵入される、漏
れる
 NW
 故にNW技術を知らないとセ
キュリティ技術の理解は無理

セキュリティー
 システムのセキュリティー
 テクノロジー系
 NW、プロトコル
 OSI
 IP
 TCP、UDP
 DNS
 SSL
 Web、メール、ファイル転
送
 アプリケーション、プログラミ
ング系
 OS
 パッケージ、プレーレームワーク
 ライブラリー
 暗号
 人のセキュリティー
 マネージメント系
 人の行動
 入退出管理

ネットワークの仕組み
 階層構造
 覚え方
 上からあぷせとねでぶ
 下の層で障害あると上もだめ
 解説図は以下
 https://www.linuxacademy.ne.jp/lablog/infrastructure/155/
から
 http://www.linuxacademy.ne.jp/lablog/wp-content/uploads/2015/02/osimodel.jpg
を参照

あるPCがWebサイトにアクセ
スする手順
 Webサイト cyber-dyne.tk にアクセスしたい
サーバー
cyber-dyne.tk
PC

あるPCがWebサイトにアクセ
スする手順
 Webサイト cyber-dyne.tk にアクセスしたい
 cyber-dyne.tkのIPアドレスは？
 IPアドレスどやって調べるっけ？DNS
 DNSサーバーのIPは？
 DNSサーバーはどこ？ L3の通信先設定
 DNSサーバー、D-GWのMACアドレスは？ L2の通信先設定
 DNSへドメインとIP変換のリクエスト
 DNSサーバーからIP情報受け取る
 HTTPのパケット作成、L2の通信先設定、L3の通信先設定
 TCPセッション開始
 HTTPリクエスト送信
 HTTPリクエスト受信
 TCPセッション終了
サーバー
cyber-dyne.tk
PC
TCPのセッションについては今回
は時間の関係で割愛しました

DNSサーバーはどこの使ってる？
サーバー
cyber-dyne.tk
PC

DNS情報の伝搬
サーバー
cyber-dyne.tk
PC

DNS関連の出題
 ITパスポート令和3年春問56
 https://www.itpassportsiken.com/kakomon/03_haru/q56.html
 偽サイトへの接続

内か外か
サーバー
cyber-dyne.tk
PC
D-GW
LAN
プライベートIP
WAN
グローバルIP
アドレス変換(NAT)
ルーティング

IPアドレスの出題
 ITパスポート平成29年秋期問84
 https://www.itpassportsiken.com/kakomon/29_aki/q84.html

NATの出題
 ITパスポート令和元年秋期問65

IPアドレス用語
 IPアドレス
 グローバルIPアドレス
 プライベートIPアドレス
 NAT

MACアドレス、ハードウェア
アドレス
 APR

MACアドレスの問題
 ITパスポート平成28年春期問68

中間まとめ
 情報セキュリティ技術はネットワーク技術との結びつき
が強い
 ネットワーク技術を理解
 どこのレイヤーのセキュリティ技術か？を理解

マルウェア
 マルウェア、ウィルス
 ソフトウェアの脆弱性
 人のミス、バグ
 想定外
 ライブラリーの脆弱性
 内製するアプリの脆弱性管理
 アンチマルウェア

マルウェア
 昔はコンピューターウィルスという呼び方
 今はマルウェア
 Wareとつくのでソフトウェア（プログラム）

今主流の攻撃
 外からいきなりはつなげない
 だから中から如何にダウンロードさせるか
 トロイ、水飲み場攻撃
サーバー
cyber-dyne.tk
PC

マルウェアの出題

どうやって悪さするか
 バッファオーバーフロー
 想定量のビールをつぐ
 こぼれる
 こぼれるビールがわるさする
 想定量の超えるデーター
 こぼれる部分に悪さするロ
ジックを

VBAで例えると
 想定外のセルまでデーターを上書き、欠損
 上書きされたセルデーターを利用してプログラムは動い
ていた、さらに想定外の動きをする

バッファオーバーフローの
出題

アンチマルウェア
 存在するマルウェアの情報を集中管理、日々更新
 発見されてからDB登録、タイムラグがある
 各ベンダー毎（トレンドマイクロ、カスペルスキー、
Msetc）
 DBはマルウェアのパターン情報(ハッシュ値）
 データーIOのタイミング（ファイルの読み書き、メール
送受信、Webアクセスetc）でチェック
 フルスキャン
 検知したファイルを隔離
 振る舞い検知

マルウェア対策の基本行動
 定義ファイルの最新化
 定期的なスキャン

アンチマルウェア対策の例
 アンチマルウェアをインストールするだけではだめ
 検知したときの行動ルール制定
 教育
 状況の集中管理

マルウェアおよび対策の出題
 情報セキュリティマネジメント平成28年春期午前問14
 https://www.sg-siken.com/kakomon/28_haru/q14.html

マルウェアおよび対策の出題

ソフトウェアの脆弱性
 人のやることは100%完璧ではない
 現時点では100％完璧であっても、未来ではどうか？
 2000年問題
 利用するライブラリーは100％完璧ですか？
 当然内製するアプリにも脆弱性が存在
 作るマクロにも

脆弱性データーベース
 脆弱性管理
 ここのベンダー、ソフト開発元
がバラバラに管理してては効率
悪い
 共通管理しましょう
 JVN
 CVE
 発見されたら登録

脆弱性管理の出題
 情報処理安全確保支援士平成30年秋期午前Ⅱ 問2
 https://www.sc-siken.com/kakomon/30_aki/am2_2.html

セキュリティーマネジメント
 脆弱性対応の例

システムの脆弱性管理の例

脆弱性管理のシステム
脆弱性DB
利用しているOSS
ライブラリー情報DB
自分が使ってい
るもので脆弱性
があるもの

試験外
DetExploit
• 五個のオープンな脆弱
性データベースを使用
• ExploitDB, JVN, NVD,
JPCERT, US-CERT
• これらは全て無料で
使用できて、信頼で
きるデータベースで
す。

システム開発を例に
 セキュリティーマネジメントの考え方
 セキュリティーを意識した開発の考え方
 CI/CD
 脆弱性情報管理の効率化

鍵のおはなし
 暗号
 復号
 共通鍵暗号方式
 公開暗号方式/非対称鍵暗号方式
 公開鍵
 秘密鍵
 認証局
 失効リスト
 ハッシュ

ゴルゴ13
 ゴルゴ13 暗号でググる

 https://45kaku.com/itpassport_
text_63-04/
 秘密の国のアリス
 https://www.hyuki.com/cr/
 第1章は立ち読みできるよ

暗号、復号
 暗号文
 平文（ひらぶん）
 へいぶんではない
 音読み訓読み
 買春（かいしゅん）と同じ読み方
https://45kaku.com/itpassport_text_63-04/

暗号、復号とは
 演算です
 データー（文字列、数値etc）
 鍵（データー）
 データー＝数値
 n bit長
 データーとデーターを演算して暗号、復号
 計算量
 共通鍵暗号方式
 公開鍵暗号方式

共通鍵暗号方式
 暗号、復号に共通の1つの鍵を使う
 例：パスワードzip
 AES 共通鍵暗号方式が使われている
 暗号化するときにパスワード設定
 復号するときに暗号化したときと同じパスワードを使う
 パスワードという文字列を数値として
 平文（データー）をキー（パスワード＝数値）で演算、暗
号化
 逆もまたしかり

公開鍵暗号方式
 Aさん（サーバーA）が、鍵のペアを1組作ります
 片方pを秘密鍵とします
 もう片方qを公開鍵とします
 ペアのどちらをp,qにするかは自由
 鍵pで演算（暗号化）したデーターは鍵qでのみ復号可
 鍵qで演算（暗号化）したデーターは鍵pでのみ復号可

公開鍵暗号化、復号
 Aさんに対して暗号通信を行いたい
 BさんはAさんの公開鍵を入手
 Bさんが作成する平文をAさんの公開鍵で暗号（暗号文
α）
 暗号文αは Aさんの秘密鍵でだけ復号可能
 暗号演算を行ったBさんも復号不可

デジタル証明書
 Aさんが作成したデーターであると証明したい
 Aさんは作成したデーターとともに証明書を添付
 証明書とは？
 作成したデーターに関してAさんの秘密鍵で暗号化したデー
ター
 受信したBさん
 受信したデーター
 受信した証明書をAさんの公開鍵で復号
 2つを比較して同じならAさんが作成したデーターじゃん

認証局
 印鑑証明と役所
 印鑑は自分で作成、公開鍵も自分で作成
 印鑑を登録して役所が証明
 公開鍵に認証局が証明書を発行
 印鑑は印影
 指紋なら、DNAなら
 悪いことしてないと○○署には登録されてませんが
 指紋の認証局としては○○署が役割を果たしてる
 歯形、歯医者
 マイナンバーDBに全部登録すれば？

失効リスト
 秘密鍵が漏洩したら、紛失したら
 無効ですよってリストで管理
 印鑑証明の無効化届

ハッシュ
ハッシュ関数
 暗号演算は計算量大きい、計算時間かかる
 処理重くて実用性があるか？
 演算するデーター量を圧縮しましょう
 ハッシュ関数
 MD5，SHA-1,SHA-2(SHA-224、SHA-256、SHA-384、SHA-
512、SHA-512/224、SHA-512/256)
 メッセージダイジェスト

ハッシュ関数
 でかいデーターも一定の長さ（ビット長）に圧縮する
 圧縮したデーターハッシュ値
 ハッシュ値から元データーの復元はできません
 一方方向
 ことなる2つ以上のデーターが同じハッシュ値になることを
コリジョン（衝突）
 ハッシュのコリジョン事例が発見されるとハッシュアルゴ
リズムの脆弱性と判断される
 扱うデーター量が増えるにつきコリジョンの確率があがる
 ハッシュアルゴリズムも改良され、ハッシュ値が長くなる

暗号の出題
 ITパスポート令和3年春期問76

暗号の出題
 ITパスポート令和元年秋期問93
 ITパスポート令和2年秋期問100

暗号の出題
 応用情報技術者平成29年秋期午前問36
 https://www.ap-siken.com/kakomon/29_aki/q36.html
 基本情報技術者平成30年秋期午前問38
 https://www.fe-siken.com/kakomon/30_aki/q38.html

 以上ご清聴ありがとうございました

Itパスポート勉強会for vb aer_ネットアップ版_20210731

Recommended

Recommended

More Related Content

What's hot

What's hot (16)

Similar to Itパスポート勉強会for vb aer_ネットアップ版_20210731

Similar to Itパスポート勉強会for vb aer_ネットアップ版_20210731 (20)

Itパスポート勉強会for vb aer_ネットアップ版_20210731