Recommended
More Related Content
Recently uploaded
Featured
Featured (20)
04 heisei30autumn
- 2. まずは一緒に読みましょう
- 5. 用語１－２ 【ＤＮＳサーバ】 • 『Domain Name System』 • ドメイン • インターネット上の住所 • ＩＰアドレスを紐付けて分かりやすくしたもの • （例）Googleのサイトは 『https://www.google.com/』でもアクセスできるが、 『172.217.161.227』でもアクセスできる • ＤＮＳサーバ • 『https://www.google.com/』という名前の ＩＰアドレスが幾つなのかをしるために 問い合わせるサーバのこと 5
- 6. まずは一緒に読みましょう
- 8. 用語２－１ 【DMZ】 • DeMilitarized Zone • 『非武装地帯』 • 『武装』とは、ファイヤーウォールやセキュリティで 守られている状態を現わしている • 『非武装地帯』は、例えば『Yahoo!!』の会社が用意したホームページや メールサーバなど、組織内部と外部の接触点となる領域のこと • DMZのセキュリティを上げすぎると外部からアクセスしにくくなるし、 セキュリティを下げすぎるとウイルスが入ってきやすくなる 8
- 11. まずは一緒に読みましょう
- 13. 用語４ 【ポートスキャン】 • ファイヤーウォールで閉じられていないポートをスキャンすること • ポートには1番から65,535番まであり、それぞれ 『ＴＣＰ』『ＵＤＰ』を選べる （つまり全ポート全種類のスキャンをするなら131,070回 実施することになる） • ＴＣＰ通信とＵＤＰ通信 • ＴＣＰはコネクション確立型 →信頼性は高いが低速 （例）Ｗｅｂ閲覧など • ＵＤＰはコネクションレス型 →信頼性は低いが高速 （例）ストリーミング配信など 13
- 14. まずは一緒に読みましょう
- 17. 用語５－２ 送信ドメイン認証 →【ＳＰＦ】 • 『Sender Policy Framework』 • 受け取ったメールが『なりすまし』で無いかを確認する手段 • 受け取ったメールの『ドメイン』と『ＩＰアドレス』を 公開されている『ＳＰＦレコード』と比較して一致しているか検証する 17
- 18. 用語６ 【ゾーン情報】 18 • （正直榊原もよく分かってないです…） • （多分）ＤＮＳの文字列と、ＩＰアドレスを関連付けるための、 企業側ＤＮＳサーバに必要な登録情報 • ゾーン情報を変更することで、 ＵＲＬとＩＰアドレスの組み合わせを 変えることができる
- 19. まずは一緒に読みましょう
- 22. 用語７ 【ＳＱＬインジェクション】 22 • Ｗｅｂサイトのログイン画面などで、入力欄に意図的に文字列を 入れ、特定のＳＱＬ文を完成させることで、管理者が予期しない 画面や状態に遷移させる攻撃。
- 23. まずは一緒に読みましょう
- 24. 問題①
- 25. • 設問１（１） • 先述より。 ∴ a：ウ ＵＤＰ • ここでの『不備』とは、Ｗｅｂサイトにアクセスした人の 状態を正しく追えない、といったこと。 • セッションとは、ユーザがはWebサイトにアクセスして行う 一連の行動を示す。 ∴ b：キ セッション管理 25 解説①
- 26. • 設問１（２） • 診１：違う。SSH通信をしている、などであれば正解。 • 診２：文中より、未設定かどうかが問題であるので、 バージョンアップで直るわけではない。 • 診４：メールサーバとＷｅｂアプリケーションは 異なる機能であるため違う。 ∴ 診３ 26 解説①
- 27. • 設問２（１） • 『Sender Policy Framework』 • 受け取ったメールが『なりすまし』で無いかを確認する手段 • 受け取ったメールの『ドメイン』と『ＩＰアドレス』を 公開されている『ＳＰＦレコード』と比較して一致している か検証する ∴ d：エ ＳＰＦ e：カ 送信元 27 解説①
- 28. • 設問２（２） • 本文中に「各サーバで稼働するサービスへのアクセス制限は， ファイアウォール及び各サーバのＯＳがもつＦＷ機能の両方 で実施することになっている」と説明されている • また『脆２』は『ＤＢＭＳ』の脆弱性なので、ファイア ウォールとＷｅｂサーバがもつＦＷ機能の両方で防ぐ 必要がある ∴ f：ＦＷ g：Ｗｅｂサーバ 28 解説①
- 30. 問題②
- 32. • 設問３（１） • 〔下線②について〕 ②は解答群のうち委託先企業のセキュリティ管理に関連する ものを選ぶ。 供給者関係における情報セキュリティについては、以下のよ うに規定がJIS Q 27001の附属書 Aにある。 • 組織の資産に対する供給者のアクセスに関連するリスクを 軽減するための情報セキュリティ要求事項について， 供給者と合意し，文書化しなければならない。 • 組織は，供給者のサービス提供を定常的に監視し， レビューし，監査しなければならない。 委託先企業のセキュリティ対策の実施状況を 確認するためには、情報セキュリティ要求事項について 合意し、それを定期的に監視・監査しなければならない。 よって、解答群の中では「実施すべきセキュリティ対策を定 めて監査する。」が最も適切。 ∴ウ：実施すべきセキュリティ対策を定めて監査する。 32 解説②
- 33. • 設問３（２） • ソフトウェアの企画・設計段階からセキュリティの専門家を 参加させる狙いとして、脆弱な暗号化方式の使用に関連する ことを答えるのが妥当である。 • （市販ソフトウェアでは、更新により強固な暗号化方式への アップデートが行われるのが通常だが、委託開発する 自社ソフトウェアの場合には、このような更新は行われず、 委託先企業のセキュア設計のレベルによっては脆弱な暗号化方式 を採用することがないとは言えない。 一度開発されたソフトウェアは中長期的にわたり 使用されるので、将来的な展望や用途及びリスクを考慮した 適切な暗号化方式を選択するために、セキュリティの専門家の 意見を取り入れることは重要） • したがって、“脆3”の対策として企画・設計段階からセキュ リティの専門家を参加させる狙いは、「危殆化していない暗 号化通信方式を採用するため」が適切と考えられる。 ∴危殆化していない暗号化通信方式を採用するため 33 解説②