H25 SC 復習
H25 秋 セキスぺ 午前Ⅱ
問1 RLO(Right-to-Left Override)
RLOとは，ファイル名の文字の並びを右から左に向かって読むように
変更する制御文字のことである．
RLOを利用してファイル名の拡張子を偽装することで，
危険なファイルを安全な別な種類のファイルに見せかけて開かせる攻撃手口がある．
問2 XMLディジタル署名
XMLディジタル署名とは，XML文書にディジタル署名を行う技術である．
署名の対象となるXML文書全体だけでなく，
文書中の指定したエレメントに対しても署名することができる．
XML署名には以下3種類がある．
１．Enveloped署名
署名対象オブジェクト内部に署名が置かれる．
２．Enveloping署名
署名内部に署名対象オブジェクトが置かれる．
３．Detached署名
署名対象オブジェクトと署名は独立し，オブジェクトはURIで参照できる．
【選択肢】
イ：エンベローピング署名
上述．
ウ：CMS
CMS（Cryptographic Message Syntax）は，署名形式の1つ．
エ：ASN.1
ASN.1（ Abstract Syntax Notation One ）は，データ構造や通信プロトコル等を
記述する記法であり，CMSやS/MIME SSL等で用いられている．
問4 WPA2（Wi Fi Protected Access Two）
WPA2では，暗号化アルゴリズムにAES（Advanced Encryption Standard ）を
採用し，暗号方式はCCMPを使用する．
問5 CVE(Common Vulnerabilities and Exposures)
CVE（共通脆弱性識別子）は，製品の脆弱性を識別するための識別子である．
問6 サイドチャネル攻撃
サイドチャネル攻撃とは，耐タンパ性を備えたICカードやTPMなどに対し物理的に
破壊することなく外部から観察可能な情報や外部から操作可能な手段を利用して
暗号鍵や復号鍵などの機密情報を奪取する手法である．
タイミング攻撃は，サイドチャネル攻撃の一種であり，
暗号化や復号に要する時間の差異を精密に測定することにより
用いられている鍵を推測する手法である．
問7 TEMPEST(Transient ElectroMagnetic Pulse Surveillance Technology)
TEMPESTとは，パソコンのディスプレイ装置や接続ケーブルなどから
放射される微弱な電磁波を傍受しそれを解析することによって
入力された文字や画面に表示された情報を盗む攻撃手法である．
問12 SPF(Sender Policy Framework)
あらかじめ正当な SMTP サーバのIP アドレス（ SPF レコード）を
登録しておくことにより送信元を詐称した電子メールを拒否する仕組みである．
問14 DNS amp(DNSリフレクション)
DNS ampとは，DNS サーバ（キャッシュサーバ）に対して発信元アドレスを
攻撃のターゲットとなるホストのアドレスに詐称しかつ応答メッセージのサイズが
大きくなる（増幅される）クエリを送ることによりその応答メッセージによって
ターゲットホストをサービス不能状態に陥らせる攻撃である．
DNS ampの対策としては，DNS サーバをキャッシュサーバと
コンテンツサーバに分離し，キャッシュサーバはインターネット側からの
リクエストには応じないようにするのが有効である。
問18 リンクアグリゲーション
リンクアグリゲーションとは，コンピュータとスイッチングハブ
（レイヤ2スイッチ）の間，もしくは2台のスイッチングハブの間を
接続する複数の物理回線を論理的に1本の回線にまとめる技術である．
【選択肢】
ア：スパニングツリー
ループ状態になったネットワークにおいて，平常時は通信経路の一部を
あえて使用不可状態にすることでパケットが無限に循環するのを防止する技術である．
平常時の経路に障害が発生した場合には，
使用不可状態を自動的に解除して通信を再開する。
イ：ブリッジ
データリンク層（第２層）でパケットの中継を行う装置である。
ウ：マルチホーミング
負荷分散や耐障害性の向上を目的として 複数の経路（ ISP ）を
使ってインターネットなどの外部ネットワークに接続することである。
問19 IMAP4 (Internet Message Access Protocol)
IMAP4は，利用者端末がサーバから電子メールを受信する際に
用いられるプロトコルである．
選択したメールだけを利用者端末へ転送する機能，
サーバ上の電子メールを検索する機能，
電子メールのヘッダのみを取り出す機能などがある．
【選択肢】
イ：MIME Multipurpose Internet Mail Extension ）
電子メールで画像，音声，動画などのバイナリデータを扱うための拡張規格である．
ウ：POP3 Post Office Protocol ）
利用者端末がサーバから電子メールを受信するために使用する
プロトコルであるが，選択したメールだけを利用者端末へ転送する機能や
サーバ上のメールを検索する機能などはない．
エ：SMTP Simple Mail Transfer Protocol ）
電子メールを送信するために使用するプロトコルである．
問20 サブミッションポート
サブミッションポートは，迷惑メール対策としてSMTP ポートの代わりに
投稿専用のポートとして使用する．
ボットなどが迷惑メールを送信する際にISP（Internet Services Provider ）の
メールサーバを経由せず直接送信先のメールサーバの25番ポートに接続して
SMTPコネクションを確立する手口が用いられたため，
これをOP25B（Outbound Port25 Blocking ）により
遮断する対策が行われるようになった．
OP25BとはISPが動的IPアドレスを割り当てたネットワークから
当該ISPのメールサーバを経由せずにISP管理外のネットワーク（外向き）に
直接出ていく25番ポート宛のパケット（SMTP ）を遮断する方式である．
OP25Bが設定されている環境で正当な利用者が自社のメールサーバなどと
直接SMTPコネクションを確立してメールを送信する必要がある場合には
25番ポートではなくサブミッションポートを使用する必要がある．
サブミッションポートへアクセスしてきたユーザをSMTP AUTHによって
認証することでボットなどからの投稿を受け付けないようにするほか
TLSによって通信を秘匿化することも可能である（ Submission over TLS ）．
問21 分散データベースシステム
分散データベースシステムにおいては，データベースが分散さ れていることを
ユーザが意識することなく利用できる環境を提供する必要がある．
これを分散データベースシステムの透過性という．
分割に対する透過性とは， 一つの表が複数のサイトに分割して格納されていても
ユーザがそれを意識することなく利用できることである．
【選択肢】
ア：移動に対する透過性
データの格納サイトが変更されても，
利用者のアプリケーションや操作方法に影響がないこと．
イ：重複に対する透過性
同一のデータが複数のサイトに格納されていても，
利用者はそれを意識せずに利用できること．
エ：位置に対する透過性 の説明である。
利用者がデータベースの位置を意識せずに利用できること．
問22 フールプルーフ
フールプルーフとは，不特定多数のユーザが操作しても誤動作などが
起こりにくいように設計することである．
【選択肢】
イ：フェールセーフ
システムに障害が発生した場合に安全な方向に向かうように制御することである．
ウ：フェールソフト
システムに障害が発生した場合に 機能を縮退させて運用を継続することである．
機器を多重化することにより 高信頼性，高可用性を確保することである．
問23
要求が明確になっており全機能を一斉に開発するのであれば
ウォーターフォールモデルが適している．
簡易なシステムを実装して動作を評価しながら要求を明確にしその後全機能を
一斉に開発するのは プロトタイピングモデルである．
最初に要求が確定した部分だけを開発し，その後に要求が確定した部分を
逐次追加していくのは 進化的モデルである．
問24
ITサービスマネジメントの問題管理プロセスは，インシデントをはじめ
IT サービスにおける問題の根本原因を追究して解決するとともに
再発防止策を策定することを目的としている．
インシデントにつながる可能性のある事象や予兆について管理し，
問題の発生を未然に防ぐことも重要な役割である．
プロアクティブな活動とは，問題の発生に備え事前に行う活動のことである．
問25
SaaS（Software as a Service ）は，クラウドコンピューティングの提供形態の
一つであり，クラウドサービス事業者がアプリケーションを提供し
ユーザ企業は必要なアプリケーションを選択して利用する．
SaaSの利用者環境からシステム監査人が評価できるのは
アプリケーションの利用者 ID である．
参考
情報処理教科書 情報処理安全確保支援士 2023年版
