高度午前Ⅱ試験（DB，ES，AU）セキュリティレベル 4
2019,12,20（株）アイテック

補足資料
IT 人材教育研究部

はじめに
令和 2 年度春期試験から，プロジェクトマネージャを除く高度情報処理技術者の午前Ⅱ試験で，セキュリティ分野の問題を最も高いレベル 4 で出題し，かつ，重点分野として出題数を増やすことが発表されました（プロジェクトマネージャの午前Ⅱ試験は，現在のレベル 3 のままです）。出
題数は，各試験で従来よりも 1～2 問増えると予想しています。
なお，各試験でセキュリティ関連問題が全てレベル 4 で出題されるわけではなく，従来も出題されている応用情報技術者試験のレベル 3 問題に加えて，各試験区分の人材像にとって関連性の強い知識項目がレベル 4 として出題されます。
・参考 URL
https://www.jitec.ipa.go.jp/1_00topic/topic_20191105.html
この補足資料では，令和 2 年度春期のデータベーススペシャリスト試験（DB），エンベデッド
システムスペシャリスト試験（ES），システム監査技術者試験（AU）を受験される方が，試験区分に関係なく理解しておくべき，暗号化や認証，サイバー攻撃などのセキュリティ（レベル 4）の知識と，各試験区分ごとに理解しておくべきセキュリティ（レベル 4）の知識を，シラバスの内容を基に説明しています。
試験種別に関係なく共通して理解しておくべきレベル 4 の知識

下記が新しい内容です。

ぜいマルウェア・不正プログラム，脆弱性，攻撃者の種類・動機，攻撃手法，暗号技術，認証技
術，公開鍵基盤，情報セキュリティ組織・機関，セキュリティ関連制度・規格[各試験ごとに理解しておくべきレベル 4 の知識]
・DB……データベースセキュリティ，アプリケーションセキュリティ
・ES……制御システムのセキュリティ評価，IoT システムの設計・開発におけるセキュリティ
・AU……前記の DB，ES 向け知識，セキュリティ評価基準，脆弱性評価の指標，セキュリティ
情報共有技術，マルウェア解析
関連問題が既に出題されている場合は，問題と解説も収録しています。この資料の内容を理解して，来春の午前Ⅱ試験を余裕をもって突破していただきたいと思います。
・参考資料の URL「情報処理安全確保支援士試験（レベル 4）」シラバス 追補版（午前Ⅱ）Ver.3.0
https://www.jitec.ipa.go.jp/1_13download/syllabus_sc_am2_tsuiho3_0.pdf
レベル 4 の知識を理解するには，応用情報技術者試験レベルのセキュリティの知識が必須になるので，まずはじめに「基本情報レベル」→「応用情報レベル」のセキュリティ知識を十分に理解し，その上でこの資料の内容を学習していただくことをお勧めします。
1

Copyright by ITEC Inc., 2019

０．各試験共通のセキュリティ（レベル４）
ここで説明した内容は，高度系試験で出題が予想されるレベル 4 のセキュリティの知識で，試験種別に関係なく理解しておく必要があると思われるものです。これまでの情報処理技術者試験（レベル 3）で出題されている内容も含まれていますが，概要を理解しておきましょう。基礎知識に不安のある方は，基本情報，応用情報レベルの知識から復習してください。
(1)①

情報セキュリティ
マルウェア・不正プログラム
・ボットネット，C&C サーバ
ボットは，コンピュータの中に潜み，ネットワークを経由して受け取った命令を実行する攻撃プログラム（マルウェア）で，感染するとコンピュータが遠隔操作されてしまう。
ボットネットは，ボットに感染したコンピュータ群とこれらを遠隔操作する C&C サーバ（Command and Control server）で構成されるネットワークである。
C&C サーバは，標的型攻撃において，ボットに感染した PC などを攻撃者が遠隔操作するためのサーバで，ボットは PC からインターネット上の C&C サーバにアクセスするバックドア通信（コネクトバック通信）を行い，PC への不正な指令や新たなマルウェアを受け取らせるために使用される。
なお，ボットネットを統制して，悪意のある行為を指揮する者をボットハーダ（botherder）という。
・ステルス技術（ポリモーフィック型，メタモーフィック型ほか）
ステルス技術とは，攻撃相手がマルウェアに感染していることに気づかないように隠ぺいする技術である。
ポリモーフィック型マルウェアは，感染ごとにマルウェアのコードを異なる鍵で暗号化することによって，パターンマッチング方式のマルウェア対策ソフトでは検知されないよ
うにしたもの。復号するプログラム部分は変わらないので，この部分が検知されるとマルウェアとして認識されてしまう。
メタモーフィック型マルウェアは，自分自身のマルウェアのコードを書き換えることによって検知されないようにしたもの。それぞれが違うコードになるためパターンマッチン
グによる検知が困難になる。
・ファイルレスマルウェア
従来のマルウェアと異なり，攻撃用のプログラム（プログラムファイル）を対象となる機器に保存せずに攻撃を行うマルウェア。Windows などの OS に初めから組み込まれているソフトウェアやツールのコードを悪用して攻撃を実行する。通常利用するツール・プロ
グラムが悪用されるため，マルウェア対策ソフトや専門家によっての検出が困難である。

2

Copyright by ITEC Inc., 2019

・エクスプロイトキット（Exploit Kit）
OS やアプリケーションソフトウェアの脆弱性を悪用した攻撃ができる複数のプログラ
ムや管理機能を統合したツールが，エクスプロイトキット（Exploit Kit）である。脆弱性に関する専門的な知識がなくても，エクスプロイトキットを利用することによって，不正な活動が簡単にできてしまう。脆弱性を悪用するプログラムはエクスプロイトコードと呼ばれ，端末においてエクスプロイトコードを実行させれば，ダウンロードされたマルウェ
アに感染させるといったことなどが容易にできる。
②

脆弱性
・バッファエラー
メモリバッファ上で処理を行うソフトウェアにおいて，確保したバッファの境界外への読み書きが可能なときに発生する脆弱性のこと。
特定の言語ではメモリアドレスの直接指定が許可されているため，他のプログラムの変数や関連するメモリの位置への読み書きが可能である。このため，攻撃者は任意のコード
実行，意図する制御フローへの改ざん，機密情報の読取りやシステム破壊が可能になる。
・パスワードのハードコード（hard code）
プログラムに本来記述すべきでないパスワードを直接記述することをハードコードという。暗号化されたソースプログラムの解読や，実行形式プログラムの逆アセンブルによって情報を取られてしまう。なお，パスワードの他に IP アドレス，暗号化鍵，実行環境などの情報も書き込むべきではないとされている。
・レースコンディション（race condition）
排他制御の不具合などによって変数やファイルの競合が発生し，データの整合性が保証されなくなる脆弱性のこと。並列動作する複数のプログラム（プロセスやスレッド）が同
じリソースに対して，ほぼ同時にアクセスしたとき，予定外の処理結果が生じる問題である。
・BlueBorne（ブルーボーン）
BlueBorne は，2017 年 9 月に公開された Bluetooth（近距離無線通信の規格の一つ）の実装における複数の脆弱性情報の呼称である。Android，iOS，Windows，Linux などの複数の OS に存在し，これらの脆弱性が悪用された場合，Bluetooth の電波が届く範囲内から攻撃者によって任意のコードが実行され，デバイスを不正に操作されたり，情報を窃取されたりする可能性がある。

3

Copyright by ITEC Inc., 2019

問題

(H30 春-AP 問 39)

ポリモーフィック型マルウェアの説明として，適切なものはどれか。
ア インターネットを介して，攻撃者が PC を遠隔操作する。
イ

感染ごとにマルウェアのコードを異なる鍵で暗号化することによって，同一のパターンでは検知されないようにする。
複数の OS 上で利用できるプログラム言語でマルウェアを作成することによって，ウ

複数の OS 上でマルウェアが動作する。
エ

ルートキットを利用して，マルウェアに感染していないように見せかけることによって，マルウェアを隠蔽する。

解説
ポリモーフィック（polymorphic）は，多様あるいは多態という意味である。ポリモー
フィック型マルウェアの特徴は，感染ごとにマルウェアのコードを異なる鍵で暗号化することによって，同一のパターンでは検出されないようにすることである。したがって，（イ）が適切である。なお，ポリモーフィック型マルウェアは，ミューテーション型マ
ルウェアとも呼ばれ，ミューテーション（mutation）は，突然変異という意味である。
ア：RAT（Remote Administration Tool）型マルウェアの説明である。
ウ：クロスプラットフォーム対応のマルウェア。マルチプラットフォーム対応のマルウ
ェアとも呼ばれる。
エ：ステルス型マルウェアの説明である。
正解

(2)

イ

①

攻撃者の種類・動機，攻撃手法
攻撃者の種類・動機・ダークウェブ（Dark Web）
社会的に問題になっている違法性のある Web サービスを指す用語で，違法ドラッグや盗まれた個人情報が売買される闇マーケット，児童ポルノの共有フォーラムなどが存在する。
主なダークウェブは，Tor（The Onion Router，トーア）秘匿サービスと呼ばれる匿名化されたネットワーク上に存在するが，検索エンジンはなく，実態の解明が難しい。
・ハクティビズム（hacktivism）
ハッカーとアクティビズム（積極行動主義）を合わせた造語で，社会的・攻撃的な主義
主張を目的としたハッキング活動のこと。ネットワークに侵入して，著作権の侵害，サーバの乗っ取り，ホームページの改ざんなど様々な攻撃を行う。政府機関などの Web サイトを標的にしてサイト情報を改ざんすることもある。

4

Copyright by ITEC Inc., 2019

・サイバーキルチェーン（cyber kill chain）
標的型攻撃における攻撃者の動きを七つの段階に分類したもの。負の連鎖を断ち切ることを意味する軍事用語のキルチェーン（kill chain）の考え方を，サイバー攻撃に適用した。
攻撃者の動きを示す七つの段階は，偵察，武器化，デリバリー（通信方法の確立），エク
スプロイト（システム内移動），侵入（高権限の PC に移動），潜伏活動，目的の実行（情報の窃取と痕跡消し）である。
②

攻撃手法
・クロスサイトスクリプティング（反射型，格納型，DOM ベース）
クロスサイトスクリプティング（XSS）は，Web アプリケーションに含まれる脆弱性を悪用した攻撃で，攻撃者が用意した悪意のあるスクリプトを，ユーザが Web ブラウザ上で実行してしまうことによって，ウイルス感染や情報の搾取などの被害が生じる。
反射型クロスサイトスクリプティングは，XSS の攻撃方法の一つで，悪意のあるスクリ
プトを URL に埋め込んでおき，ユーザがこの URL をクリックすることによって実行されてしまうものである。
格納型クロスサイトスクリプティングは，攻撃用のスクリプトを，Web サイトのコンテ
ンツに事前に紛れ込ませておき，ユーザがこのコンテンツを表示するときに実行されてしまうものである。
DOM ベースのクロスサイトスクリプティングの DOM（Document Object Model）は，JavaScript などのプログラムから HTML 文書や XML 文書を利用するための API である。
DOM ベースの XSS は，JavaScript による Web ページ操作に不正なデータを送り込むな
どの問題がある指定をしたときに起きる XSS である。

・セッション ID の固定化攻撃（Session Fixation）
セッション ID の固定化攻撃は，セッションハイジャック攻撃の一種である。悪意のある者が正規の Web サイトから取得したセッション ID を利用者の Web ブラウザへ送り込み，利用者がそのセッション ID でログインして，セッションがログイン状態に変わった後，利用者になりすますことが特徴である。
セッション ID の固定化攻撃に対する脆弱性は，Web サイト側が，ログイン前とログイ
ン後に同じセッション ID を使い続ける点である。そのため，対策としては，利用者のログ
イン時に新たなセッション ID を発行することが有効となる。
・マルチベクトル型 DDoS 攻撃
複数の異なる DDoS 攻撃（Distributed Denial of Service；分散型サービス妨害）手法を組み合わせた攻撃が，マルチベクトル型 DDoS 攻撃である。例えば，ある Web サイトに対して，TCP 接続要求の SYN パケットを大量に送りつける TCP SYN Flood 攻撃と，HTTP
GET リクエストを繰り返し送りつける HTTP GET Flood 攻撃を同時に行い，サーバに過度の負荷を掛ける攻撃がこれに該当する。
5

Copyright by ITEC Inc., 2019

・ICMP Flood 攻撃
TCP/IP 環境において，ping によってホストなどの接続性を確認するときには，ICMP（Internet Control Message Protocol）で定義されているエコー要求／応答メッセージを利用する。
この要求／メッセージである ICMP エコーパケットを攻撃対象のサーバに大量に発信することによって，サーバのリソースを枯渇させたり，サーバに至るまでの回線を過負荷にしてアクセスを妨害したりする DoS 攻撃（サービス妨害攻撃）が，ICMP Flood 攻撃である。Ping Flood 攻撃とも呼ばれる。
・Smurf 攻撃
攻撃対象が接続されているネットワークに対して，詐称した攻撃対象の IP アドレスを送
信元 IP アドレスに設定した上で，ICMP エコー要求パケットをブロードキャストで送信し，大量の ICMP 応答パケットを受信させることを利用して過負荷な状態にする DoS 攻撃の一つである。
・リフレクション攻撃
リフレクション（reflection）とは反射という意味で，要求に対する応答を利用した攻撃のこと。
DNS リフレクション攻撃は，DNS サーバへ問い合わせる際に，送信元 IP アドレスを攻撃対象の IP アドレスに偽装する攻撃である。送信元を偽装して，DNS サーバへ大量の問合せをすることによって，大量の応答パケットを攻撃対象に送りつけ，攻撃対象の負荷を増大させる。
NTP リフレクション攻撃は，時刻同期を行うために使用されるプロトコルの NTP（Network Time Protocol）を悪用した攻撃である。ボットウイルスに感染させた攻撃元のPC が，送信元 IP アドレスを攻撃対象のものに偽った NTP のリクエストを送信すると，問合せを受けた NTP サーバは踏み台として悪用され，攻撃対象のホストにレスポンスを返してしまう。その際，NTP サーバにおいて，monlist と呼ばれる状態確認機能が有効になっていると，レスポンスデータのサイズが大きくなるので，増幅型のリフレクション攻撃になる。
・DNS 水責め攻撃（ランダムサブドメイン攻撃）
DNS の名前解決の仕組みを使った攻撃であり，存在しないランダムなサブドメインを大量に生成し，DNS サーバに問合せをすることで DNS キャッシュサーバ，又は当該ドメインの権威 DNS サーバをサービス不能状態にする攻撃である。
・バージョンロールバック攻撃
SSL（Secure Sockets Layer）通信において，通信経路に介在する攻撃者が脆弱性のある通信方式を強制することによって，暗号化通信の内容を解読して情報を得る攻撃のこと。
6

Copyright by ITEC Inc., 2019

通信経路に攻撃者が介在すると，クライアントが SSL3.0（TLS1.0）で暗号化して通信しようとしても，攻撃者がそれを脆弱性がある SSL2.0 に改ざんすれば，クライアントとサーバは SSL2.0 で通信するようになり，解読されてしまうリスクがある。
なお，TLS1.0 の規格では SSL2.0 へのバージョンロールバックは禁止されることになっているが，サーバでクライアントの不具合を回避するオプションを使っていると，SSL2.0へのバージョンロールバックが許可されてしまうので注意が必要である。
③

サービス及びソフトウェアの機能の悪用（RLO（Right-to-Left Override），オープンリ
ゾルバ，オープンリダイレクトの悪用ほか）
・RLO
Unicode の制御文字の一つで，文字の表示順を右から左へ読むように変換するものである。例えば，ファイル名が sample_fdp.exe という実行形式の不正なプログラムがあるとする。OS の機能を利用してファイル名のアンダバーの後ろに制御文字の RLO を挿入すれば，
アンダバー以降の文字の表示順が逆になり，ファイル名が sample_exe.pdf と表示される。
こ の た め ， フ ァ イ ル の 利 用 者 に は 拡 張 子 が pdf に 見 え る が ， 実 体 は 実 行 形 式 のsample_fdp.exe であるので，それをクリックすると不正なプログラムが実行されてしまう。
このような RLO を利用する拡張子の偽装攻撃への対策としては，OS の機能によって制御文字の RLO を含むファイルは実行しない設定にしておくことが有効である。
・オープンリゾルバ
内部のクライアントだけではなく，外部のクライアントからの再帰的な DNS クエリを受け付けて，その結果を応答する DNS サーバのこと。外部のクライアントからインターネ
ット上のドメイン名についての名前解決を行う DNS クエリを受け付けてしまうと，DNS
リフレクション攻撃や DNS キャッシュポイズニング攻撃などに悪用されるおそれがある。
・オープンリダイレクトの悪用
HTTP リクエストを外部のドメインの URL へリダイレクト（自動的に移動）してしま
う問題である。この機能を悪用すると，不正なサイトに気付かないうちに移動させることができてしまう。対策として，システムで使用している URL 以外へのリダイレクトを制限することが行われる。

7

Copyright by ITEC Inc., 2019

問題

(H30 秋-SC 午前Ⅱ問 4)

マルチベクトル型 DDoS 攻撃に該当するものはどれか。
攻撃対象の Web サーバ 1 台に対して，多数の PC から一斉にリクエストを送ってサ

アーバのリソースを枯渇させる攻撃と，大量の DNS 通信によってネットワークの帯域を消費させる攻撃を同時に行う。
イ

攻撃対象の Web サイトのログインパスワードを解読するために，ブルートフォース

によるログイン試行を，多数のスマートフォンや IoT 機器などの踏み台から成るボッ
トネットから一斉に行う。
ウ

攻撃対象のサーバに大量のレスポンスが同時に送り付けられるようにするために，多数のオープンリゾルバに対して，送信元 IP アドレスを攻撃対象のサーバの IP アド
レスに偽装した名前解決のリクエストを一斉に送信する。

エ

攻撃対象の組織内の多数の端末をマルウェアに感染させ，当該マルウェアを遠隔操作することによってデータの改ざんやファイルの消去を一斉に行う。

解説
マルチベクトル型 DDoS（Distributed Denial of Service；分散型サービス妨害）攻撃とは，複数の DDoS 攻撃手法を組み合わせた攻撃である。例えば，攻撃対象の Web サー
バ 1 台に対して，多数の PC から一斉にリクエストを送ってサーバのリソースを枯渇させる攻撃と，大量の DNS 通信によってネットワークの帯域を消費させる攻撃を同時に行うことは，複数の DDoS 攻撃を行う手法を組み合わせたものなので，マルチベクトル
型 DDoS 攻撃に該当する。したがって，（ア）が正しい。
イ：ボットネットから一斉に行うログイン試行は，DoS 攻撃に結びつき得るが，複数の攻撃手法を組み合わせていないので，マルチベクトル型 DDoS 攻撃とはいえない。
ウ：攻撃対象のサーバに，多数のオープンリゾルバから大量のレスポンスが同時に送り付けられるようにする攻撃は，DDoS 攻撃に該当するが，複数の攻撃手法を組み合わせていない。
エ：マルウェアに感染させた PC を遠隔操作することは，DoS 攻撃に結びつき得るが，複数の攻撃手法を組み合わせていない。
正解

8

ア

Copyright by ITEC Inc., 2019

(3)情報セキュリティに関する技術①

暗号技術
・SHA-3
メッセージから，改ざんチェック用のメッセージ認証符号を生成するためのハッシュ関
数には，MD5（Message Digest Algorithm 5），SHA-1（Secure Hash Algorithm 1），SHA2 などがあるが，MD5，SHA-1 は攻撃方法（解読方法）が明らかになっている。
後継の SHA-2 に対し，SHA-3 は従来のものと仕組みが大きく異なる最新のハッシュ関
数で，データと状態の初期ビットの排他的論理和を取ってからブロック置換を行うスポンジ構造を採用している。

・Camellia
NTT と三菱電機が共同で，2000 年に開発した共通鍵暗号方式である。ソフトウェアで高速の実装ができ，ハードウェア実装ではコンパクトで低消費電力の実装が可能である。
日本国産暗号として，初めてインターネット標準暗号（IETF Standard Track RFC）として承認された。
・KCipher-2
株式会社 KDDI 総合研究所が開発した共通鍵暗号方式のアルゴリズムで，データをビッ
トやバイト単位で暗号化するストリーム暗号の一つである。同じ共通鍵暗号方式の AES な
どと比べて，7～10 倍の速度で暗号化／復号処理が可能で，マルチメディアコンテンツサ
ービスやブロードバンド通信サービスなどの安全性を向上させることができる。2012 年に国際標準規格（ISO/IEC 18033-4）に採用されている。
・擬似乱数生成器（PRNG；Pseudo Random Number Generator）
擬似乱数はソフトウェアによって生成する乱数のことで，これを生成する機器が擬似乱数生成器である。最近のセキュアプロトコルで利用される暗号技術は，共通鍵暗号・公開
鍵暗号の各技術を組み合わせるだけでなく，ハッシュ関数や擬似乱数生成技術も組み合わされて利用されており，暗号強度を高めている。
②

認証技術
・ブラインド署名，グループ署名，トランザクション署名
ブライド署名は，メッセージ内容を見ることなく署名することで，電子マネーや電子投票で匿名性の確保が求められるときの署名技術として応用される。
グループ署名は，グループ員の誰かが署名する行為で，誰が署名したかは分からないよ
うになっている。グループに所属しているが匿名性も生かしたいときに利用される。
トランザクション署名は，インターネットバンキングなどで，利用者が Web ブラウザで入力した情報と，金融機関が受信した情報が同じであることを検証することで，マルウェ
アが通信に介入する MITB（Man-in-the-Browser）攻撃の対策として有効である。
9

Copyright by ITEC Inc., 2019

・HMAC，フィンガプリント
HMAC（Hash-based Message Authentication Code）は，秘密鍵，ハッシュ関数，メッ
セージ，シークレットデータから計算されるハッシュコードのことで，メッセージの改ざん検知に用いられるメッセージ認証符号である。
ぼい ん

フィンガプリント（fingerprint；指紋，拇印）は，公開鍵証明書が改ざんされていないことを証明するデータのことである。
・パスワードレス認証（FIDO；Fast IDentity Online，ファイド）
パスワードを入力せずに本人認証をすること。スマートフォンや PC に含まれる認証デバイスに生体情報を登録しておき，守秘性の高い生体情報をネットワーク上でやり取りせずに認証することができる。従来から問題になっていたパスワードの漏えいや不正利用，
パスワード管理の煩雑さから解放されるメリットがある。
③

公開鍵基盤
・VA（Validation Authority；検証局）
VA は，PKI（Public Key Infrastructure；公開鍵基盤）を構成する要素の一つで，ディジタル証明書の CRL（Certificate Revocation List；証明書失効リスト）を管理して，失効状態についての問合せに応答するという役割を担っている。失効状態の確認には，CRL フ
ァイルをダウンロードする方法，あるいは OCSP（Online Certificate Status Protocol）を用いて指定したディジタル証明書の失効状態を問い合わせる方法の二つがある。
・ITU-T X.509
ITU-T X.509 は，証明書の標準として，ITU-T（国際電気通信連合 電気通信標準化部門）が策定したもので，ISO/IEC の国際標準として規定されている。X.509 証明書は用途によって次の種類があり，一般に「証明書」という場合は「公開鍵証明書」のことを指す。
〔参考資料；IPA PKI 関連技術情報

3.3 電子証明書〕

https://www.ipa.go.jp/security/pki/033.html
公開鍵証明書（Public Key Certificate）……公開鍵とその所有者を証明する。
属性証明書（Attribute Certificate）……公開鍵証明書で証明された人に対して，その人が所有する権限や役割を証明する。公開鍵証明書と組み合わせて使用する。
特定証明書（Qualified Certificate）……人（自然人）に対して発行することを目的とした証明書で，電子署名に用いられる。
この中の公開鍵証明書は，発行する対象によって次のように分類できる。
CA 証明書……CA に対して発行する証明書。CA 自身の秘密鍵で署名した自己署名証明書と，他の CA に発行された証明書がある。
エンドエンティティ証明書……PKI ユーザに対して発行する証明書。Web クライアント
や Web サーバ，VPN ルータなどに利用される。
10

Copyright by ITEC Inc., 2019

問題

(R01 秋-SC 午前Ⅱ問 1)

認証処理のうち，FIDO（Fast IDentity Online）UAF（Universal Authentication
Framework）1.1 に基づいたものはどれか。
SaaS 接続時の認証において，PIN コードとトークンが表示したワンタイムパスワ

アードとを PC から認証サーバに送信した。
SaaS 接続時の認証において，スマートフォンで顔認証を行った後，スマートフォン

イ内の秘密鍵でディジタル署名を生成して，そのディジタル署名を認証サーバに送信した。
ウ

インターネットバンキング接続時の認証において，PC に接続されたカードリーダを使って，利用者のキャッシュカードからクライアント証明書を読み取って，そのク
ライアント証明書を認証サーバに送信した。

エ

インターネットバンキング接続時の認証において，スマートフォンを使い指紋情報を読み取って，その指紋情報を認証サーバに送信した。

解説
FIDO（ファイド）は，パスワードに依存しない，あるいはパスワードへの依存を少なくすることを目的とする認証方式の規格である。現在，FIDO には FIDO UAF（Universal
Authentication Framework）1.1，FIDO U2F（Universal Second Factor）1.2，FIDO2の三つの規格がある。これらのうち，FIDO UAF 1.1 と FIDO2 は，パスワードを使わないパスワードレス認証方式である。
FIDO UAF 1.1 は，主にスマートフォンの利用を想定した規格で，SaaS 接続時の認証において，スマートフォンで顔認証を行った後，スマートフォン内の秘密鍵でディジ
タル署名を生成し，そのディジタル署名を認証サーバに送信するので（イ）が正しい。
ア：UAF 1.1 の特徴は，認証器を用いて利用者認証をローカルで行うことであり，PIN
コードのような利用者の認証情報は認証サーバに送信されない。
ウ：UAF 1.1 で認証器を事前に登録する際，認証器と対応する公開鍵証明書を認証サー
バに登録するが，利用者に対応するクライアント証明書は認証サーバに送信されない。
エ：（ア）と同様に，生体認証は認証器を用いてローカルで実行され，利用者の指紋情報
は認証サーバに送信されない。
正解

11

イ

Copyright by ITEC Inc., 2019

(H30 春-SC 午前Ⅱ問 8)

問題

X.509 における CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。
ア

PKI の利用者は，認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
イ

認証局は，発行した全てのディジタル証明書の有効期限を CRL に登録する。

ウ

認証局は，発行したディジタル証明書のうち，失効したものは，シリアル番号を失
効後 1 年間 CRL に登録するよう義務付けられている。

エ認証局は，有効期限内のディジタル証明書のシリアル番号を CRL に登録することがある。
解説
CRL（Certificate Revocation List；証明書失効リスト）は，ディジタル証明書の有効
期限内に秘密鍵が漏えいした場合などに，そのディジタル証明書を認証局（CA）が失効させるために発行するものである。したがって，認証局は，有効期限内のディジタル証
明書のシリアル番号を CRL に登録することがあると記述された（エ）が正しい。
ア：CRL を参照するのは，ディジタル証明書が失効しているかどうかを確認するためであり，認証局の公開鍵が Web ブラウザに組み込まれているかどうかとは，関係しない。
イ：有効期限はディジタル証明書に記載される内容であり，CRL に登録されるものではない。
ウ：CRL に登録する期限は，ディジタル証明書に記載された有効期限によって決まる。
つまり，有効期限内にあるものは CRL に登録される必要があるが，有効期限が切れるとその時点で破棄されるので，失効後 1 年間という義務があるわけではない。
正解

12

エ

Copyright by ITEC Inc., 2019

(4)情報セキュリティ組織・機関①

情報セキュリティ組織
・CSIRT（Computer Security Incident Response Team；シーサート）
行政機関や企業内においてコンピュータやネットワークで発生する問題の監視・原因解析・影響調査などを実施する組織の総称。日本でも 1996 年に JPCERT/CC が発足しており，国内外で発生している問題に関する情報の配信などを行っている。

・組織への設置が推奨されている窓口
企業・団体など組織が設置すべきメールボックスについて，公開された技術仕様である
RFC2142 で，組織内の担当部門とインターネットの電子メールで連絡する場合に利用する
メールアドレス（メールボックス名@ドメイン名）について説明されている。
ネットワーク運用に関連するメールボックス名に関しては，「運用に関するアドレスは，
その組織のインターネットサービスに対する難点を経験した顧客やプロバイダなどが連絡を取り合うことを想定している」として，次の三つ（abuse@ドメイン名，noc@ドメイン名，security@ドメイン名）が挙げられている。
メールボックス

分野

取扱い

ABUSE

顧客関連

公共における不適当なふるまい

NOC

ネットワーク管理

ネットワーク・インフラストラクチャ

SECURITY

ネットワークセキュリティ

セキュリティに関する報告又は問合せ

・脆弱性報奨金制度（Bug Bounty；バグバウンティ）
公開したプログラムやシステムのバグを発見したら報奨金を支払う制度のこと。現在ではこの制度を実施する企業が増えており，健全な目的でプログラムやシステムのバグ・脆弱性を調べるホワイトハッカーの活躍が大きい。
②

情報セキュリティ機関
・内閣サイバーセキュリティセンター（NISC；National center of Incident readiness andStrategy for Cybersecurity）
NISC は，2014 年に制定されたサイバーセキュリティ基本法に基づき内閣官房に設置された組織であり，サイバーセキュリティ政策に関する総合調整を行いつつ，“世界を率先すきょうじんる”“強 靭 で”“活力ある”サイバー空間の構築に向けた活動を行っている。
・CRYPTREC（Cryptography Research and Evaluation Committees）
CRYPTREC は，電子政府推奨暗号の安全性を評価・監視し，暗号技術の適切な実装法や運用法を調査・検討するプロジェクトである。活動は，総務省及び経済産業省，IPA，NICT（独立行政法人 情報通信研究機構）などによって行われている。また，公募された暗号技術や業界で広く利用されている暗号技術を評価・検討し，安全性及び実装性能ともに優れ
13

Copyright by ITEC Inc., 2019

たものを選択して，電子政府における調達のための推奨すべき暗号のリスト（電子政府推奨暗号リスト）を決定し公表している。
・米国国立標準技術研究所（NIST；National Institute of Standards and Technology）
科学技術分野における計測と標準に関する研究を行う米国商務省に属する政府機関である。共通鍵暗号方式として広く利用されている AES は NIST が標準化した。
・JPCERT/CC（Japan Computer Emergency Response Team Coordination Center；
一般社団法人 JPCERT コーディネーションセンタ）
JPCERT/CC は，コンピュータセキュリティインシデントについて，日本国内に関する報告の受付，対応の支援，発生状況の把握，手口の分析，再発防止のための対策の検討や助言，などを技術的な立場から行っている機関である。
・サイバー情報共有イニシアティブ（J-CSIP；Initiative for Cyber Security Information
sharing Partnership of Japan）
サイバー情報共有イニシアティブは，経済産業省がサイバー攻撃による被害拡大の防止を図る目的から，重要インフラで利用される機器の製造業者を中心に，参加組織間の情報共有と早期対応の場として発足させた体制である。
③

セキュリティ関連制度・規格
コンピュータ不正アクセス届出制度，コンピュータウイルス届出制度，ソフトウェア等の脆弱性関連情報に関する届出制度のほか，ソフトウェアの脆弱性の取扱いに関する国際標準
として，次の規格が制定されている。日本の企業が海外展開を図り，顧客から脆弱性対応に関する取組みについて説明を要求された場合に，国際標準に対応した体制・取組みを行っていることを説明することで，円滑な理解が得られることが期待できる。
・ソフトウェア製品開発者の脆弱性開示（ISO/IEC 29147:2018）
ソフトウェア製品に関わる事業者（製品開発者，オンラインサービス事業者，中間ベンダなどを指す）の脆弱性に関する社外とのやり取り（外部からの脆弱性に関する情報の受領，ユーザに対する脆弱性対策のアドバイザリ配布など）を規定している。

・脆弱性情報取扱手順（ISO/IEC 30111:2019）
ベンダの社内での脆弱性取扱いのプロセス（脆弱性の検証，脆弱性対策の開発等）の指針を提供している。

14

Copyright by ITEC Inc., 2019

問題

(H30 春-SC 午前Ⅱ問 10)

サイバー情報共有イニシアティブ（J-CSIP）の説明として，適切なものはどれか。
アサイバー攻撃対策に関する情報セキュリティ監査を参加組織間で相互に実施して，監査結果を共有する取組み

イ

参加組織がもつデータを相互にバックアップして，サイバー攻撃から保護する取組
みウ

セキュリティ製品のサイバー攻撃に対する有効性に関する情報を参加組織が取りまとめ，その情報を活用できるように公開する取組みエ

標的型サイバー攻撃などに関する情報を参加組織間で共有し，高度なサイバー攻撃
対策につなげる取組み

解説
サイバー情報共有イニシアティブ（J-CSIP）は，経済産業省がサイバー攻撃による被害拡大の防止を図る目的から，重要インフラで利用される機器の製造業者を中心に，情報共有と早期対応の場として発足させた体制である。このため，J-CSIP の説明として
は，標的型サイバー攻撃などに関する情報を参加組織間で共有し，高度なサイバー攻撃
対策につなげる取組みが該当し，（エ）が正しい。なお，情報を集約するハブ機能は，IPA（独立行政法人 情報処理推進機構）が担っている。
ア：J-CSIP は，高度なサイバー攻撃対策につなげる取組みであり，監査結果を共有する
取組みではない。
イ：サイバー攻撃から保護する取組みでもない。
ウ：サイバー攻撃に対する有効性に関する情報を活用できるように公開する取組みでも
ない。
正解

(5)

エ

①

技術的セキュリティ対策
マルウェア検出手法
・パターンマッチング法
既知のマルウェア（ウイルス）を検出する最も一般的な方法である。対策用の検索エン
ジン（ソフトウェア）が，検査対象のソフトウェアとマルウェア定義ファイル（パターンファイル）を照合し，検知する。
・ビヘイビア法
パターンマッチング法が新種のマルウェアに対しては無力であるため，その対応方法として考えられたのがビヘイビア法（振る舞い監視法）である。これは，検査対象となるソ
フトウェアを実際に動作させ，そのときに生じる現象からウイルスであるかどうかを判断するものである。このため，ウイルス感染や発病によって生じるデータの読込みと書込み
動作・通信などの変化を監視して，感染を検出することができる。
15

Copyright by ITEC Inc., 2019

・ヒューリスティック法
ビヘイビア法と同様に挙動（動作）によってウイルスを検出する方法である。ウイルスの挙動としてよく見られる動作を動作パターンとして登録しておき，その動作パターンに一致する挙動を検出する。
②

秘密分散（電子割符）
・秘密分散
秘密分散は，機密情報を複数のシェアという単位に分割し，全てのシェアが揃った場合に機密情報を参照することができるようにする考え方である。個々のシェアの内容は意味をもたないため，仮に漏えいしても機密情報の内容を解読することはできない。
・電子割符
秘密分散の考え方に基づく暗号技術の一つで，この方法で分割された情報のことを電子割符（でんしわっぷ）といい，分割された情報を集めて元の情報を復元する。複数人の協力があって初めて得られる秘密情報の隠ぺいに用いられる。

③

電子メール・Web のセキュリティ
・スパム対策（ベイジアンフィルタリング，送信元ドメイン認証機能ほか）
ベイジアンフィルタリングは，ベイズ理論に基づいて迷惑メールを検出するフィルタリ
ング手法の一つで，まず，利用者が振り分けた迷惑メールから特徴を学習し，特徴的な単語の出現確率などを基に，迷惑メールかどうかを統計的に解析し判定する。そして，迷惑メールと判定した際には，自己学習して単語の出現確率を更新していく。ベイズ理論は，現実の世界から集められたデータに基づいて推測を行い，データの数が多ければ多いほど，より確実な推測を引き出せるという考え方である。
送信元ドメイン認証機能は，この機能がないと送信元メールアドレスを偽装したスパム
メールを受信してしまう可能性がある。送信元メールアドレスのドメイン名から DNS に問合せを行い，SPF レコードから正規の IP アドレスを調べる SPF 認証や，送信側のメールサーバが電子メールに付与したディジタル署名を，受信したメールサーバが検証して，送信元を認証する DKIM（Domainkeys Identified Mail）がある。

・メール無害化
標的型メール攻撃などの手口が巧妙化し，不審に思わないうちにマルウェアに感染する被害が増えてきている。この対策として行われているのがメール無害化で，具体的には，
HTML メールのテキスト化，URL リンクの削除，添付ファイルのウイルス・マクロの除去，添付ファイルの画像変換，メールサーバでのチェックなどを行う。

16

Copyright by ITEC Inc., 2019

④

ハードウェアのセキュリティ
・TPM（Trusted Platform Module；セキュリティチップ）TPM は，PC などの機器に搭載され，公開鍵ペアや共通鍵の元になる乱数の生成やハッシュ演算及び暗号化処理を行うセキュリティチップである。TPM 内の鍵などの秘密情報を外部から読み出せない耐タンパ性をもっている。

・SED（Self Encrypting Drive；自己暗号化ドライブ）
暗号化機能をもつハードディスクやソリッドステートドライブのことを自己暗号化ドライブという。ハードウェア的に全てのドライブ内容を暗号化し，取り出すときに復号される。特長としては，暗号化をハードウェアで行うため速度低下がない，自動的に暗号化／復号するので利用者が意識する必要がない，といったことが挙げられる。

問題(H29 春-SC 午前Ⅱ問 4)

PC などに内蔵されるセキュリティチップ（TPM：Trusted Platform Module）がもつ機能はどれか。
ア

TPM 間での共通鍵の交換

イ

鍵ペアの生成ウ

ディジタル証明書の発行

エネットワーク経由の乱数送信

解説
TPM（Trusted Platform Module）は，PC のマザーボードなどに搭載されるセキュリ
ティチップのことで，一般に公開鍵暗号の鍵ペアを生成したり，乱数を発生させたり，
OS が生成した共通鍵を暗号化して保存したりするほか，耐タンパ性を有するという特徴をもつ。したがって，（イ）が正しい。
その他の記述には，次のような誤りがある。
ア：TPM 内では，データの暗号化に使用する共通鍵は生成しない。共通鍵は，TPM が生成した乱数を基にして，OS が生成する。
ウ：ディジタル証明書の発行は，認証局（CA）の役割であり，TPM が発行するものではない。
エ：TPM には，コンピュータの外部と通信する機能はない（ネットワーク経由で乱数を送信する機能はない）。
正解

17

イ

Copyright by ITEC Inc., 2019

１．データベーススペシャリスト
データスペシャリストを受験される方は，セキュリティ実装技術の「データベースセキュリテ
ィ」と，「アプリケーションセキュリティ」の内容を理解しておく必要があります。
まず，「データベースセキュリティ」の内容として，データベースに対する不正アクセス，不正利用，破壊などの脅威への対策の仕組み，実装方法と効果などを理解する必要があり，ここでは，
データベース暗号化，データベースアクセス制御，ブロックチェーンにおけるセキュリティ関連
技術として，タイムスタンプ，ハッシュ，ゼロ知識証明について説明します。
また，「アプリケーションセキュリティ」の内容としては，アプリケーションソフトウェアへの攻撃を抑制するアプリケーションセキュリティの対策の仕組み，実装方法と効果などを理解する必要があり，ここでは，セキュリティバイデザイン，ファジング，SQL インジェクション対策（プレースホルダほか），HSTS について説明します。
(1)

データベースセキュリティ①

データベース暗号化
データベースの暗号化は，データの盗聴と盗難をされても，中のデータを解読できないようにするために行う。ソフトウェアツールで通信パケットを覗き見られたり，USB メモリなどでファイルをコピーして持ち出されたりしても，暗号化されていればデータを見ることはできず，
セキュリティを保つことができる。具体的な暗号化対象としては，データファイル，ログファ
イル，アーカイブログファイル，バックファイルなどである。ただし，データベースの全てのファイルに暗号化を行うことは，処理のオーバヘッド，復号処理の煩わしさなどから現実的ではない。通常，認証やデータベースアクセス制御をセキュリティ対策の第一として，データベースの暗号化は最後の砦として行うべきものとされている。
②

データベースアクセス制御
データベースアクセス制御は，データベースユーザのアクセス権を制御するために，データベース内のユーザ又はグループごとに，アクセスレベル，ユーザの種類，アクセス権限を設定する機能のことである。端的に表現すると，「どの情報に誰がアクセスできるのか」を制御することである。なお，Web システムにおいて，Web アプリケーション経由で，データベースの不正アクセスが行われるのは，構造上，Web アプリケーションそのものが特権ユーザとなることが多く，実際のユーザは直接的なデータベースユーザにならず，データベースアクセス制御の対象にならないためである。
③

ブロックチェーンにおけるセキュリティ関連技術
ブロックチェーンは，ネット上での取引データを保存する分散型ネットワーク技術だが，ユーザによって取引が行われると，トランザクションと呼ばれる取引履歴がブロックに記録される。ブロック内のトランザクションが一定量を超えると，新たなブロックが作られ，それらをポインタで結んだものがブロックチェーンと呼ばれる。
18

Copyright by ITEC Inc., 2019

・タイムスタンプ
タイムスタンプとは，対象となるディジタルデータ（この場合，ブロック）が“ある時点で作成されたものである”という証明になるものである。作成・更新など操作を行った時刻をデータに埋め込むことによって，操作時刻を示す証拠を残す。その際は，ただ単にユーザが自分で時刻データを埋め込むのではなく，信頼できる時刻認証局に依頼してタイムスタン
プを付けてもらう。さらに，ブロックチェーンの場合，分散型であるので，分散ノード間で微妙に時刻がずれる。このため，分散ノード間で時刻の平均値をとり，分散タイムスタンプ
として，必要なブロックに平均化した時刻データを付加してハッシュ化する。
・ハッシュ
ハッシュとは，データを送信するときに，データのビット列から固定長のビット列（通常，100 ビット以上）に変換する技術のことである。ハッシュ化するための計算式を（暗号化）
ハッシュ関数，固定長のビット列をハッシュ値という。特定のデータから算出されるハッシ
ュ値は，何度計算しても同じ値となるが，データがわずかでも違えば，異なるハッシュ値へと変化する。さらに，ハッシュ関数は，ハッシュ値から元のデータを復元できない性質が必要とされ，この性質をもつ関数を一方向性関数という。
ブロックチェーンの一つのブロックには，取引履歴と前のブロックのハッシュ値（適切な時間間隔で，該当するブロックにはタイムスタンプも付く）が記録される。
・ゼロ知識証明
ゼロ知識証明とは，ある人が自分がもっている命題が真であることを他の人に伝えるために，真であること以外の何の知識も伝えることなく証明できる手法のことである。
パスワード認証においてログインするときに，パスワードを入力しないで，パスワードを知っていることを伝えるなどの応用例がある。ブロックチェーンとの関連では，送金者や受取人，送金額などといった公開したくない情報を一切提供しなくても，トランザクションが正当であることを証明することに利用される。

(H30 秋-SC 午前Ⅱ問 3)

問題

ブロックチェーンに関する記述のうち，適切なものはどれか。
アRADIUS が必須の技術であり，参加者の利用者認証を一元管理するために利用する。

イ

SPF が必須の技術であり，参加者間で電子メールを送受信するときに送信元の正当性を確認するために利用する。
だ

楕円曲線暗号が必須の技術であり，参加者間の P2P（Peer to Peer）ネットワーク

ウを暗号化するために利用する。
エハッシュ関数が必須の技術であり，参加者がデータの改ざんを検出するために利用する。

19

Copyright by ITEC Inc., 2019

解説
ブロックチェーンとは，取引データとハッシュ値の組みを順次つなげて記録した分散型台帳を，P2P（Peer to Peer）ネットワークを介して多数の参加者が保有し，管理する技術である。ハッシュ関数が必須の技術であり，参加者がデータの改ざんを検出するために利用される。したがって，（エ）が正しい。
ブロックチェーンの概要を図に示す。ブロックチェーンは，ブロックヘッダと複数の取引データから構成されるブロックがつながったデータである。ブロックヘッダには，一つ前のブロックのブロックヘッダのハッシュ値，ハッシュ関数を用いて取引データから算出されたハッシュ木のルート，タイムスタンプ，nonce などのデータが含まれる。
nonce は，ブロックヘッダのハッシュ値が定められた条件を満たすように探索された値である。この探索する作業を採掘（マイニング）と呼ぶ。

ブロック 100

ブロック 101

ブロック 102

ブロックヘッダ 100

ブロックヘッダ 101

ブロックヘッダ 102

前のブロックヘッダのハッシュ値

前のブロックヘッダのハッシュ値

前のブロックヘッダのハッシュ値

ハッシュ木のルート

ハッシュ木のルート

ハッシュ木のルート

タイムスタンプ

タイムスタンプ

タイムスタンプ

nonce

nonce

nonce

取引データ 100-1

取引データ 101-1

取引データ 102-1

取引データ 100-2

取引データ 101-2

取引データ 102-2

…

…

…

取引データ 100-n

取引データ 101-n

取引データ 102-n

図ブロックチェーンの概要（ヘッダのフィールドは抜粋）

ブロックチェーン技術では，同じブロックチェーンのデータが，ネットワーク上の多数の参加者のコンピュータに分散して保持される。取引データが改ざんされた場合には，参加者による検証作業の過程でハッシュ値の不整合が生じるため，改ざんを検出できる。
そして，取引データを改ざんするためには，当該データが含まれるブロック以降の全てのブロックを再計算する必要がある。再計算には，参加者のコンピュータの合計よりも大きな計算能力が必要となるため，改ざんは困難とされている。
その他の RADIUS，SPF（Sender Policy Framework），楕円曲線暗号は，いずれもブロックチェーンに必須の技術ではない。
正解

20

エ

Copyright by ITEC Inc., 2019

(2)アプリケーションセキュリティ①

セキュリティバイデザイン（Security By Design）

設計によるセキュリティを意味し，設計段階からセキュリティを検討し確保すること。システムが完成してからセキュリティ機能を追加したり，セキュリティ事故が発生してから対策を施したりするのでは遅すぎるため，設計の基となる要件を決めるシステムの企画段階からセキュリティ要件を検討し確保する。
②

ファジング
ソフトウェアが想定していないデータを入力し，その挙動から脆弱性を見つけ出す検査手法のこと。検査対象のソフトウェア製品にファズ（fuzz）と呼ばれる問題を起こしそうなデータを大量に送り込み，その応答や挙動を監視することで脆弱性を検出する。
例えば，極端に長い文字列や通常は用いないような制御コードなどをソフトウェア製品に送って状態を観察する。その結果，異常終了したり，予期していない異常動作，再起動などが発生した場合，ソフトウェアの処理に問題がある可能性が高いと判断できる。

③ SQL インジェクション対策（プレースホルダほか）
SQL インジェクション攻撃は，ユーザが入力したデータの中にデータベースを操作できる
特殊文字や記号を埋め込んで，Web アプリケーションを介してデータベースを不正に操作する攻撃である。このため，Web アプリケーションの実装における対策としては，特殊文字や記号を無害化（エスケープ処理）するか，プレースホルダ（バインド機構，prepared statementとも呼ばれる）を用いて，特殊文字や記号を全て文字定数として扱う必要がある。
Web アプリケーションの実装以外の対策では，データベースのアカウントがもつデータベ
ースアクセス権限を必要最小限にすることが有効となる。
④ Cookie の Secure 属性指定
Cookie（クッキー）は，Web アプリにおいて，Web ブラウザを識別するために Web サー
バが発行する情報で，HTTP レスポンスの Set-Cookie ヘッダに格納されて Web ブラウザへ渡される。Web ブラウザは Cookie の有効期間中，端末内に保存し，HTTP リクエストのCookie ヘッダに格納して Web サーバへ送出する。
secure 属性は，Cookie に付けられる属性の一つで，secure 属性が付けられていると，HTTP
リクエストにおける URL のスキームが https のときだけ，Web ブラウザから Cookie が送出される。Cookie に秘密情報が含まれる場合は基本的に HTTPS 通信が行われるため，cookieを発行する際には secure 属性を付けることが定石となっている。
⑤ HSTS（HTTP Strict Transport Security）
HSTS は，Web サイトが Web ブラウザに対して HTTPS（HTTP over TLS）の使用を強制させる機能である。HSTS を利用すると，攻撃者が制御するコンピュータに HTTP で接続させられ，そのコンピュータが正規サイトと HTTPS 通信を行うという手口の中間者攻撃などを防ぐことができる。
21

Copyright by ITEC Inc., 2019

問題

(H30 春-SC 午前Ⅱ問 17)

SQL インジェクション対策について，Web アプリケーションの実装における対策と，
Web アプリケーションの実装以外の対策として，ともに適切なものはどれか。
Web アプリケーションの実装における対策ア

Web アプリケーションの実装以外の対策

Web アプリケーション中でシェルを
chroot 環境で Web サーバを稼働させる。
起動しない。

イ セッション ID を乱数で生成する。
ウ

TLS によって通信内容を秘匿する。

パス名やファイル名をパラメタとし重要なファイルを公開領域に置かない。
て受け取らないようにする。
データベースのアカウントがもつデータ
ベースアクセス権限を必要最小限にする。

エ プレースホルダを利用する。

解説
SQL インジェクション攻撃とは，ユーザが入力したデータの中にデータベースを操作できる特殊文字や記号を埋め込んで，Web アプリケーションを介してデータベースを不正に操作する攻撃のことである。このため，Web アプリケーションの実装における対策としては，特殊文字や記号を無害化（エスケープ処理）するか，プレースホルダ（バインド機構）を用いて特殊文字や記号を，単なる文字列として処理することが必要となる。
また，Web アプリケーションの実装以外の対策では，データベースのアカウントがもつデータベースアクセス権限を必要最小限にすることが有効となる。
したがって，（エ）が正しい。
ア：OS コマンドインジェクションに関する対策。なお，chroot（カレントプロセスのルートディレクトリを変更するコマンド）環境とは，ユーザの環境をアクセスすべき場
所だけに限定し，root でのアクセスができないように制限することをいう。
イ：セッション ID の推測や盗聴などに関する対策
ウ：ディレクトリトラバーサルなどによるファイルの不正読出しに関する対策
正解

22

エ

Copyright by ITEC Inc., 2019

２．エンベデッドシステムスペシャリスト
エンベデッドシステムスペシャリストを受験される方は，セキュリティ技術評価の「制御シス
テムのセキュリティ評価」と，セキュリティ実装技術「IoT システムの設計・開発におけるセキュ
リティ」の内容を理解しておく必要があります。
まず，「制御システムのセキュリティ評価」の内容としては，組織の産業用オートメーション及び制御システム（IACS；Industrial Automation and Control System）を対象として，制御シス
テム及び重要インフラのセキュリティの仕組みを理解する必要がありますが，ここではポイントとなる事項として，CSMS 適合性評価制度，CSMS 認証基準（IEC 62443-2-1），EDSA 認証について説明します。
また，「IoT システムの設計・開発におけるセキュリティ」の内容としては，IoT システム，IoT
機器の設計・開発について策定された各種の指針・ガイドラインを理解する必要がありますが，
ここでは，シラバスの用語例で挙げられている，つながる世界の開発指針，IoT 開発におけるセキ
ュリティ設計の手引き，IoT セキュリティガイドラインについて説明します。
(1)

制御システムのセキュリティ評価① CSMS 適合性評価制度
CSMS（Cyber Security Management System）適合性評価制度は，産業用オートメーショ
ン及び制御システム（IACS；Industrial Automation and Control System）を対象としたサーバーセキュリティマネジメントシステムに対する第三者認証制度である。組織が構築・運用する CSMS が，CSMS 認証基準に適合しているかどうかを認証審査し登録する認証機関，審査員の資格を付与する要員認証機関，及びこれらの各機関がその業務を行う能力を備えているかを見る認定機関からなる総合的な運用の仕組みである。
IACS は，従来，外部とは隔離された専用システムで構築されており，セキュリティ上の脅威
は一部の人的・物理的脅威以外はほとんど意識されてこなかった。しかし，近年，業務システ
ムとの連携，外部情報の活用，工場機器の IoT 化などの進展によって，IACS がサイバー攻撃の対象となり得る状況になり対策が必要となった。サイバー攻撃を受けた場合，社会インフラ
やビジネスに深刻な影響を及ぼすことになる。
② CSMS 認証基準（IEC 62443-2-1）
制御システムにおける CSMS を確立，実施，維持及び改善するための一般要求事項を定めた認証基準である。規格の IEC 62443-2-1：2010 は，「Industrial communication networks Network and system security - Part2-1: Establishing an industrial automation and control
system security program」である。
③ EDSA 認証
EDSA（Embedded Device Security Assurance；組込みデバイスセキュリティ保証）認証とは，ISCI（ISA Security Compliance Institute）注 1 が提供している認証プログラムで，制御シ
23

Copyright by ITEC Inc., 2019

ステムを構成する制御機器やシステム全体が，ISA-SP99 注 2 に基づいた制御システムのセキュリティ標準に準拠しているかを認証するプログラムである。
注 1

ISCI は，システムに関わる規格の標準化及び普及啓発活動を実施する国際計測学会（ISA；
International Society of Automation）のメンバを中心として評価認証を担う組織である。

注2

ISCI がまとめたセキュリティ規格である。

問題 (H30 秋-SC 午前Ⅱ問 8)EDSA 認証における評価対象と評価項目について，適切な組みはどれか。
評価対象

評価項目

ア 組込み機器である制御機器
イ

組込み機器ロバストネス試験

組込み機器である制御機器が運用 入退室管理の評価されている施設ぜい

複数の制御機器から構成される制 脆弱性試験
ウ
御システム
エ

複数の制御機器から構成される制 セキュリティポリシの評価
御システムを管理する組織

解説
EDSA（Embedded Device Security Assurance）認証は，制御機器のセキュリティ保証に関する認証制度で，制御システムの組込み機器である制御機器を評価対象とする。
そして，EDSA 2.0.0 では，セキュリティ開発ライフサイクルプロセス評価，組込み機器
機能セキュリティ評価，組込み機器ロバストネス（堅牢性）試験という三つを評価項目として挙げている。したがって，評価対象と評価項目の組みとしては，（ア）が適切な組みとなる。
組込み機器とは，組込みソフトウェアを実行する特殊目的のデバイスであり，産業プ
ロセスを直接監視し，制御し，又は作動させるように設計されたものと説明されている。
例えば，PLC（Programmable Logic Controller），フィールドセンサデバイス，SIS（Safety Instrument System）などがある。また，組込み機器ロバストネス試験では，例えば，正常データと同時に様々な異常データを送信するファジングテストを実施して脆弱性の有無を評価する。EDSA 認証制度のスキームは，ISA（The International Societyof Automation；国際計測制御学会）によって開発されている。
イ：（エ）の CSMS 認証に含まれる組み
ウ：制御システムを対象とする SSA（System Security Assurance）認証における組み
エ：制御システムを運用する組織を対象とする CSMS（Cyber Security Management
System）認証における組み
正解

24

ア

Copyright by ITEC Inc., 2019

(2)IoT システムの設計・開発におけるセキュリティ①

つながる世界の開発指針
IoT 製品の利用者や製品の安全性・セキュリティを脅かすリスクの発生に対して，開発者が考慮すべきリスクや対策に関する検討結果を取りまとめ指針として明確化したものである。指針の内容は，IPA の Web サイト上に公開されている（以下，参考 URL は 2019 年 12 月 12 日
現在のもの）
・「つながる世界の開発指針」
https://www.ipa.go.jp/sec/reports/20160324.html
・「つながる世界の開発指針（第 2 版）」
https://www.ipa.go.jp/sec/reports/20170630.html② IoT 開発におけるセキュリティ設計の手引き
IoT の構成要素を「サービス提供サーバ・クラウド」「中継機器」「システム」「デバイス」「直接相互通信するデバイス」の五つに分類して定義し，IoT の全体像をモデル化し，各構成要素におけるセキュリティ上の課題の抽出・整理を行ったものである。IPA の Web サイト上に公開されている。
・「IoT 開発におけるセキュリティ設計の手引き」
https://www.ipa.go.jp/security/iot/iotguide.html③ IoT セキュリティガイドライン
IoT セキュリティガイドラインは，経済産業省及び総務省主催の「IoT 推進コンソーシアム
IoT セキュリティワーキンググループ」が策定したガイドラインで，対象者を，供給側の経営者，機器の生産者，サービス提供者，利用側の企業利用者，一般利用者として，IoT セキュリテ
ィの考え方や留意事項，実現方法など，セキュリティ確保の観点から必要な取組みを示したものである。
経済産業省と総務省の Web サイトに個別に公開されている。
・「IoT セキュリティガイドライン」（経済産業省）https://www.meti.go.jp/press/2016/07/20160705002/20160705002.html
・「IoT セキュリティガイドライン」（総務省）
http://www.soumu.go.jp/main_content/000428393.pdf

25

Copyright by ITEC Inc., 2019

問題

(ITEC 作成 予想問題

802897)

IoT システムや IoT 機器について策定された“IoT セキュリティガイドライン”に関する記述として，適切なものはどれか。
IoT 関連システムや機器によるセキュリティ被害を削減するための具体的なセキュア

リティ対策をまとめたものである。
IoT 関連システムや機器の開発に携わる人材を想定したガイドラインであり，一般イ

利用者は対象としていない。
IoT 関連システムや機器の開発を促進するために，セキュリティ確保の観点から必ウ

要な取組みを示している。
IoT 関連システムや機器へのサイバー攻撃を想定して，様々な事例における法的責エ

任の所在を明確に示している。
解説
IoT セキュリティガイドラインは，IoT 機器やシステム，サービスの供給者や利用者が自己の役割を認識しつつ，分野ごとの性質に応じたセキュリティ確保の取組みが促進されることを期待して，総務省と経済産業省によって策定されたものである。
策定目的の一つとして，「IoT 機器やシステム，サービスについて，関係者がセキュリティ確保の観点から求められる基本的な取組みを明確化することによって，産業界による積極的な開発等の取組みを促す」という主旨のことが述べられており，（ウ）が正解である。
ア：具体的な対策をまとめたものではなく，役割に応じたセキュリティ対策の指針や要点を示したものである。そして，その内容を基に，それぞれの対象者において，守るべきものやリスクの大きさなどを踏まえ，役割・立場に応じて適切なセキュリティ対策の検討が行われることを期待している。
イ：IoT セキュリティガイドラインには，一般利用者向けのルールも記載されている。
エ：被害発生時の法的責任を明らかにするのではなく，取り組むべき IoT のセキュリテ
ィ対策の認識を促し，関係者相互の情報共有を促すための材料を提供することを目的としている。
正解

26

ウ

Copyright by ITEC Inc., 2019

３．システム監査技術者
システム監査技術者を受験される方は，ここまでに説明したデータベーススペシャリスト，エンベデッドシステムスペシャリスト試験の内容も理解しておくことが望まれます。これらに加えて，セキュリティ技術評価に含まれる「セキュリティ評価基準」，「脆弱性評価の指標」，「セキュリティ情報共有技術」，及びセキュリティ実装技術に含まれる「マルウェア解析」の内容を理解しておく必要があります。
まず，「セキュリティ評価基準」の内容としては，情報資産の不正コピーや改ざんなどを防ぐセ
キュリティ製品の，セキュリティ水準を知るためのセキュリティ技術評価の目的，考え方，適用方法を理解する必要がありますが，ここではポイントとなる事項として，IT セキュリティ評価及び認定制度，暗号モジュール試験及び認定制度について説明します。
次に，「脆弱性評価の指標」の内容としては，情報システムの脆弱性に対する評価手法を理解する必要がありますが，ここではポイントとなる事項として，CVSS（共通脆弱性評価システム）について説明します。
また，「セキュリティ情報共有技術」の内容としては，サイバー攻撃活動に関する情報を記述，交換するための技術仕様を理解する必要がありますが，ここではポイントとなる事項として，情報交換手順の TAXII と情報記述形式の STIX について説明します。
最後に，「マルウェア解析」の内容としては，マルウェア解析環境の仕組み，マルウェア検体の解析手法，また，解析をマルウェアが回避，妨害する仕組みを理解する必要がありますが，ここでは，シラバスの用語例で挙げられている内容を中心に説明します。
(1)

セキュリティ評価基準① IT セキュリティ評価及び認証制度
IT セキュリティ評価及び認証制度（JISEC；Japan Information Technology Security
Evaluation and Certification Scheme）は，情報技術に関連した製品及びシステムが情報セキ
ュリティに関して適切に設計され，その設計が正しく実装されていることを第三者機関が評価し，その結果に基づいて認証機関が認証を与えるものである。評価は，国際標準規格（ISO/IEC15408）によって行われ，評価方法にも国際標準規格（ISO/IEC 18045）が適用される。現在，認証機関は IPA によって運営されている。
② ISO/IEC15408（Evaluation criteria for IT security）
セキュリティ製品やシステムの評価のための国際標準規格で，CC（Common Criteria for
Information Technology Security Evaluation；情報技術セキュリティ評価のためのコモンクラ
イテリア）とも呼ばれる。CC は，米国，ヨーロッパ（イギリス，フランス，ドイツ，オランダ），
カナダの規格を統一する形で規格化されたもので，次の三つのパートで構成されている。
・パート 1：概説と一般モデル（Introduction and general model）
・パート 2：セキュリティ機能要件（Security functional requirements）
・パート 3：セキュリティ保証要件（Security assurance requirements）
27

Copyright by ITEC Inc., 2019

③ ISO/IEC 18045（CEM （Common Evaluation Methodology；共通評価方法））
CC による評価結果が，評価機関によらず均質になるように，評価を行う際に必要な最低限のアクション（評価の対象や方法）を規定している。
④ ISO/IEC15408 のセキュリティ機能要件
CC のパート 2 では，評価対象となり得るセキュリティ機能とその要件を，カタログという形式で規定している。CC による機能に対する評価は，このカタログの中から必要なものを選んで行われる。カタログは，クラス－ファミリ－コンポーネントという構造によって規定され，次の 11 のクラスがある。
セキュリティ監査，通信，暗号サポート，利用者データ保護，識別と認証，
セキュリティ管理，プライバシ，TSF の保護，資源利用，TOE アクセス，
高信頼パス／チャネル※ TOE……評価対象（Target Of Evaluate）
TSF……TOE セキュリティ機能（TOE Security Function）⑤ ISO/IEC15408 のセキュリティ保証要件
CC のパート 3 では，評価結果の信頼性を保証するための評価対象と評価のための要件について，機能要件と同じクラス－ファミリ－コンポーネントという構造で規定している。規定されているクラスは，次の 9 クラスである。
プロテクションプロファイル評価，プロテクションプロファイル構成評価，
セキィリティターゲット評価，開発，ガイダンス文書，ライフサイクルサポート，テスト，
脆弱性評価，統合※ プロテクションプロファイル（PP）……利用者が自身のセキュリティ要件を記述した文書
セキュリティターゲット（ST）……開発者が設計仕様を記述した文書⑥ ISO/IEC15408 評価保証レベル（EAL；Evaluation Assurance Level）
CC のパート 3 には，標準的な保証要件のセットとして，評価保証レベルが規定されている。
保証レベルには EAL1～EAL7 の七つのレベルがあるが，各レベルは，製品が実現するセキュリティ機能の高さではなく，評価の深さや広さを示しており，レベルが高くなるほど，評価要件が増えるため，評価のためのコストも高くなる。
レベル

意味（評価方法）

適用対象

EAL1

機能テスト

セキュリティの脅威が重大ではないEAL2構造化テスト

低～中レベルのセキュリティ

EAL3

方式的テスト及びチェック

中レベルのセキュリティ

EAL4方式的設計，テスト及びレビュー

中～高レベルのセキュリティ

EAL5

準形式的設計及びテスト

高レベルのセキュリティ

EAL6

準形式的検証済み設計及びテスト

リスクとその影響が高い

EAL7

形式的検証済み設計及びテスト

リスクとその影響が非常に高い

28

Copyright by ITEC Inc., 2019

⑦

暗号モジュール試験及び認証制度（JCMVP；Japan Cryptographic Module Validation Program）
暗号化機能，ハッシュ機能，署名機能などのセキュリティ機能を実装したハードウェア，ソフトウェアなどから構成される暗号モジュールが，内部に格納するセキュリティ機能，暗号鍵及びパスワードなどの重要情報を適切に保護していることを，第三者が試験及び認証する制度である。認証には，機能等に対する要求事項によって，セキュリティレベル 1～4 の段階がある。
また，この制度に関連する規格には，次の二つがある。
・ JIS X 19790:2015（セキュリティ技術 － 暗号モジュールのセキュリティ要求事項）
・ JIS X 24759:2017（セキュリティ技術 － 暗号モジュールのセキュリティ試験要件）⑧

暗号モジュールのセキュリティ要求事項（FIPS 140；Federal Information Processing Standardization 140）

暗号モジュールに求められるセキュリティ機能の仕様を規定した米国連邦標準規格で，米国と カ ナ ダ で ， こ の 規 格 に よ る 暗 号 モ ジ ュ ー ル 認 証 プ ロ グ ラ ム （ Cryptographic Module
Validation Program）の CMVP が実施されている。JCMVP で利用されている JIS X 19790：
2015 は，FIPS 140 を基に規格化された ISO/IEC 19790:2012 の日本語版であり，JCMVP とCMVP は，共同認証を受けることができる。

(H27 秋-SC 午前Ⅱ問 6)

問題

ISO/IEC 15408 を評価基準とする“IT セキュリティ評価及び認証制度”の説明として，適切なものはどれか。
ア

暗号モジュールに暗号アルゴリズムが適切に実装され，暗号鍵などが確実に保護されているかどうかを評価及び認証する制度
主に無線 LAN において，RADIUS などと連携することで，認証されていない利用イ

者を全て排除し，認証された利用者だけの通信を通過させることを評価及び認証する制度
ウ

情報技術に関連した製品のセキュリティ機能の適切性，確実性を第三者機関が評価し，その結果を公的に認証する制度

エ

情報セキュリティマネジメントシステムが，基準にのっとり，適切に組織内に構築，運用されていることを評価及び認証する制度

解説
IT セキュリティ評価及び認証制度（JISEC）は，情報技術に関連した製品のセキュリ
ティ機能の適切性，確実性を，セキュリティ評価基準の ISO/IEC 15408 に基づいて第三者（評価機関）が評価し，その評価結果を認証機関が認証する，我が国の制度である。
したがって，（ウ）が正しい。なお，現在の JISEC 認証機関は IPA が運営している。
ア ： 暗 号 モ ジ ュ ー ル 試 験 及 び 認 証 制 度 （ JCMVP ； Japan Cryptographic Module
29

Copyright by ITEC Inc., 2019

Validation Program）の説明である。
イ：無線 LAN における利用者認証に関する記述である。無線 LAN では，Wi-Fi アライ
アンスが WPA（Wi-Fi Protected Access）や WPA2 という規格によって利用者認証方法を規定している。
エ：JIS Q 27001（ISO/IEC 27001）“セキュリティ技術－情報セキュリティマネジメン
トシステム－要求事項”を評価基準とする，ISMS 適合性評価制度の説明である。
正解ウ

問題 (H30 秋-SC 午前Ⅱ問 5)
FIPS PUB 140-2 の記述内容はどれか。
ア

暗号モジュールのセキュリティ要求事項

イ

情報セキュリティマネジメントシステムの要求事項

ウディジタル証明書や証明書失効リストの技術仕様

エ無線 LAN セキュリティの技術仕様

解説
FIPS PUB（Federal Information Processing Standards Publication）は，米国商務省の承認を受けて，NIST（National Institute of Standards and Technology；米国国立
標準技術研究所）が公布した情報セキュリティ関連の文書である。このうち，FIPS PUB
140-2 は，暗号モジュールのセキュリティ要件についての規格を定めたものなので，（ア）が正しい。なお，NIST では，FIPS の他，SP（Special Publications）800 シリーズと呼ばれるコンピュータセキュリティ関連のレポートなどを発行している。
イ：JIS Q 27001 の記述内容である。
ウ：ITU-T 勧告 X.509 の記述内容である。
エ：IEEE 802.11i や WPA（Wi-Fi Protected Access）などの記述内容である。
正解

(2)

ア

脆弱性評価の指標① CVSS（Common Vulnerability Scoring System；共通脆弱性評価システム)
情報システムの脆弱性に対するオープンで汎用的な評価手法で，脆弱性の深刻度をベンダなどに依存しない同一の基準の下で定量的に比較でき，脆弱性に関して立場の異なる関係者間で共通の言葉で議論できるようになる。なお，CVSS には，次の三つの評価基準がある。
・基本評価基準（Base Metrics）……脆弱性そのものの特性を評価する基準で，情報システムに求められる“機密性”
，
“完全性”
，
“可用性”の三つの特性に対する影響を，ネットワー
クから攻撃可能かどうかといった基準で評価する。この基準によって算出した値が，CVSS
基本値（Base Score）であり，脆弱性の固有の深刻度を示す。

30

Copyright by ITEC Inc., 2019

・現状評価基準（Temporal Metrics）……脆弱性の現在の深刻度を評価する基準で，攻撃コー
ドの出現有無や対策情報が利用可能であるかといった基準で評価する。この基準によって算出された値が CVSS 現状値（Temporal Score）で，脆弱性の現状の深刻度を示す。
・環境評価基準（Environmental Metrics）……製品の利用環境も含め，最終的な脆弱性の深刻度を評価する基準で，攻撃を受けた場合の二次的な被害の大きさや，対象製品の使用状
況といった基準で評価する。この基準で算出した値が，CVSS 環境値（Environmental
Score）であり，利用状況に応じた脆弱性の深刻度を示す。
② CVE（Common Vulnerabilities and Exposures；共通脆弱性識別子）
一般に公開されている脆弱性に対する通番で，CVE-西暦年-4 桁の通番という形式で採番されていたが，明らかになる脆弱性の数が 1 年間に 10,000 件を超える可能性があるため，現在は，最後の部分を 4 桁以上の通番としている。米国政府向けの技術支援や研究開発を行う非営
利組織の MITRE 社によって管理されており，JVN（Japan Vulnerability Notes）では，国内で利用されるソフトウェアの脆弱性について，CVE，CVSS 基本値による深刻度，対策などを公表している。
③ CWE（Common Weakness Enumeration；共通脆弱性タイプ一覧）
脆弱性のタイプ別の一覧で，前述の MITRE 社によって管理されている。脆弱性を共通のタイプに分類することによって，原因の認識や対策の実施，再発防止などに役立てることを目的としており，ビュー（View），カテゴリ（Category），脆弱性（Weakness），複合要因（Compound
Element）の 4 種類に分類されたおよそ 800 個の脆弱性タイプがある。

問題(H30 春-SC 午前Ⅱ問 1)

CVSS v3 の評価基準には，基本評価基準，現状評価基準，環境評価基準の三つがある。
基本評価基準の説明はどれか。

ア

機密性への影響，どこから攻撃が可能かといった攻撃元区分，攻撃する際に必要なぜい

特権レベルなど，脆弱性そのものの特性を評価する。
イ

攻撃される可能性，利用可能な対策のレベル，脆弱性情報の信頼性など，評価時点における脆弱性の特性を評価する。

ウ

脆弱性を悪用した攻撃シナリオについて，機会，正当化，動機の三つの観点から，脆弱性が悪用される基本的なリスクを評価する。

エ

利用者のシステムやネットワークにおける情報セキュリティ対策など，攻撃の難易度や攻撃による影響度を再評価し，脆弱性の最終的な深刻度を評価する。

解説
CVSS（Common Vulnerability Scoring System；共通脆弱性評価システム）は，IT 製品の脆弱性の深刻度を評価する手法である。CVSS では，次の三つの基準で脆弱性を評
31

Copyright by ITEC Inc., 2019

価する。なお，v3 は現在（2018 年 6 月時点）の最新バージョンである。
選択肢の記述を順に検討すると次のようになり，（ア）が正解である。
ア：脆弱性そのものに対する特性評価なので，基本評価基準に関する記述である。
イ：評価時点における脆弱性の特性なので，現状評価基準に関する記述である。
ウ：機会，正当化，動機の三つの観点は，内部不正が発生する際に働く不正のトライア
ングルにおける 3 要素であり，CVSS の基準ではない。
エ：利用者環境に応じた脆弱性評価なので，環境評価基準に関する記述である。
正解

(3)

ア

セキュリティ情報共有技術① TAXII（Trusted Automated eXchange of Indicator Information；検知指標情報自動交換手順）
セキュリティ情報を共有するために，サイバー攻撃による脅威情報を交換するための手順（仕様）で，サービス仕様，転送仕様，メッセージ仕様，コンテンツ仕様から構成される。TAXII を用いることで，サイバー攻撃活動の観測事象，検知指標などの様々な脅威情報の交換をプログラムで処理できるようになる。なお，TAXII は，STIX などの脅威情報記述形式で記述された脅
威情報の交換を目的としている。
② STIX（Structured Threat Information eXpression；脅威情報構造化記述形式）
サイバー攻撃対策において，検知に有効なサイバー攻撃を特徴付ける指標（indicator）などのサイバー攻撃活動に関連する項目を記述するための技術仕様である。サイバー攻撃活動を鳥瞰するために，攻撃者（攻撃に関与している人／組織）や行動，手口，狙っているシステムの脆弱性など攻撃者側の側面から見た状況と，サイバー攻撃を検知するための兆候，引き起こされる問題，対処するために取るべき措置など防護側の側面から見た状況を，標準化された方法で記述し，情報を共有するために開発された。
(4)

マルウェア解析①

マルウェア解析環境

・サンドボックス（sandbox；砂場）
実行できる機能を制限するなどして，プログラムによって不正な操作が行われても実害が生じないようにした実行環境のことである。具体的には，Java などの実行プラットフォームのセキュリティ機能を利用するものや，OS の動作をエミュレーションして不正な動作を実行させないようにするもの，仮想 OS を利用するものなどがある。外部から受け取ったプログラムの検証や，採取したマルウェアの挙動の観察などに利用される。
・ハニーポット（honeypot；蜜壺）
マルウェアをおびき寄せて検体を採取したり，動作を観察したりするシステムのこと。
通常の情報システムを装ったおとりのシステムで，サンドボックスのような仕組みによっ32

Copyright by ITEC Inc., 2019

て実害が発生しないような実行環境にすることが一般的であるが，実際に被害を発生させて，状況を観察するものもある。
・ダークネット（darknet）
インターネット上で到達可能，かつ，未使用の IP アドレス空間，つまり，未割当の IP
アドレスのことで，マルウェアの活動状況など，サイバー攻撃の状況を監視するために利用される。日本では，NIST（情報処理通信機構）の NICTER プロジェクトが代表的であり，監視用のダークネットに届いたパケットを監視，分析して，定期的にレポートを公表している。

(H29 春-SC 午前Ⅱ問 16)

問題

サンドボックスの仕組みに関する記述のうち，適切なものはどれか。
ぜいWeb アプリケーションの脆弱性を悪用する攻撃に含まれる可能性が高い文字列を定ア

義し，攻撃であると判定した場合には，その通信を遮断する。
クラウド上で動作する複数の仮想マシン（ゲスト OS）間で，お互いの操作ができる

イ

ように制御する。
ウプログラムの影響がシステム全体に及ばないように，プログラムが実行できる機能やアクセスできるリソースを制限して動作させる。
ひなプログラムのソースコードで SQL 文の雛形の中に変数の場所を示す記号を置いたエ

後，実際の値を割り当てる。
解説
サンドボックスは，「プログラムの影響がシステム全体に及ばないように，プログラムが実行できる機能やアクセスできるリソースを制限して動作させる」というセキュリテ
ィ機構である。したがって，（ウ）が正しい。例えば，インターネットからダウンロード
されてブラウザによって実行される Java プログラムである Java アプレットは，次のよ
うなサンドボックス機能による制限の中で動作する。
・クライアントのディスクやクリップボードのデータにアクセスできない。
・印刷機能を利用できない。
・Java アプレットをダウンロードした接続先のサーバとしか通信できない。
なお，サンドボックスとは“砂場”のことで，砂場の外に出ないようにしてセキュリ
ティを維持するという意味がある。
ア：WAF（Web Application Firewall）に関する記述である。
イ：サンドボックスとして仮想マシンを利用する場合には，動作させるプログラムの影
響が他の仮想マシンなどに及ばないように隔離した環境で動作させる。
エ：SQL インジェクション攻撃の対策として有効な，プレースホルダを用いた SQL 文の組立て（バインド機構）に関する記述である。
正解
33

ウ

Copyright by ITEC Inc., 2019

(H28 秋-SC 午前Ⅱ問 11)

問題

マルウェアの活動傾向などを把握するための観測用センサが配備され，ダークネットともいわれるものはどれか。
ア

インターネット上で到達可能，かつ，未使用の IP アドレス空間

イ

組織に割り当てられている IP アドレスのうち，コンピュータで使用されている IP
アドレス空間ウ

通信事業者が他の通信事業者などに貸し出す光ファイバ設備エ

マルウェアに狙われた制御システムのネットワーク

解説
ダークネットとは，インターネット上で到達可能，かつ，未使用の IP アドレス空間のことである。特定のホストに割り当てられていないアドレス空間なので，通常の通信で使用されることはない。一方，マルウェアによる通信や攻撃，アドレススキャンなどでは，IP アドレスをランダムやシーケンシャルに変えてパケットを送信することが多い。
そこで，マルウェアの活動傾向などを把握するために，ダークネットに到達するパケッ
トを観測するためのセンサが配備されている。したがって，（ア）が正しい。
なお，ダークネットセンサには，次のような種類がある。
・ブラックホールセンサ……パケットの送信元に対し，全く応答を行わないセンサで，外部からセンサの存在を検知されにくいという利点がある。
・低インタラクションセンサ……パケットの送信元に対し，一定レベルの応答を返すセンサで，例えば，TCP の SYN パケットに対して SYN/ACK パケットを返す。
・高インタラクションセンサ……実マシン，もしくはそれに準じた応答を返すセンサで，マルウェアの本体やその感染時の挙動，攻撃者が不正アクセスを試みた際の行動履歴など多様な情報が取得可能である。
イ：ダークネットは，使用されている IP アドレス空間を用いない。
ウ：通信事業者が有する光ファイバ設備のうち，敷設されていながら使われていないものはダークファイバと呼ばれる。ダークファイバとして，他の通信事業者に貸し出すサービスが提供されている。
エ：ダークネットは，未使用の IP アドレス空間を用いるので，制御システムのネットワークは該当しない。
正解②

アマルウェア解析手法

・エクスプロイトコード（exploitcode）
ソフトウェアの脆弱性の検証のために作成された簡易なプログラムのこと。本来は，脆弱性の影響や，対策の実効性を確認するためのものであったが，攻撃に悪用されることが多くなり，脆弱性を突いた攻撃用のコードのことをエクスプロイトコードと呼ぶようにな
34

Copyright by ITEC Inc., 2019

っている。
・パケットキャプチャ
キャプチャ（capture）とは捕獲するなどの意味で，パケットキャプチャは，ネットワー
ク上を流れるパケットの内容を観察する手法であり，この機能をもつ多くのツールが提供されている。マルウェアは，インターネット上の悪意のあるサーバなどと通信を行うことが多く，マルウェアの検出や動作の解析などに有効な手法である。
・バイナリ解析
マルウェアを含めてコンピュータ上で動作する実行形式のプログラムは，機械語と呼ばれるバイナリ形式のデータである。バイナリ形式は，ビット列で構成され，そのままの状
態では，人間が解析したりすることが困難なため，バイナリ解析ツールと呼ばれるツールを利用する。バイナリ解析ツールには，16 進表示や文字表示などの単純な機能だけでなく，CPU に応じた命令コードごとに区切って表示したり，アセンブラ言語の命令に変換（逆アセンブル）して表示したり，既知のマルウェアの特徴的なパターンと一致する部分を抽出して表示したりする機能をもつものも多い。
・アンパック（unpack）
マルウェアには，検出されることを防ぐために暗号化や圧縮されているものもある。解析を行うためには，復号や伸張を行い，本来のマルウェアを復元する必要があるが，このための操作のことをアンパックと呼ぶ。
③

解析の回避

・パッカ（packer）
そもそもは，データ量の削減のために，実行形式のファイルをその状態のまま圧縮したもの（形式）だが，検出されることを防ぐためにマルウェアにも流用されている。メールなどに添付されて送られ，クリックすると，解凍だけでなくマルウェア自身が実行される。
また，圧縮ではなく，暗号化されたものをクリプタ（crypter）と呼ぶ。
・難読化
検出や検出後の解析を困難にするための操作のことで，無駄な命令や無意味な文字列などを，コード中に挿入したりする方法が一般的である。また，圧縮や暗号化なども難読化の手段の一つである。
・デバッガの検知
マルウェアを解析するためにデバッガを利用するが，マルウェアの中には，デバッガ上で実行されていることを検知して，動作を変更するなど解析を妨害するものがあり，このような機能はアンチデバッグと呼ばれる。また，ハニーポットやサンドボックスに対しても，よく用いられる MAC アドレスやソフトウェア，プロセスなどを基に検出して，解析を妨害するものがある。
・マルウェア対策ソフトの停止
マルウェアの中には，OS のセキュリティ機能やマルウェア対策ソフトを停止させる機能をもつものがあり，アンチマルウェアと呼ばれる。
35

Copyright by ITEC Inc., 2019

問題

(H30 春-SC 午前Ⅱ問 4)

エクスプロイトコードの説明はどれか。
ぜいア

攻撃コードとも呼ばれ，脆弱性を悪用するソフトウェアのコードのことであるが，使い方によっては脆弱性の検証に役立つこともある。

イ

マルウェアのプログラムを解析して得られる，マルウェアを特定するための特徴的なコードのことであり，マルウェア対策ソフトの定義ファイルとしてマルウェアの検知に用いられる。

ウ

メッセージとシークレットデータから計算されるハッシュコードのことであり，メッセージの改ざんの検知に用いられる。

エ

ログインの度に変化する認証コードのことであり，窃取されても再利用できないので不正アクセスを防ぐ。

解説
エクスプロイトコード（exploit code）は，ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラムである。そもそもは，実際に利用している情報シス
テムにおいて，攻撃が成功するか，あるいは脆弱性の対策後に攻撃を防御できるかといった検証のためのコードだったが，攻撃側から見ると，脆弱性を悪用する攻撃コードであり，現状ではこちらを意味することが多い。したがって，攻撃コードとも呼ばれ，脆弱性を悪用するソフトウェアのコードのことであるが，使い方によっては脆弱性の検証に役立つこともあると説明された（ア）が正しい。
イ：マルウェアの検知に用いられるシグネチャコード（signature code）の説明である。
ウ：メッセージ認証に用いられる HMAC（Hash-based Message Authentication Code）の説明である。
エ：ワンタイムパスワード認証で用いられるレスポンスコードの説明である。
正解

36

ア

Copyright by ITEC Inc., 2019