情報処理安全確保支援士試験
情報処理安全確保支援士（登録セキスペ）試験を受験する方向けに、午前Ⅱ対策を中心としたチートシートを用意しました。 こちらは、あくまで試験合格を目的とした内容になっていますので、きちんと学習したい方は、過去問題解説ページ等をご覧ください。 当ペ…
セキュリティスペシャリスト向けの国家資格試験『情報処理安全確保支援士（登録セキスペ）試験』を徹底解説！ 過去問題の解説・傾向分析をはじめ、試験情報、試験対策方法、おすすめコンテンツなどを紹介します。 同名Twitter（@hpeo_sc）もぜひご利用くださ…
エクスプロイトコードの説明はどれか。 攻撃コードとも呼ばれ，ソフトウェアの脆弱性を悪用するコードのことであり，使い方によっては脆弱性の検証に役立つこともある。 マルウェア定義ファイルとも呼ばれ，マルウェアを特定するための特徴的なコードのこと…
攻撃者に脆弱性に関する専門の知識がなくても，OSやアプリケーションソフトウェアの脆弱性を悪用した攻撃ができる複数のプログラムや管理機能を統合したものはどれか。 Exploit Kit iLogScanner MyJVN Remote Access Tool 解答・解説 (adsbygoogle = window.…
マルウェアMiraiの動作はどれか。 IoT機器などで動作するWebサーバの脆弱性を悪用して感染を広げ，WebサーバのWebページを改ざんし，決められた日時に特定のIPアドレスに対してDDoS攻撃を行う。 Webサーバの脆弱性を悪用して企業のWebページに不正なJavaScri…
ルートキットの特徴はどれか。 OSなどに不正に組み込んだツールを隠蔽する。 OSの中核であるカーネル部分の脆弱性を分析する。 コンピュータがウイルスやワームに感染していないことをチェックする。 コンピュータやルータのアクセス可能な通信ポートを外部…
情報セキュリティにおけるエクスプロイトコードの説明はどれか。 同じセキュリティ機能をもつ製品に乗り換える場合に，CSVなど他の製品に取り込むことができる形式でファイルを出力するプログラム コンピュータに接続されたハードディスクなどの外部記憶装置…
BlueBorneの説明はどれか。 Bluetoothを悪用してデバイスを不正に操作したり，情報を窃取したりする，複数の脆弱性の呼称 感染したPCの画面の背景を青1色に表示させた上，金銭の支払を要求するランサムウェアの一種 攻撃側（Red Team）と防御側（Blue Team）…
無線LANの隠れ端末問題の説明として，適切なものはどれか。 アクセスポイントがSSIDステルス機能を用いてビーコン信号を止めることによって，端末から利用可能なSSIDが分からなくなる問題 端末がアクセスポイントとは通信できるが，他の端末のキャリアを検出…
Webサーバのログを分析したところ，Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる，攻撃者が悪用しようとしていた脆弱性はどれか。ここで，HTTPリクエストヘッダ中の"%20"は空白を意味する。 …
サイドチャネル攻撃の説明はどれか。 暗号アルゴリズムを実装した攻撃対象の物理デバイスから得られる物理量（処理時間や消費電流など）やエラーメッセージから，攻撃対象の秘密情報を得る。 企業などの秘密情報を窃取するソーシャルエンジニアリングの手法…
暗号機能を実装したIoT機器において脅威となるサイドチャネル攻撃に該当するものはどれか。 暗号化関数を線形近似する式を導き，その線形近似式から秘密情報の取得を試みる。 機器が発する電磁波を測定することによって秘密情報の取得を試みる。 二つの平文…
マルチベクトル型DDoS攻撃に該当するものはどれか。 DNSリフレクタ攻撃によってDNSサービスを停止させ，複数のPCでの名前解決を妨害する。 Webサイトに対して，SYN Flood攻撃とHTTP POST Flood攻撃を同時に行う。 管理者用IDのパスワードを初期設定のままで…
仮想通貨環境において，報酬を得るために行われるクリプトジャッキングはどれか。 他人のPC又はサーバに侵入して計算資源を不正に利用し，台帳への追記の計算を行う。 他人のPC又はサーバに保存された顧客情報を不正に取得して，販売する。 他人のPC又はサー…
DoS攻撃の一つであるSmurf攻撃はどれか。 ICMPの応答パケットを大量に発生させ，それが攻撃対象に送られるようにする。 TCP接続要求であるSYNパケットを攻撃対象に大量に送り付ける。 サイズが大きいUDPパケットを攻撃対象に大量に送り付ける。 サイズが大き…
サイドチャネル攻撃はどれか。 暗号化装置における暗号化処理時の消費電力などの測定や統計処理によって，当該装置内部の秘密情報を推定する攻撃 攻撃者が任意に選択した平文とその平文に対応した暗号文から数学的手法を用いて暗号鍵を推測し，同じ暗号鍵を…
マルチベクトル型DDoS攻撃に該当するものはどれか。 攻撃対象のWebサーバ1台に対して，多数のPCから一斉にリクエストを送ってサーバのリソースを枯渇させる攻撃と，大量のDNS通信によってネットワークの帯域を消費させる攻撃を同時に行う。 攻撃対象のWebサ…
UDPの性質を悪用したDDoS攻撃に該当するものはどれか。 DNSリフレクタ攻撃 SQLインジェクション攻撃 ディレクトリトラバーサル攻撃 パスワードリスト攻撃 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 ア 解説 UDPはTCPと違い、コネ…
Webアプリケーションの脆弱性を悪用する攻撃手法のうち，Webページ上で入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。 HTTPヘッダインジェクション OSコマン…
テンペスト攻撃を説明したものはどれか。 故意に暗号化演算を誤動作させて正しい処理結果との差異を解析する。 処理時間の差異を計測して解析する。 処理中に機器から放射される電磁波を観測して解析する。 チップ内の信号線などに探針を直接当て，処理中の…
暗号化装置において暗号化処理時に消費電力を測定するなどして，当該装置内部の秘密情報を推定する攻撃はどれか。 キーロガー サイドチャネル攻撃 スミッシング 中間者攻撃 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解答 イ 解説 キ…
SSL/TLSのダウングレード攻撃に該当するものはどれか。 暗号化通信中にクライアントPCからサーバに送信するデータを操作して，強制的にサーバのディジタル証明書を失効させる。 暗号化通信中にサーバからクライアントPCに送信するデータを操作して，クライア…
セッションIDの固定化（Session Fixation）攻撃の手口はどれか。 HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。 URLパラメタにセッションIDを格納するWebサイ…
DNS水責め攻撃（ランダムサブドメイン攻撃）の手口と目的に関する記述のうち，適切なものはどれか。 ISPが管理するDNSキャッシュサーバに対して，送信元を攻撃対象のサーバのIPアドレスに詐称してランダムかつ大量に生成したサブドメイン名の問合せを送リ，…
ICMP Flood攻撃に該当するものはどれか。 HTTP GETコマンドを繰り返し送ることによって，攻撃対象のサーバにコンテンツ送信の負荷を掛ける。 pingコマンドを用いて大量の要求パケットを発信することによって，攻撃対象のサーバに至るまでの回線を過負荷にし…
ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち，適切なものはどれか。 SHA-256の衝突発見困難性を示す，ハッシュ値が一致する二つのメッセージの発見に要する最大の計算量は，256の2乗である。 SHA-256の衝突発見困難性を示す，ハッシュ…
AESの特徴はどれか。 鍵長によって，段数が決まる。 段数は，6段以内の範囲で選択できる。 データの暗号化，復号，暗号化の順に3回繰り返す。 同一の公開鍵を用いて暗号化を3回繰り返す。 解答・解説 (adsbygoogle = window.adsbygoogle || []).push({}); 解…
SAML（Security Assertion Markup Language）の説明として，最も適切なものはどれか。 Webサービスに関する情報を公開し，それらが提供する機能などを検索可能にするための仕様 権限がない利用者による読取り，改ざんから電子メールを保護して送信するための…
認証処理のうち，FIDO（Fast IDentity Online） UAF（Universal Authentication Framework）1.1に基づいたものはどれか。 SaaS接続時の認証において，PINコードとトークンが表示したワンタイムパスワードとをPCから認証サーバに送信した。 SaaS接続時の認証…
XMLディジタル署名の特徴として，適切なものはどれか。 XML文書中の任意のエレメントに対してデタッチ署名（Detached Signature）を付けることができる。 エンベローピング署名（Enveloping Signature）では一つの署名対象に必ず複数の署名を付ける。 署名形…