情報処理安全確保支援士のサンプル問題（本番形式・解説付き）

情報処理安全確保支援士（経済産業省（IPA）・情報処理安全確保支援士試験（SC））の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録で解ける模試第1回（25問）の冒頭から抜粋したオリジナル問題です。当サイトは全375問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。

設問1

「クリプトジャッキング」の説明として、最も適切なものはどれか。

攻撃者が、Webサイトに埋め込んだスクリプトやマルウェアを通じて、利用者や被害端末のCPU等の計算資源を無断で使用し、暗号資産のマイニング処理を行わせて利益を得る。（正解）
攻撃者が、暗号資産取引所のWebサイトに対してSQLインジェクション攻撃を行い、顧客の秘密鍵情報を窃取する。
攻撃者が、正規のブロックチェーンネットワークに参加するノードの過半数の計算力を掌握し、自らに都合のよい分岐を最長鎖として承認させることで、いったん確定した取引履歴を改ざんする。
攻撃者が、利用者のウォレットアプリケーションの画面を模したフィッシングサイトを作成し、復元用のシードフレーズや秘密鍵を入力させて窃取し、被害者の資産を自らのアドレスへ送金する。

解説

クリプトジャッキングは、Webサイトに埋め込んだスクリプトやマルウェアを通じて、被害者のCPU等の計算資源を無断で使用し暗号資産のマイニングを行わせることで攻撃者が利益を得る手口である。これは暗号資産取引所への直接的なアプリケーション攻撃(SQLインジェクション)による情報窃取の説明であり、計算資源の無断使用を本質とするクリプトジャッキングとは異なる。これは51%攻撃の説明であり、ブロックチェーンの合意形成メカニズムを標的とする点で、第三者の計算資源を無断利用するクリプトジャッキングとは異なる攻撃である。これはフィッシングによる暗号資産の窃取の説明であり、被害端末の計算資源を無断でマイニングに利用するクリプトジャッキングとは手口が異なる。

他の選択肢が誤りである理由

「攻撃者が、暗号資産取引所のWebサイトに対してSQLインジェクション攻撃を行い、顧客の秘密鍵情報を窃取する。」誤り。これは暗号資産取引所への直接的なアプリケーション攻撃(SQLインジェクション)による情報窃取の説明であり、計算資源の無断使用を本質とするクリプトジャッキングとは異なる。
「攻撃者が、正規のブロックチェーンネットワークに参加するノードの過半数の計算力を掌握し、自らに都合のよい分岐を最長鎖として承認させることで、いったん確定した取引履歴を改ざんする。」誤り。これは51%攻撃の説明であり、ブロックチェーンの合意形成メカニズムを標的とする点で、第三者の計算資源を無断利用するクリプトジャッキングとは異なる攻撃である。
「攻撃者が、利用者のウォレットアプリケーションの画面を模したフィッシングサイトを作成し、復元用のシードフレーズや秘密鍵を入力させて窃取し、被害者の資産を自らのアドレスへ送金する。」誤り。これはフィッシングによる暗号資産の窃取の説明であり、被害端末の計算資源を無断でマイニングに利用するクリプトジャッキングとは手口が異なる。

設問2

量子コンピュータの実用化が暗号技術に与える影響に関する記述のうち、最も適切なものはどれか。

Shorのアルゴリズムを実行できる大規模な量子コンピュータが実現すると、素因数分解問題や離散対数問題の困難性を安全性の根拠とするRSAやECC(楕円曲線暗号)は多項式時間で解読される可能性がある。（正解）
Groverのアルゴリズムによる全数探索の高速化により、AESなどの共通鍵暗号は鍵長を何ビットに設定しても量子コンピュータに対して古典コンピュータと同程度の安全性しか提供できなくなり、鍵長の拡大による対処も効果を持たない。
量子コンピュータの実用化後は、SHA-256などのハッシュ関数が出力長にかかわらず衝突を即座に発見できる状態になって完全に無力化されるため、ハッシュ値に対して署名を行うデジタル署名方式は原理的に使用できなくなる。
量子コンピュータは古典コンピュータより計算能力が低いため、暗号技術への影響はほとんどない。

解説

Shorのアルゴリズムは量子コンピュータ上で素因数分解・離散対数問題を多項式時間で解くため、これらの困難性に安全性根拠を置くRSA・ECC等の公開鍵暗号は将来的に解読されるおそれがある。GroverのアルゴリズムはAES等の共通鍵暗号に対して2次(quadratic)の高速化しかもたらさず、鍵長を倍増する(例:AES-128→AES-256)ことで実用上十分な安全性を維持できるとされ、『古典コンピュータと同程度』という表現は不正確である。ハッシュ関数もGroverのアルゴリズムにより探索が高速化されるが、これは2次の高速化にとどまり、出力長を十分に確保すれば実用上の安全性は維持できるため、『完全に無力化される』は誤りである。大規模な誤り耐性量子コンピュータが実現すれば、特定の問題(素因数分解・離散対数等)に対しては古典コンピュータよりも指数関数的に高速に解を求められるとされており、暗号技術への影響は大きいと想定されている。

他の選択肢が誤りである理由

「Groverのアルゴリズムによる全数探索の高速化により、AESなどの共通鍵暗号は鍵長を何ビットに設定しても量子コンピュータに対して古典コンピュータと同程度の安全性しか提供できなくなり、鍵長の拡大による対処も効果を持たない。」誤り。GroverのアルゴリズムはAES等の共通鍵暗号に対して2次(quadratic)の高速化しかもたらさず、鍵長を倍増する(例:AES-128→AES-256)ことで実用上十分な安全性を維持できるとされ、『古典コンピュータと同程度』という表現は不正確である。
「量子コンピュータの実用化後は、SHA-256などのハッシュ関数が出力長にかかわらず衝突を即座に発見できる状態になって完全に無力化されるため、ハッシュ値に対して署名を行うデジタル署名方式は原理的に使用できなくなる。」誤り。ハッシュ関数もGroverのアルゴリズムにより探索が高速化されるが、これは2次の高速化にとどまり、出力長を十分に確保すれば実用上の安全性は維持できるため、『完全に無力化される』は誤りである。
「量子コンピュータは古典コンピュータより計算能力が低いため、暗号技術への影響はほとんどない。」誤り。大規模な誤り耐性量子コンピュータが実現すれば、特定の問題(素因数分解・離散対数等)に対しては古典コンピュータよりも指数関数的に高速に解を求められるとされており、暗号技術への影響は大きいと想定されている。

設問3

R社の問合せフォームは、利用者が入力したメールアドレスや件名を、送信するメールのヘッダに埋め込んでいる。このフォームが迷惑メールの送信に悪用されることを防ぎたい。根本的な対策として、最も適切なものはどれか。

送信ドメインのSPFレコードを公開し、送信元のなりすましを検知させる。
利用者の入力をHTMLとしてエスケープしてから、メールヘッダに埋め込む。
フォームの送信ボタンに画像認証を設け、自動での大量送信を減らす。
メールヘッダは固定の値にし、利用者の入力はすべてメール本文に出力する。（正解）

解説

メールヘッダ・インジェクションは、ヘッダに出力される入力値に改行を含めて宛先などを追加し、意図しない相手へメールを送らせる攻撃である。根本的な対策は、メールヘッダを固定値にし、外部からの入力をすべてメール本文に出力することである。SPFは受信側が送信元を検証する仕組みで、自社のフォームから送られるメールは正規の送信になる。HTMLとしてのエスケープは改行を取り除かないため、宛先などのヘッダを追加されてしまう。画像認証は自動化を妨げるだけで、人手で宛先を追加されることは防げない。

他の選択肢が誤りである理由

「送信ドメインのSPFレコードを公開し、送信元のなりすましを検知させる。」SPFは受信側が送信元を検証する仕組みで、自社のフォームから送られるメールは正規の送信になる。
「利用者の入力をHTMLとしてエスケープしてから、メールヘッダに埋め込む。」HTMLとしてのエスケープは改行を取り除かないため、宛先などのヘッダを追加されてしまう。
「フォームの送信ボタンに画像認証を設け、自動での大量送信を減らす。」画像認証は自動化を妨げるだけで、人手で宛先を追加されることは防げない。

設問4

UEBA(User and Entity Behavior Analytics)の検知手法に関する記述のうち、最も適切なものはどれか。

既知の攻撃コードのバイト列をシグネチャとしてデータベースに登録しておき、通過する通信の内容とのパターンマッチングを行い、一致した通信を攻撃として検知する。
あらかじめ定義した送信元・宛先のIPアドレスとポート番号、プロトコルの組合せ表に基づいて通信の可否を判定し、許可リストに存在しない通信を遮断する。
提示されたデジタル証明書のチェーンをルート認証局までたどって検証し、証明書失効リストやOCSPレスポンダへの問合せと照合してなりすましを見つけ出す。
ユーザやデバイスなど監視対象の平常時の挙動を機械学習・統計分析によってベースライン化し、そこから逸脱した挙動を異常として検知する。（正解）

解説

UEBAは、ユーザやサーバなどのエンティティの平常時の挙動を機械学習・統計分析によってベースライン化し、そこからの逸脱を異常として検知する技術である。既知の攻撃コードのパターンマッチングはシグネチャ型のIDS/IPSやアンチウイルスに用いられる手法であり、挙動のベースライン逸脱を検知するUEBAの中心的な仕組みとは異なる。通信ポート番号とプロトコルの組合せに基づく通信可否の判定はファイアウォールの基本的なアクセス制御方式であり、UEBAの検知手法ではない。公開鍵基盤(PKI)における証明書チェーンの検証や失効確認の説明であり、行動分析を行うUEBAとは異なる技術領域の内容である。

他の選択肢が誤りである理由

「既知の攻撃コードのバイト列をシグネチャとしてデータベースに登録しておき、通過する通信の内容とのパターンマッチングを行い、一致した通信を攻撃として検知する。」既知の攻撃コードのパターンマッチングはシグネチャ型のIDS/IPSやアンチウイルスに用いられる手法であり、挙動のベースライン逸脱を検知するUEBAの中心的な仕組みとは異なる。
「あらかじめ定義した送信元・宛先のIPアドレスとポート番号、プロトコルの組合せ表に基づいて通信の可否を判定し、許可リストに存在しない通信を遮断する。」通信ポート番号とプロトコルの組合せに基づく通信可否の判定はファイアウォールの基本的なアクセス制御方式であり、UEBAの検知手法ではない。
「提示されたデジタル証明書のチェーンをルート認証局までたどって検証し、証明書失効リストやOCSPレスポンダへの問合せと照合してなりすましを見つけ出す。」公開鍵基盤(PKI)における証明書チェーンの検証や失効確認の説明であり、行動分析を行うUEBAとは異なる技術領域の内容である。

設問5

1台のレイヤ2スイッチ上で複数のVLANを設定した場合の、コリジョンドメインおよびブロードキャストドメインへの影響について、適切な記述はどれか。

VLANを設定すると、ブロードキャストドメインの数は設定したVLANの数に応じて分割されるが、各ポートのコリジョンドメインはVLANの設定とは独立に、従来どおりポート単位で分離されたままである。（正解）
VLANを設定しても、コリジョンドメインおよびブロードキャストドメインの数はいずれも変化しない。
VLANを設定すると、同一のVLANに属するポートが1つの衝突領域として束ねられるためコリジョンドメインの数はVLANの数に応じて増加するが、ブロードキャストドメインの数はスイッチ全体で1のまま変化しない。
VLANを設定すると、コリジョンドメインとブロードキャストドメインはいずれも設定したVLANの数と同じ数に統合され、同一のVLANに属するポート同士は1つの衝突領域を共有する構成へと変化することになる。

解説

VLANはブロードキャストドメインを論理的に分割する機能であり、VLANの数に応じてブロードキャストドメインが分かれます。一方、コリジョンドメインはスイッチのポート単位で元々分離されており、VLAN設定の有無とは別の話です。VLANを設定するとブロードキャストドメインはVLANの数に応じて分割されるため、『いずれも変化しない』という記述は誤りです。コリジョンドメインの数はVLANの設定とは無関係にポート単位で決まります(VLAN設定前から既にポート数分に分離されている)。またブロードキャストドメインはVLANの数に応じて分割されるため『1のまま変化しない』という記述も誤りです。コリジョンドメインはVLANの数に統合されるものではなく、スイッチのポート単位でもともと分離されています。VLANが影響するのはブロードキャストドメインの分割であり、コリジョンドメインの統合という説明は誤りです。

他の選択肢が誤りである理由

「VLANを設定しても、コリジョンドメインおよびブロードキャストドメインの数はいずれも変化しない。」VLANを設定するとブロードキャストドメインはVLANの数に応じて分割されるため、『いずれも変化しない』という記述は誤り。
「VLANを設定すると、同一のVLANに属するポートが1つの衝突領域として束ねられるためコリジョンドメインの数はVLANの数に応じて増加するが、ブロードキャストドメインの数はスイッチ全体で1のまま変化しない。」コリジョンドメインの数はVLANの設定とは無関係にポート単位で決まる(VLAN設定前から既にポート数分に分離されている)。またブロードキャストドメインはVLANの数に応じて分割されるため『1のまま変化しない』という記述も誤り。
「VLANを設定すると、コリジョンドメインとブロードキャストドメインはいずれも設定したVLANの数と同じ数に統合され、同一のVLANに属するポート同士は1つの衝突領域を共有する構成へと変化することになる。」コリジョンドメインはVLANの数に統合されるものではなく、スイッチのポート単位でもともと分離されている。VLANが影響するのはブロードキャストドメインの分割であり、コリジョンドメインの統合という説明は誤り。

続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。

登録なしで50問解く

← 情報処理安全確保支援士の資格ページへ