セキュリティのミニテスト（全47問）
セキュリティの用語29個を、定義ではなく「場面」から問う47問。鍵の本数、署名で何が守れて何が守れないか、ソルトの目的、根本対策と保険の違い、攻撃を段階に分けて断ち切る考え方、アカウントロックが効かない攻撃、ログを突き合わせて初めて見えるもの、暗証番号をどこで照合するか、二重の脅迫が何と何なのかなど、混ざりやすいところを集めています。
セキュリティは、仕組みそのものより「何を守っているのか」で問われる分野です。
暗号化・署名・証明書は、試験では1つの選択肢の中に混ぜて出されます。どれも正しそうに見えるのは、どれも本当に使われている仕組みだからで、違うのは守っている対象です。
多くの問題が、その切り分けを聞いています。残りは、鍵の本数のような計算と、根本対策と保険の区別です。
問1
10人が互いに共通鍵暗号方式でやり取りする。全員ぶんで必要な鍵は何本か。
正解は 4番：45本
鍵は相手ごとに別のものを用意します。同じ鍵を全員に配ってしまうと、AさんとBさんのやり取りをCさんも読めてしまうからです。n人が互いにやり取りするなら n×(n−1)÷2 本で、10×9÷2 ＝ 45本になります。
ほかの選択肢は
90本は最後の ÷2 を忘れた数、20本は公開鍵暗号方式にしたときの本数（1人が2本持つので10人で20本）、10本は1人1本と数えた場合です。人数が増えるほど跳ね上がるのが、この方式の弱点のひとつです。
問2
公開鍵暗号方式が、共通鍵暗号方式の弱点として解決したものはどれか。
正解は 4番：鍵を相手へ渡す途中で、盗まれる心配があること
公開鍵暗号方式で相手に渡すのは、盗まれても困らない公開鍵だけです。秘密鍵は一度も持ち主の手元から動きません。これで鍵配送問題が消えます。
ほかの選択肢は
一方、計算に時間がかかるのは公開鍵暗号方式のほうの弱点で、解決したのではなく抱えているものです。大きなファイルをそのまま送るのが現実的でないのも同じ理由です。そのため本文は共通鍵で送り、鍵の受け渡しだけを公開鍵で行うハイブリッド暗号方式が使われます。相手が本人かどうかは、この方式だけでは分からず、認証局の証明書が要ります。
問3
送信者がデジタル署名を付けた文書を、そのまま相手へ送った。このとき得られるものとして、適切なものはどれか。
正解は 2番：本人が作ったことと、書き換えられていないことが確かめられる
署名を確かめるための公開鍵は誰でも持っているので、署名の中身も誰でも取り出せます。そもそも本文は暗号化されずにそのまま送られるため、内容は秘密になりません。内容も秘密にしたいなら、署名とは別に暗号化も行います。目的が違うので、両方必要なら両方やる、ということです。
ほかの選択肢は
また、署名で分かるのは誰が作ったかと書き換えられていないかまでで、いつ作られたかは分かりません。時刻まで示したいときはタイムスタンプという別の仕組みを使います。
問4
デジタル署名は、本文そのものではなく本文のハッシュ値に対して作られる。その理由として、最も適切なものはどれか。
正解は 1番：公開鍵暗号の計算が重く、長さが一定のハッシュ値にすれば処理時間が本文の長さに左右されないため
公開鍵暗号方式の計算は重く、長い本文をそのまま処理すると時間がかかりすぎます。ハッシュ値なら長さが一定なので、本文がどれだけ長くても署名の処理時間は変わりません。受け取った側は、届いた本文からもう一度ハッシュ値を計算し、署名から取り出した値と比べます。
ほかの選択肢は
本文は暗号化されずにそのまま送られるので、内容は秘密になりません。本文も一緒に送るのでデータの量が減るわけでもありません。そして別のデータから同じハッシュ値が出ること（衝突）は理屈のうえでは起こりうるので、衝突が起きないという前提も誤りです。
問5
ハッシュ関数についての記述のうち、正しいものはどれか。
正解は 3番：別のデータから同じハッシュ値が出ることは、理屈のうえでは起こりうる
入れられるデータは無限にあるのに、出てくる値の種類は有限です。ということは、別のデータから同じ値が出ること（衝突）は必ずあります。安全性を支えているのは、衝突が起きないことではなく、衝突するデータを狙って見つけるのが極めて難しいことです。MD5 や SHA-1 は、その狙って見つける方法が見つかってしまったため、いまは使うべきでないとされています。
ほかの選択肢は
ハッシュ値の長さは元のデータの長さによらず一定で、値から元のデータへ戻すこともできません。
問6
パスワードをハッシュ値にして保存するとき、利用者ごとに違う文字列（ソルト）を足してから計算する。その目的として、適切なものはどれか。
正解は 1番：同じパスワードを使っている利用者でも、保存される値が別々になるようにするため
足さずに保存すると、同じパスワードを使っている人は同じハッシュ値になります。よく使われるパスワードのハッシュ値を並べた一覧をあらかじめ用意しておけば、値を照合するだけで元のパスワードが分かってしまいます。利用者ごとの文字列を足せば、同じパスワードでも人ごとに違う値になるので、その照合が効かなくなります。
ほかの選択肢は
ハッシュ値から元へ戻せるようにするものではありません。ハッシュ値の長さは元のデータによらず一定なので、そろえる必要もありません。衝突は理屈のうえでは起こりうるもので、ソルトで完全になくせるものでもありません。
問7
ハイブリッド暗号方式によって守られるものとして、適切なものはどれか。
正解は 4番：通信の内容が、当事者以外には読めないこと
ハイブリッド暗号方式は、本文を共通鍵暗号方式で暗号化し、その共通鍵を相手の公開鍵で暗号化して一緒に送る方式です。大きな荷物は頑丈な箱に入れ、その箱の鍵だけを相手しか開けられない小箱に入れる、という形になります。守っているのは内容を読まれないこと、つまり機密性だけです。
ほかの選択肢は
送ってきた相手が本人であることと、書き換えられていないことを示すのはデジタル署名、その公開鍵が確かに相手のものだと保証するのは認証局と証明書です。試験では、この3つを1つの選択肢に混ぜてきます。
問8
デジタル証明書が、有効期限内であるにもかかわらず使えなくなっていることがある。それを確かめるための仕組みはどれか。
正解は 4番：CRL（証明書失効リスト）
秘密鍵が漏れた、組織が無くなった、といった事情で、期限の前に証明書を無効にすることがあります。失効した証明書の一覧を配るのがCRLで、まとめて確認できるかわりに更新までに時差があります。1件ずつその場で問い合わせるOCSPという仕組みもあり、こちらは最新の状態が分かります。
ほかの選択肢は
PKIは、認証局・証明書・失効の仕組みをまとめた土台全体を指す言葉で、失効を確かめる仕組みそのものではありません。デジタル署名は本人の証明と改ざんの検知、ハッシュ関数は決まった長さの値を作る関数で、どちらも役割が違います。
問9
SQLインジェクションへの対策として、入力欄で記号の入力を禁止する方法が十分でない理由として、最も適切なものはどれか。
正解は 4番：禁止する文字を挙げていく方式は必ず漏れが出るうえ、短い入力でも攻撃が成立するため
入力を疑って弾く方式は、禁止する文字を挙げていくことになるので、必ず漏れが出ます。文字数を制限しても、短い入力で成立する攻撃があります。根本的な対策は、入力を弾くことではなく、入力が何であっても命令の形が変わらないようにすることです。値を値のまま渡す仕組みを使えば、入力にどんな記号が混ざっていても命令としては解釈されません。入力を疑って弾くのか、命令の形が変わらないようにするのか。この違いが、対策を選ぶ問題の分かれ目になります。
ほかの選択肢は
通信の暗号化や文字化けは、この攻撃が成り立つ仕組みとは関係がありません。
問10
クロスサイトスクリプティングへの根本的な対策として、最も適切なものはどれか。
正解は 1番：画面に出す直前に、命令の印になる記号を、命令とは解釈されない書き方に置き換える
対策の考え方は、入力された文字を命令として読ませないことです。命令の印として使われる記号を、見た目は同じだが命令とは解釈されない書き方に置き換えます。これがエスケープ処理で、画面に出す直前に行うのが基本です。受け取った時点で書き換えてしまうと、元のデータが何だったか分からなくなり、別の場所で使うときに困ります。
ほかの選択肢は
HttpOnly 属性はクッキーを盗まれにくくする備え、WAFは怪しい通信を手前で遮る保険、入力値の検証は補助で、いずれも根本対策の代わりにはなりません。
問11
デジタル証明書の発行を申請するとき、申請者が認証局に渡すものとして最も適切なものはどれか。
正解は 4番：自分の公開鍵と、本人であることを示す情報
認証局が証明するのは「この公開鍵は確かにこの人のものだ」という結び付きです。そのため渡すのは公開鍵と、本人であることを確かめるための情報になります。秘密鍵は本人だけが持ち続けるもので、誰にも渡しません。渡した時点で、本人しか持っていないという前提が崩れます。
ほかの選択肢は
秘密鍵を渡す選択肢はいずれも誤りです。デジタル署名は秘密鍵を持つ本人しか作れないからこそ意味を持ちます。共通鍵暗号方式の鍵は、証明書の発行とは関係がありません。
問12
共通鍵暗号方式が抱える、鍵配送問題と呼ばれる課題の内容として最も適切なものはどれか。
正解は 4番：暗号化と復号に同じ鍵を使うため、相手へその鍵を安全に渡す手段が別に必要になること
共通鍵暗号方式では、送る側と受け取る側が同じ鍵を持つ必要があります。ところが、その鍵を相手へ届ける経路が安全でなければ、途中で盗まれて暗号の意味がなくなります。暗号文を安全に送るために、先に鍵を安全に送らなければならない。この堂々めぐりが鍵配送問題です。
ほかの選択肢は
鍵の長さが足りないのは方式そのものの課題ではなく、運用で選ぶ値の問題です。共通鍵暗号方式はむしろ処理が速く、大量のデータに向きます。送り主を確かめられないという課題はありますが、鍵配送問題が指しているのは鍵を渡す経路のほうです。
問13
ハイブリッド暗号方式で、本文の暗号化と共通鍵の受け渡しに用いる方式の組合せとして最も適切なものはどれか。
正解は 1番：本文は共通鍵暗号方式、共通鍵の受け渡しは公開鍵暗号方式
2つの方式には、それぞれ弱点があります。共通鍵暗号方式は速いが鍵を安全に渡せない。公開鍵暗号方式は鍵を渡せるが遅い。そこで、量の多い本文は速い共通鍵暗号方式で暗号化し、その共通鍵だけを公開鍵暗号方式で相手へ届けます。互いの弱点を打ち消す組合せです。
ほかの選択肢は
本文を公開鍵暗号方式で暗号化すると、遅いという弱点がそのまま出ます。どちらか一方だけを使うのでは、速さと鍵の受け渡しのどちらかを諦めることになり、組み合わせた意味がありません。
問14
公開鍵暗号方式が、共通鍵暗号方式と比べて不利な点として最も適切なものはどれか。
正解は 2番：暗号化と復号の処理に時間がかかる
公開鍵暗号方式は、鍵を配る問題を解決したかわりに、計算が重くなりました。共通鍵暗号方式に比べて処理に時間がかかるため、大量のデータをそのまま暗号化する用途には向きません。この弱点を補うために、共通鍵暗号方式と組み合わせたのがハイブリッド暗号方式です。
ほかの選択肢は
相手が増えるほど鍵の本数が急激に増えるのは共通鍵暗号方式の課題で、公開鍵暗号方式では1人が1組持てば足ります。鍵を安全に渡す手段が別に必要になるのも共通鍵暗号方式の課題で、これを解決したのが公開鍵暗号方式です。
問15
SQLインジェクションによって引き起こされる被害として、最も適切なものはどれか。
正解は 2番：データベースに保存された情報の不正な取得や、データの改ざん・削除
SQLインジェクションは、入力された文字がSQL文の一部として解釈されることを突く攻撃です。条件を書き換えられると、本来見えないはずの行まで取り出せます。更新や削除の文を続けられれば、改ざんや消去もできます。狙われているのは、データベースの中身そのものです。
ほかの選択肢は
閲覧者のブラウザ上でスクリプトが実行されるのはクロスサイトスクリプティング、大量の通信でサービスを止めるのはDoS攻撃、利用者になりすまして操作を送信させるのはクロスサイトリクエストフォージェリです。被害の出る場所がどこかで区別できます。
問16
クロスサイトスクリプティング（XSS）と、クロスサイトリクエストフォージェリ（CSRF）の違いとして最も適切なものはどれか。
正解は 3番：XSSは閲覧者のブラウザでスクリプトを実行させる攻撃、CSRFは利用者になりすまして意図しない操作を送信させる攻撃である
XSSは、投稿された文字がそのままタグとして解釈されることを突き、閲覧者のブラウザで攻撃者のスクリプトを動かします。CSRFは、ログイン済みの利用者に気づかせないまま、本人の権限で操作を送信させます。名前が似ていますが、何をさせるかが違います。
ほかの選択肢は
2つを入れ替えた説明は誤りです。どちらもサーバのデータベースやファイルを直接狙う攻撃ではなく、狙われているのは利用者側です。同じ攻撃の言い換えでもありません。
問17
サイバーキルチェーンの最初の段階である「偵察」で、攻撃者が行うこととして適切なものはどれか。
正解は 2番：公開されているWebサイトや求人情報から、標的が使っている製品や版を調べる
偵察は、攻撃の前に標的のことを調べる段階です。公開されているWebサイト、求人情報、SNS、DNSへの問い合わせといった、攻撃とは見えない手段で、使っている製品や版、動いているサービス、社員の名前などを集めます。ここで打てる手は「公開する情報を減らす」「使っていないサービスを止める」になります。
ほかの選択肢は
弱点を突くプログラムを作って文書に埋め込むのは武器化の段階、侵入先を外部から操作できるようにするのは遠隔操作の段階、データを持ち出すのは目的の実行の段階です。攻撃は段階を順に踏むので、どこか1つで断ち切れば先へ進めません。
問18
ディレクトリトラバーサル攻撃への対策として、最も適切なものはどれか。
正解は 3番：利用者が指定した文字列をそのままファイルの場所として使わず、あらかじめ決めた候補の中から選ばせる
この攻撃は、ファイル名の指定に「1つ上の階層へ」を表す相対パスを混ぜることで成り立ちます。根っこにあるのは、利用者から受け取った文字をそのままファイルの場所として使ってしまう作りです。候補を先に決めておき、その中から選ばせる形にすれば、外のファイルを指す文字列は入り込めません。
ほかの選択肢は
パスワードを強くするのは、本人になりすまされないための対策です。通信の暗号化は、途中でのぞき見されないための対策です。接続数の上限は、大量の通信でサービスを止める攻撃への対策です。どれも必要ですが、ファイルの場所の組み立て方には関係しません。
問19
同じ利用者IDで一定回数続けて失敗したら、そのIDを一時的に使えなくする「アカウントロック」を設定した。この対策が効きにくい攻撃はどれか。
正解は 3番：パスワードを1つに固定し、利用者IDを次々に変えて試す攻撃
パスワードのほうを固定して利用者IDを変えていく攻撃を、リバースブルートフォース攻撃と呼びます。1つのIDから見れば失敗は1回ずつなので、「同じIDで何回も失敗したら止める」という守りに引っかかりません。アカウントロックは、同じIDで失敗が重なることを前提にした対策です。
ほかの選択肢は
IDを固定してパスワードを変えるのがブルートフォース攻撃、そのうち辞書にある語を使うのが辞書攻撃で、どちらも同じIDで失敗が重なるためアカウントロックが働きます。Webページにスクリプトを埋め込ませるのはクロスサイトスクリプティングで、パスワードを破る攻撃ではありません。
問20
複数の機器のログを1か所に集めて突き合わせると、1台ずつ見ていては気づけないことが分かる。その例として最も適切なものはどれか。
正解は 1番：1台ごとには数回ずつの認証の失敗が、全体では短い時間に何百回も起きていた
SIEMの値打ちは、突き合わせて初めて見えるものにあります。1台から見れば数回の失敗でも、何百台ぶんを並べると、短い時間に大量の試行が走っていたと分かります。1台ずつのログでは普通の出来事に見えるものが、並べると攻撃の形になります。
ほかの選択肢は
空き容量、ソフトの版、用紙切れは、どれも1台ずつ見れば分かることです。集めて並べる必要がありません。SIEMを入れる理由は、ログを1か所で読めるようにすることだけでなく、突き合わせて初めて見えるものを見つけるところにあります。
問21
S/MIMEで電子メールに署名を付けた。これによって確かめられることとして、適切なものはどれか。
正解は 3番：そのメールが確かに送信者本人から送られ、途中で書き換えられていないこと
署名で確かめられるのは、送り主が本人であることと、途中で書き換えられていないことの2つです。送信者が自分の秘密鍵で署名を付け、受け取った人が送信者の公開鍵で確かめます。
ほかの選択肢は
署名を付けただけでは本文は暗号化されないので、中身は読めるままです。読まれないようにするには、署名とは別に暗号化も行います。届いたかどうかは署名では分かりません。添付ファイルの中身を調べるのは、ウイルス対策ソフトの役目です。
問22
クレジットカードのオフラインPINの説明として、適切なものはどれか。
正解は 2番：入力した番号をICチップの中で照合するため、番号そのものがネットワークへ出ていかない
オフラインPINは、入力した番号をカードのICチップへ渡し、チップが正しいかどうかを答えます。番号がネットワークを流れないので、回線がつながっていなくても照合できます。番号をカード会社のホストへ送って確かめるほうは、オンラインPINと呼ばれます。
ほかの選択肢は
店員が筆跡を見比べるのはサインで、判定が人によって変わるという弱点があります。取引の流れを監視してふだんと違う使われ方を見つけるのはオーソリモニタリングで、その人が本人かを確かめるPINとは、守っている対象が違います。
問23
ランサムウェアの二重の脅迫で、攻撃者が突きつける2つの脅しの組合せとして適切なものはどれか。
正解は 2番：元に戻してほしければ払え ― 払わなければ公開する
二重というのは脅しの数で、手順の数ではありません。暗号化して使えなくしたデータを人質にした脅しと、先にコピーして持ち出したデータを人質にした脅しの2つを、同時に突きつけます。バックアップがあっても、持ち出されたぶんは戻せません。
ほかの選択肢は
通信を止める、取引先へも攻撃する、といった脅しを足したものは、三重や四重と呼ばれることがあります。二重の内訳として問われているのは、使えなくすることと、公開すると言うことの2つです。
問24
SPFが確かめているものとして、適切なものはどれか。
正解は 3番：そのドメインから送ってよいサーバから、実際に送られてきたか
送る側はDNSに、自分のドメインから送ってよいサーバの一覧を書いておきます。受け取った側は差出人のドメインを手がかりにその一覧を引き、送ってきたサーバが入っているかを照合します。確かめているのはサーバであって、人ではありません。
ほかの選択肢は
本文が書き換えられていないかを確かめるのはDKIM、本文を読まれないようにするのは暗号化の役目です。画面に表示される差出人名は、SPFの照合の対象になっていません。ここを狙った詐称は、SPFだけでは防げません。
問25
ICカードのPIN照合を、カードの中で行って結果だけを返す作りにしている理由として、最も適切なものはどれか。
正解は 1番：正解の値をカードの外へ出さずに済み、読み取られないため
耐タンパ性で守りたいのは、中にある鍵や正解の値です。カードの中で照合して合っているかどうかだけを返せば、正解そのものは外へ出ていきません。外へ出せば、そこで読み取られてしまいます。
ほかの選択肢は
通信の回数を増やす、照合を遅くする、といったことは目的ではありません。正解を利用者に知らせる仕組みでもなく、むしろ誰にも知らせないための作りです。中で完結させて結果だけ返す、という考え方が中心になります。
問26
WORMの性質として、適切なものはどれか。
正解は 4番：一度書いたら書き換えられないが、中身は誰でも読める
Write Once Read Many の頭文字で、一度だけ書けて、何度でも読める、という意味です。守っているのは書き換えられないことであって、中身を隠すことではありません。記録を後から改ざんされては困る場面で使われます。
ほかの選択肢は
中身を読めなくするのは暗号化の役目で、WORMとは目的が違います。書き換えができる時点でWORMではありません。読み書きを決まった人に限るのはアクセス制御の話で、こちらも別の仕組みです。ここは選択肢で混ぜられます。
問27
委託先を経由した侵入に備える対策として、適切なものはどれか。
正解は 2番：委託先に渡す権限を、委託した業務に必要な範囲だけに絞る
委託先が破られたとき、相手に渡るのは「委託先に渡していた権限の範囲」です。範囲を業務に必要なぶんだけに絞っておくと、破られたときに出ていくものが小さくなります。防ぐための対策ではなく、被害の広がりを抑えるための対策です。
ほかの選択肢は
信頼できるものとして検査から外すと、まさにその経路が入口になります。社内の利用者と同じ権限、全システムの管理者権限は、どちらも渡しすぎで、委託先が破られた時点で社内全体が破られたのと同じ状態になります。
問28
DMZに置くものとして、適切なものはどれか。
正解は 3番：社外に公開するWebサーバ
DMZは、社内でも社外でもない区画です。社外からの接続を受ける必要があるものだけを置き、そこが破られても社内へ直接は届かないようにします。公開するWebサーバやメールサーバが置かれるのはこのためです。
ほかの選択肢は
人事システム、社員の端末、バックアップ装置は、社外から直接つなぐ必要がありません。DMZに置くと、公開サーバと同じ区画で攻撃にさらされることになります。社内に置き、必要な通信だけを通す形にします。
問29
境界防御の前提が成り立ちにくくなった理由として、適切なものはどれか。
正解は 3番：守るデータがクラウドへ移り、利用者も社外から接続するようになった
境界防御は、守るものが社内にあり、使う人も社内から使うことを前提にしています。クラウドの利用で守る対象が外へ出て、社外からの勤務で使う人も外へ出たため、どこに線を引くかが決まらなくなりました。
ほかの選択肢は
処理速度や配線の形は、前提そのものを崩す話ではありません。IPアドレスの不足はIPv6で扱う別の問題で、社内と社外の線が引けるかどうかとは関係しません。前提が崩れたのは、性能ではなく置き場所と使う場所の変化によるものです。
問30
ゼロトラストと境界防御の違いとして、適切なものはどれか。
正解は 1番：信用の根拠を、どこにつながっているかに置くか、そのつどの確認に置くかが違う
境界防御は、社内のネットワークにつながっていることを信用の根拠にします。ゼロトラストは、場所を根拠にせず、誰が、どの端末で、何に触れようとしているかをそのつど確かめます。分かれ目は信用をどこから引き出すかです。
ほかの選択肢は
どちらも外部との通信は行いますし、どちらも暗号化を使います。サーバを社内に置くかどうかは構成の話で、この2つの考え方を分けるものではありません。選択肢では、こうした共通点のほうが並べられます。
問31
多層防御として効果が薄い組み合わせはどれか。
正解は 1番：同じ製品のファイアウォールを、同じ規則で2台続けて置く
層を重ねる目的は、1つを抜けても次で引っかかるようにすることです。同じ製品を同じ規則で並べると、1台目を抜けた攻撃は2台目も同じように抜けます。重ねるときは、抜け方の違う対策を選びます。
ほかの選択肢は
入口と端末、権限と監視、隔離と検知は、どれも受け持つ場面が違います。片方をすり抜けても、もう片方が別の角度から引っかけます。数ではなく性質が違うかどうかが、層になっているかの分かれ目です。
問32
サンドボックスでの検査をすり抜ける手口として、考えられるものはどれか。
正解は 3番：一定の時間が過ぎるまで何もせず、検査が終わってから動き出す
サンドボックスは、隔てた場所で実際に動かして、ふるまいから判断します。そのため、検査されている間だけ何もしないでいれば、怪しい動きが記録されません。時間を待つ、人の操作が無ければ動かない、といった作りが使われます。
ほかの選択肢は
暗号化や拡張子の偽装、送信元の偽装は、届くまでの段階で使われる手口です。サンドボックスは届いたものを実際に動かすため、見た目を変えただけでは、動き出した時点で分かります。すり抜けるには、動かないという選び方になります。
問33
私物の端末を業務に使う場合に、MDMに求められる機能として適切なものはどれか。
正解は 1番：業務の領域と私用の領域を分けて、業務の側だけを消去できる
私物の端末では、会社が消してよいのは業務のぶんだけです。私用の写真や連絡先まで消える作りでは、持ち主の同意が得られません。業務と私用を分けて持ち、業務の側だけを扱える機能が要ります。
ほかの選択肢は
私用の写真を管理者が見る、位置情報を常時公開する、私用のアプリをすべて消す、はいずれも持ち主の私的な領域に踏み込みます。管理できるのは業務にかかわる範囲までで、そこを超えると制度としても運用できません。
問34
社員が会社の把握しないクラウドサービスを使っている状態に対して、最初に行うこととして適切なものはどれか。
正解は 2番：どのサービスが、誰に、どれだけ使われているかを洗い出す
会社が把握していない利用をシャドーITと呼びます。何が使われているか分からないままでは、止めるべきものも、業務に要るので認めるべきものも区別できません。CASBの4つの働きのうち、可視化が最初に来るのはこのためです。
ほかの選択肢は
すべて遮断すると、業務に要る利用まで止まります。周知と処分だけでは、見えていない利用が見えるようにはなりません。同じ機能を自社で作るのは、使われている理由が分かったあとに検討することです。順番が入れ替わっています。
問35
RASPがWAFと違う点として、適切なものはどれか。
正解は 4番：アプリケーションの中で動き、入力がどう使われたかまで見られる
WAFはアプリの手前に置かれ、届いた通信の文字列を見て判断します。RASPはアプリの中で動くため、その入力が実際にデータベースへの命令として組み立てられたか、といった使われ方まで分かります。見た目が似ているだけの正しい入力を誤って弾きにくくなります。
ほかの選択肢は
通信の暗号化はTLSの役目です。境目に置いてまとめて守るのはWAF側の性質で、RASPはアプリごとに組み込みます。ソースコードを読んで指摘するのは静的解析で、こちらは動かす前の段階で働きます。
問36
need-to-knowの観点から見直しが必要な状態はどれか。
正解は 3番：異動して担当が変わった社員に、前の部署の資料への権限が残っている
この原則は、必要がなくなった時点で外すところまでを含みます。与えるときは慎重でも、外すのは忘れられやすく、異動を重ねるほど権限が積み上がります。定期的な棚卸しが要るのはこのためです。
ほかの選択肢は
担当する範囲だけを見られる状態は、この原則に沿っています。退職日にアカウントが停止されているのも、必要がなくなった時点で外せている形です。見直しが要るのは、必要が無くなったのに残っている権限のほうです。
問37
SBOMに部品の版（バージョン）を記載しておく必要がある理由として、適切なものはどれか。
正解は 1番：脆弱性は、特定の版の範囲を示して公表されるため
脆弱性の情報は、この版からこの版までが影響を受ける、という形で公表されます。部品の名前しか記録していないと、自社が使っている版が影響する範囲に入るのかどうかを判断できず、結局は調べ直すことになります。
ほかの選択肢は
版が新しいほど速くなるとは限りません。版の番号から会社名が分かるものでもなく、ライセンスの条件は版とは別に示されます。版を書く理由は、公表される脆弱性の情報と突き合わせられるようにすることです。
問38
DMZを設けたネットワークで、ファイアウォールが原則として通さない向きの通信はどれか。
正解は 4番：DMZから社内への通信
DMZに置くサーバは外から接続を受けるので、狙われる前提で考えます。DMZから社内への通信を開けていると、DMZのサーバを乗っ取られたときに社内へ進まれます。業務上どうしても必要なときは、宛先のサーバとポート番号を1つに絞って開けます。
ほかの選択肢は
社内からDMZへ、社外からDMZへ、DMZから社外へは、いずれも決めた通信だけを通す形で開けます。社外から社内への通信は、そもそも通しません。向きごとに規則を決めるのがDMZの要点です。
問39
メールに関するポート番号の使い分けとして、最も適切なものはどれか。
正解は 2番：25番はサーバ間の中継に使い、587番は利用者からの送信に使う
25番はサーバからサーバへメールを取り次ぐための口です。587番はサブミッションポートと呼ばれ、利用者が自分のメールを送るための口で、SMTP-AUTHによる本人の確認を必須にできます。口を分けることで、本人の確認を求める範囲をはっきりさせられます。
ほかの選択肢は
2つを入れ替えた選択肢が誤りです。受信に使うのはPOPの110番やIMAPの143番で、587番は受信の口ではありません。機器の新旧で分けるものでもなく、役割そのものが違います。
問40
TLSが公開鍵暗号と共通鍵暗号を組み合わせている理由として、最も適切なものはどれか。
正解は 2番：鍵を安全に渡すところだけ公開鍵暗号を使い、速さが要る本文のやり取りは共通鍵暗号で行うため
共通鍵暗号は速い代わりに、鍵を相手へ安全に渡す手段が必要です。公開鍵暗号は鍵を渡す手間が要らない代わりに遅くなります。そこで鍵の共有だけ公開鍵暗号で行い、本文は共通鍵暗号でやり取りします。それぞれの得意な部分を使う形です。
ほかの選択肢は
役割を入れ替えた選択肢が誤りです。二重に暗号化しているわけでもありません。速さは共通鍵暗号のほうが上なので、公開鍵暗号に重い部分を任せる形にもなりません。
問41
プレースホルダを使って値を当てはめられない部分として、最も適切なものはどれか。
正解は 3番：SQL文の表名や列名
プレースホルダは、SQLの構造を先に確定させてから値だけを当てはめる仕組みです。表名や列名はSQLの構造そのものなので、置き換えられません。入力によって列名を変える必要があるときは、あらかじめ決めた候補の中から選ぶ形にします。
ほかの選択肢は
WHERE句の比較に使う値、INSERTで登録する値、UPDATEで設定する値は、いずれも値の部分なのでプレースホルダで扱えます。値の部分と構造の部分で切り分けられます。
問42
WAFを導入した直後に、しばらく遮断せず記録だけを取る運用が行われる理由として、最も適切なものはどれか。
正解は 4番：正当な要求まで止めてしまい、利用者が使えなくなるおそれがあるため
WAFは通信の中身を見て判断するので、業務の内容によっては正当な入力を攻撃とみなすことがあります。SQLの単語を含む文章を普通に入力する業務では、実際に起こります。まず記録だけを取り、止めるべきでないものを洗い出してから遮断に切り替えます。
ほかの選択肢は
動作の確認だけが目的ではありません。遮断の機能が一定期間使えない作りでもなく、記録を取っている間に速くなることもありません。WAFの運用でいちばん起きる問題は、通すべきものを止めてしまうことです。
問43
インシデントの調査を外部の専門会社に依頼した際、調査の前に社内で行うべき対応として最も適切なものはどれか。
正解は 1番：対象の機器をネットワークから切り離し、使用を停止して記録が上書きされないようにする
デジタルフォレンジックスは、記録を証拠として使える形で保全してから調べます。使い続けると、ログがサイズの上限に達して古い記録から上書きされ、調べたい時間帯の痕跡が消えます。切り離して止めるのは、攻撃の続行を防ぐためでもあります。
ほかの選択肢は
再起動するとメモリ上にしか無い情報が消えます。初期化や復旧を先に行うと、調べる対象そのものが無くなります。ログの削除は、証拠を自ら失う行為になります。
問44
侵入者が特権IDでサーバにログインした場合に、マルウェア対策ソフトによる検知が働かなくなる理由として、最も適切なものはどれか。
正解は 2番：特権IDの権限で、マルウェア対策ソフトのプロセスを強制終了できるため
特権IDは管理者の権限を持つので、守りの仕組みそのものを止められます。対策ソフトを入れていることが、特権IDを取られた場合の備えにはならない、という点がここでの要点です。利用できる人と期間を絞り、操作の記録を本人が消せない場所に残す対策へ進みます。
ほかの選択肢は
特権IDでログインしても通信が自動で暗号化されるわけではありません。OSが対策ソフトを一時停止する仕様もありません。特権IDでの操作もネットワークを経由するので、監視に掛からないということもありません。
問45
ステートフルパケットインスペクション機能を持つファイアウォールで、許可ルールの表に戻りの通信の行が書かれていない理由として、最も適切なものはどれか。
正解は 3番：許可して通した通信を覚えており、その応答のパケットを自動的に通すため
行きの通信の送信元、宛先、ポート番号の組合せを覚えておき、それに対応する応答だけを通します。戻りのために外から内への通信を広く許可する必要がなくなるので、開く範囲を狭く保てます。表に行が無いからといって通らないとは限らない、という読み方になります。
ほかの選択肢は
プロトコルの仕様で検査から外れることはありません。戻りの通信が同じポート番号を使うとも限らず、経路もファイアウォールを通ります。
問46
リプレイ攻撃への対策として、最も適切なものはどれか。
正解は 2番：サーバが毎回異なる値を送り、その値を使って計算した応答を返させる
リプレイ攻撃は、盗み取ったやり取りをそのまま送り直す攻撃です。中身を解読する必要がないので、暗号化だけでは防ぎきれません。毎回異なる値を使う方式にすると、前回の応答を送り直しても合わなくなります。ワンタイムパスワードも同じ考え方です。
ほかの選択肢は
パスワードを長く複雑にするのはブルートフォース攻撃や辞書攻撃への対策、失敗回数での制限はブルートフォース攻撃への対策です。暗号化は中間者攻撃に対して有効ですが、同じものを送り直す攻撃は止まりません。
問47
社内LANに持ち込んだ端末を接続させないための対策として、最も強い確認ができるものはどれか。
正解は 1番：認証サーバを用いたIEEE 802.1X認証を導入する
IEEE 802.1Xは、接続してきた端末や利用者を認証サーバで確かめ、通った場合にだけ通信を許可する規格です。端末に入れた証明書を使う形にすると、会社が配った端末だけを入れられます。
ほかの選択肢は
MACアドレスは書き換えられるので、それだけでは強い確認になりません。IEEE 802.11nは無線LANの通信の規格で、認証の規格ではありません。IPアドレスを手動で設定させることは、接続を制限する仕組みになりません。
この結果の使い方
間違えた用語は復習リストに自動でたまります。 用語ページのミニクイズで正解し直すと、リストから消えます。 記録は自分のブラウザ内（localStorage）にのみ保存され、サーバーには送信していません。