公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある。こういった攻撃に自社のWebサーバが侵害される被害を未然に防ぐ対策として、最も効果があるものはどれか。
既知脆弱性を突く攻撃には修正適用と回避策が最も有効
選択肢
- アJIS Q 27001:2023で規定される“人的管理策”にのっとり、自社のWebサーバについての秘密情報を持ち出すおそれがない人物か、職員採用時に厳格な適格性検査を行う。
- イSNSサイトやダークウェブを巡回し、自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。
- ウ自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し、ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
- エファイアウォールを用いて外部との通信を記録し、自社のWebサーバから不審な宛先への通信が発生していないか調査する。
正解と解説
正解：ウ 自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し、ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
実証コードが公開される攻撃は、既知の脆弱性を突くものである。したがって、自社のWebサーバが使っているソフトウェアの脆弱性情報を継続的に確認し、修正プログラムを適用するか、適用できない間は設定変更などのワークアラウンドで攻撃経路を塞ぐことが、侵害を未然に防ぐ最も直接的な対策になる。他の選択肢は事後の検知や別のリスクへの対策であり、この攻撃を防ぐ効果は限定的である。
選択肢ごとの解説
- ア内部不正への対策であり、外部から既知の脆弱性を突く攻撃は防げない。
- イ情報漏えいの事後確認であって、侵害を未然に防ぐ手段ではない。
- ウ正しい。脆弱性情報の確認と修正適用またはワークアラウンドが最も効く。
- エ侵害後の兆候を検知する対策であり、未然防止にはならない。
同じ分野の他の問題
- テンペスト攻撃の説明とその対策として、適切なものはどれか。2021年度 秋期 午前II 問24
- 暗号技術のうち、共通鍵暗号方式はどれか。2021年度 秋期 午前II 問23
- NISTが制定した、AESにおける鍵長の条件はどれか。2019年度 春期 午前II 問24
- テンペスト攻撃の説明とその対策として、適切なものはどれか。2018年度 春期 午前II 問25
- 公開鍵暗号方式を使った暗号通信をn人が相互に行う場合、全部で何個の異なる鍵が必要になるか。ここで、一組の公開鍵と秘密鍵は…2018年度 春期 午前II 問24
最終更新：2026-08-25／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。