情報処理安全確保支援士試験の過去問
2025年度 秋期 午前II 25問
- 問1CRYPTREC暗号リストは推奨・推奨候補・運用監視の三区分
- 問2Pass the Hashは盗んだハッシュ値のまま認証を通す横展開手口
- 問3PQCは量子計算機の攻撃にも耐える従来機で使える暗号
- 問4RAは本人確認と証明書発行申請の承認可否を担う
- 問5モデルインバージョンは出力から学習データを復元する攻撃
- 問6デタッチ署名は対象を参照で指し同一文書にも置ける
- 問7未使用IP宛の大量SYN/ACKは送信元詐称SYNフラッドの跳ね返り
- 問8ドメインフロンティングはCDNを隠れ蓑に真の接続先を隠す
- 問9情報理論的に安全なのは使い捨て乱数鍵のワンタイムパッド
- 問10虹彩は経年変化が小さく登録データの更新がほぼ不要
- 問11Identity Proofingは登録時に実在と本人性を確かめる身元確認
- 問12MITREはCVEの事務局でATT&CKなども公開する
- 問13自社製品の脆弱性対応を担うのはCSIRTではなくPSIRT
- 問14UEBAは平常の振る舞いから外れた挙動を検知する
- 問15CSPMはクラウドの設定ミスを継続的に検出する
- 問16CSRF対策は要求の出所確認で、文字のエスケープは無効
- 問17802.1XはEAPを用いたポートベースの認証の枠組み
- 問18Ajaxは非同期通信で画面の一部だけを更新する技術
- 問19OSPFはリンク状態DBから最短経路を計算するリンクステート型
- 問20HTTPは1情報・2成功・3転送・4client誤り・5サーバ誤り
- 問21コミット完了はログファイルへの書込み完了時点で確定する
- 問22下位が未完成なら上位から結合しスタブで代替する
- 問23取決めがなければソフトの著作権は創作した請負人に帰属
- 問24可用性は合意提供時間から計画停止を除いて計算する
- 問25リスクが大きく変われば監査計画を見直し必要なら変更する
2025年度 春期 午前II 25問
- 問1DRDoSは送信元を偽装し第三者の応答を標的に反射させる攻撃
- 問2SAMLはIdPの署名付きアサーションをSPが検証するSSO方式
- 問3SHA-512/256はSHA-512の出力を256ビットに切り詰めた方式
- 問4カミンスキー攻撃の緩和は送信元ポートのランダム化
- 問5クリプトジャッキングは他人の計算資源を盗んでマイニングする攻撃
- 問6デジタル証明書は公開鍵をCAの秘密鍵で署名したもの
- 問7MiraiはIoT機器を乗っ取りC&C指令でDDoSを行うボット
- 問8コネクトバックは内部から外部へ接続しFWを回避する通信
- 問9CPSは認証局が認証業務の運用手順を定めた文書
- 問10リスク特定はリスクを発見・認識・記述するプロセス
- 問11ISMAPは政府調達向けにクラウドを事前評価・登録する制度
- 問12CSF 2.0が追加した6つ目の機能はGOVERN
- 問13IoCは侵害が起きたことを示す観測可能な痕跡情報
- 問14タイミング攻撃対策は処理時間を秘密値に依存させないこと
- 問15証拠保全は揮発性の高い情報から順に採取する
- 問16OAuth 2.0は認証ではなくアクセス権限を委譲する認可の仕組み
- 問17OP25Bは自網から外部へのTCP25番送信を遮断しスパムを抑止
- 問18ルータはコリジョンもブロードキャストも他セグメントへ通さない
- 問19STPは冗長経路を論理的に遮断しL2ループを防ぐ
- 問20GETはURIのクエリ文字列、POSTはメッセージボディで送る
- 問21NOT EXISTSの相関副問合せは部下を持たない行を抽出する
- 問22SonarQubeはコード品質と脆弱性を自動検出する静的解析OSS
- 問23KPTはKeep・Problem・Tryで振り返る改善手法
- 問24可用性は提供時間内の停止だけで計算する
- 問25記録の網羅性・正確性はITの統制目標のうち信頼性
2024年度 秋期 午前II 25問
- 問1AAAは認証・認可・アカウンティングの3機能を指す
- 問2Adversarial Examplesは微小な摂動でAIに誤認識させる攻撃
- 問3MITRE ATT&CKは攻撃の戦術と技術を体系化したナレッジベース
- 問4NTPリフレクションは送信元を詐称し大きな応答を標的へ集中させる
- 問5PQCは量子計算機でも解読困難な数学的問題に基づく暗号方式
- 問6Smurfは送信元を詐称しブロードキャストで応答を標的に集中させる
- 問7FIDOでは生体情報は認証器内に留まり署名だけが外へ出る
- 問8リバースプロキシ型SSOは通信が1点に集中しボトルネックになりやすい
- 問9量子鍵配送は共有乱数を使い捨て鍵に使い盗聴を必ず検知できる
- 問10DMARCは認証失敗メールの扱いを送信側ドメインが宣言する仕組み
- 問11SOARは製品連携と自動化でインシデント対応を効率化する
- 問12偽陽性は正当な通信を攻撃と誤判定して遮断してしまうこと
- 問13アノマリ型は正常状態を定義しそこからの逸脱を不正と判断する
- 問14クリックジャッキング対策はフレーム埋め込みの禁止
- 問15DTLSはUDP上でTLS相当の暗号化を行う
- 問16OAuth2.0では認可サーバがアクセストークンを発行する
- 問17無線LANのAPがオーセンティケータ兼RADIUSクライアント
- 問18IPsecトンネルモードはIPパケットをIPでカプセル化する
- 問19ICMP Redirectはより適切な経路を送信元に通知する
- 問20ネットワークタップは通信信号を分岐して監視に渡す
- 問21外部キーは一つの関係に複数あってよい
- 問22GoFは生成・構造・振る舞いの3分類からなる
- 問23テスト駆動開発は実装より先にテストを書く
- 問24継続的改善はパフォーマンス向上のため繰り返す活動
- 問25業務処理統制はアプリに組み込まれた個別業務の統制
2024年度 春期 午前II 25問
- 問1CSRF対策は要求の正当な出所の確認で、文字のエスケープは無効
- 問2MACは共通鍵で完全性を確認する仕組みで否認防止はできない
- 問3RAは本人確認を行い証明書発行申請の可否を判断する
- 問4SAMLは認証・属性・認可情報を組織間で交換するOASIS規格
- 問5未使用IP宛の大量SYN/ACKは送信元詐称SYNフラッドの跳ね返り
- 問6CRLは期限内に失効した証明書のシリアル番号を載せる
- 問7ISMAP-LIUは低リスク業務向けSaaSを対象とした簡素な枠組み
- 問8SIM3はCSIRTの成熟度を四つの観点で評価するモデル
- 問9CWEは脆弱性の原因となる弱点の種類を分類した一覧
- 問10FIPS 140-3は暗号モジュールのセキュリティ要求事項の標準
- 問11CASBはクラウド利用を可視化しシャドーITを把握できる
- 問12Enhanced Openはパスワード不要のまま通信を暗号化する
- 問13HSTSはブラウザに一定期間HTTPS接続を強制させる
- 問14サプリカントは802.1Xで認証を要求する端末側の実体
- 問15CAAレコードは証明書を発行してよい認証局をDNSで限定する
- 問16PGPとS/MIMEは個人単位、SMTP over TLSはサーバ単位の鍵
- 問17SBOMは構成部品と依存関係の一覧で影響調査を速める
- 問18ポート番号はTCP、IPアドレスやTTLはIPヘッダーの情報
- 問19587番は認証付きメール投稿用で迷惑メール対策に使う
- 問20キャッシュに残させないのはno-cacheではなくno-store
- 問21ANDがORより強く、括弧内の条件と所属条件の両方を満たす行が対象
- 問22ウォークスルーは机上で処理を追って欠陥を見つけるレビュー
- 問23形式手法は厳密な仕様記述と論理的な検証で正しさを示す
- 問24逓減課金は増加し続けるが傾きが緩む上に凸のグラフ
- 問25開発保守や運用の管理はIT全般統制、個別処理は業務処理統制
2023年度 秋期 午前II 25問
- 問1外部コマンド実行関数への入力混入はOSコマンドインジェクション
- 問2TLS1.3の暗号スイートはAEADとハッシュの組合せだけ
- 問3VAは証明書の失効状態の照会に応答する検証専門の機関
- 問4XML署名はデタッチ・エンベロープド・エンベローピングの三形式
- 問5クリプトジャッキングは他人の計算資源を盗んで採掘させる
- 問6MiraiはIoT機器を弱い認証で乗っ取りDDoSのボット網を作る
- 問7取引情報を別デバイスで署名して照合するのがトランザクション署名
- 問8SAMLはドメイン間でアサーションを渡すSSOの標準規格
- 問9CPSは認証局が自らの認証業務の運用手順を定めた文書
- 問10NOTICEは弱い認証情報のIoT機器を調べISP経由で注意喚起
- 問11リスク特定はリスクを発見し認識し記述する最初の工程
- 問12SCAPは脆弱性管理と評価を自動化するNISTの仕様群
- 問13DNSSECは権威サーバが署名しリゾルバが検証する
- 問14OAuth2.0は資格情報を渡さず権限だけを委譲する認可の仕組み
- 問15SSHは暗号化と認証を備えた安全な遠隔ログイン手段
- 問16受信通信を本文ごと暗号化するにはTLS上のIMAPS
- 問17不要になった旧宛先への許可ルールは移設に合わせて削除する
- 問18クラスCを4分割すると/26でマスクは255.255.255.192
- 問19IPv4マルチキャストは224～239で始まるクラスDのアドレス
- 問20IPアドレス重複の確認はARP要求への応答有無で行う
- 問21データディクショナリはDBのスキーマや権限などの管理情報
- 問22カオスエンジニアリングは意図的な障害注入で弱点を洗い出す
- 問23スクラムは役割とイベントと作成物で構成される反復の枠組み
- 問24規格と自組織の要求への適合を定期に確かめるのは内部監査
- 問25特権IDの直接修正は事実どおり記録し追跡できることが必須
2023年度 春期 午前II 25問
- 問1CRYPTREC暗号リストは推奨・推奨候補・運用監視の3層構成
- 問2Pass the Hashはハッシュ値を鍵代わりに提示して認証を突破する
- 問3SAMLはIdP発行のアサーションをSPが検証してSSOを実現する
- 問4衝突発見困難性は同じハッシュ値になる2つの入力を見つけにくい性質
- 問5カミンスキー攻撃対策は問合せ元ポートのランダム化で推測を困難にすること
- 問6証明書は申請者の公開鍵にCAが秘密鍵で署名したX.509形式のもの
- 問7CTRモードはカウンタから作る鍵ストリームとのXORで並列処理できる
- 問8ISMAP管理基準の土台はJASAのクラウド情報セキュリティ管理基準
- 問9NIST CSFのコアは識別・防御・検知・対応・復旧の5機能
- 問10フォールスポジティブは正当な通信を攻撃と誤判定して遮断すること
- 問11タイミング攻撃対策は秘密情報によらず処理時間を一定にすること
- 問12インライン型IPSは経路上に置き既知パターンと合致する通信を遮断する
- 問13証拠保全は揮発性の高いメモリ上の情報から先に採取する
- 問14WPA3-EnterpriseはIEEE 802.1X認証と動的鍵配布を用いる
- 問15DKIMは送信側の署名を受信側が公開鍵で検証する送信ドメイン認証
- 問16OP25Bは自網から外部への25番ポート直接送信を止めスパムを抑制する
- 問17SQLインジェクションはプレースホルダとDB権限の最小化で守る
- 問18実効帯域を1分当たりのバイト数に直し1台分の必要量で割る
- 問19代表ポートはリンクごとにルートまでのコストが小さい側のポート
- 問20ディレクテッドとリミテッドのブロードキャストはどちらも自網内に届く
- 問21WITH GRANT OPTIONは受け取った権限を他者へ再付与する権限も与える
- 問22ペネトレーションテストは実際に侵入を試み悪用可能性を確かめる
- 問23複製権の許諾なくプロテクトを外して複製するのは許容されない
- 問24問題管理は根本原因を突き止め恒久対策を立てるプロセス
- 問25リスクアプローチはリスクの変動を踏まえ資源を重点配分する
2022年度 秋期 午前II 25問
- 問1MACは共通鍵で完全性を確かめるが第三者への証明力はない
- 問2RAは本人確認と発行申請の承認を担いCAへ取り次ぐ
- 問3SAMLは認証・属性・認可を組織間で交換するOASISの仕様
- 問4Smurfは送信元詐称とブロードキャストで応答を増幅させる
- 問5未使用空間への大量SYN/ACKは送信元詐称DoSの反射である
- 問6スプレー攻撃は少数のパスワードを多数のIDへ薄く試す
- 問7リバースプロキシ型SSOはプロキシが単一障害点になる
- 問8前方秘匿性は鍵漏えい後も過去の通信を守る性質
- 問9ISO/IEC 15408は製品のセキュリティ評価を比較可能にする
- 問10CASBは利用状況の可視化でシャドーITを見つけ統制する
- 問11クリックジャッキングはX-Frame-Optionsで枠内表示を禁じる
- 問12ブロックチェーンはハッシュの連鎖で改ざんを検出する
- 問13ネットワーク層で暗号化するプロトコルはIPsec
- 問14SMTP-AUTHは送信時に利用者認証を行い不正送信を防ぐ
- 問15SPFは送信許可サーバをDNSのSPFレコードで宣言する
- 問16本文暗号は利用者ごと、通信路のTLSはサーバごとの鍵
- 問17プライバシーセパレータは同一AP配下の端末間通信を遮断する
- 問18IPv6は40オクテット固定長ヘッダーに拡張ヘッダーを連ねる
- 問19クラスDはマルチキャスト用に予約されたアドレス
- 問20VRRPは仮想IPの引継ぎでゲートウェイを冗長化する
- 問21左外部結合は左表の全行を残し対応なしはNULLで埋める
- 問22分岐網羅は各判定の真と偽を一度ずつ通ればよい
- 問23SDカードの著作権保護は記録媒体向けのCPRM
- 問24投資利益率は利用期間分の削減額と総投資額で比べる
- 問25SaaSで監査できるのは自組織が管理するアプリ利用者ID
2022年度 春期 午前II 25問
- 問1区切り記号に続くシェルコマンドの注入はOSコマンドインジェクション
- 問2SAMLは認証・属性・認可情報をドメイン間で受け渡す仕様
- 問3消費電力など物理的な漏れから鍵を推定するのがサイドチャネル攻撃
- 問4パスワード総数は重複順列でM文字種のn乗になる
- 問5偵察は接触前に公開情報から標的を下調べする段階
- 問6量子暗号は盗聴を検知できる鍵配送と使い捨て鍵の組合せ
- 問7SECURITY ACTIONは中小企業の対策取組を自己宣言する制度
- 問8NOTICEは弱い認証情報のIoT機器を調査しISP経由で注意喚起
- 問9経営ガイドラインは三原則と重要十項目を示す経営層向け指針
- 問10CRYPTRECは暗号技術の安全性を評価・監視し推奨リストを維持する
- 問11MITB対策は取引内容自体を別経路で検証するトランザクション署名
- 問12アプリ層だけ利用者が担い基盤は事業者が担うのがPaaS
- 問13DNSSECは応答の出所と改ざんの有無を署名で検証する
- 問14HSTSは指定期間中の接続をHTTPSに強制させるヘッダ
- 問15クライアント証明書はICカードに格納でき利用端末を限定しない
- 問16受信時に本文まで暗号化するにはTLS上のIMAPS
- 問17APがオーセンティケータ兼RADIUSクライアントとして中継する
- 問18無線LANは衝突検出ができないためCSMA/CAで回避する
- 問19PCの時刻合わせにはNTPを簡略化したSNTPを使う
- 問20L2のループ防止はスパニングツリーで冗長経路を論理遮断する
- 問21データリネージはデータの発生源と加工経緯をたどる来歴情報
- 問22誤操作を受け付けず安全に導く設計がフールプルーフ
- 問23規格のプロセスを対象に合わせて変更するのが修整
- 問24可用性は合意時間から計画停止を除いた時間を分母に計算する
- 問25個別アプリに組み込む権限制御はIT業務処理統制
2021年度 秋期 午前II 25問
- 問1微小な摂動でAIの判定を誤らせるのがAdversarial Examples
- 問2Pass the Hashは窃取したハッシュ値のまま認証を通す
- 問3PQCは量子計算機による解読にも耐える暗号方式
- 問4SAMLはIdPの署名付きアサーションをSPが検証して認証する
- 問5サイバーキルチェーンは攻撃を段階に分け対処点を見つける
- 問6ステートフル検査は通信状態を記憶し戻りだけ通す
- 問7FIPS 140-3は暗号モジュールのセキュリティ要求事項
- 問8CRLは有効期限前に失効させた証明書を知らせる
- 問9JIS Q 27017はクラウド固有の管理策を追加した規格
- 問10Secure属性はHTTPS通信のときだけcookieを送らせる
- 問1123番telnetは初期パスワードのまま侵入されやすい
- 問12証拠保全は揮発しやすいものから順に採取する
- 問13テンペスト攻撃は漏えい電磁波から情報を復元する
- 問14ルートキットは侵入の痕跡と不正ツールをOSごと隠す
- 問15WPA3-Enterpriseは802.1X認証と動的な鍵配布を使う
- 問16EAP-TLSは証明書によるサーバとクライアントの相互認証
- 問17TLS1.3の暗号スイートはAEADとハッシュの組で表す
- 問18VXLANはIP網上に論理的なL2網をカプセル化で作る
- 問19ルータはコリジョンもブロードキャストも越えさせない
- 問20利用可能ホスト数はホスト部のビット数から2を引いて求める
- 問21参照制約は参照する側への行追加を拒否し得る
- 問22探索的テストは動かして学びながら次を設計する
- 問23ブルーレイの保護技術は鍵無効化に対応したAACS
- 問24フェールソフトは縮退してでも稼働を続ける設計
- 問25クラウドのデータ消失予防は事業者の継続性確認が要
2021年度 春期 午前II 25問
- 問1反射・増幅攻撃はUDPで応答が大きいサービスが狙われる
- 問2OCSPは証明書の失効状態をオンライン照会する仕組み
- 問3衝突発見困難性は同じハッシュ値になる2文書を見つけにくい性質
- 問4Smurfは詐称ICMPの応答を標的に集中させる反射攻撃
- 問5サイドチャネル攻撃は消費電力など物理情報から鍵を推定する
- 問6ステートフルはセッション状態と照合して通過可否を判断する
- 問7AESは鍵長128・192・256、ブロック長は128ビット固定
- 問8CVEは個々の脆弱性に付ける共通の識別番号
- 問9J-CSIPはIPAを軸に標的型攻撃情報を共有する枠組み
- 問10CAAは証明書を発行してよいCAをDNSで宣言する
- 問11CASBは利用側がクラウド利用を可視化・制御する仕組み
- 問12SQLインジェクション対策の本命は静的プレースホルダ
- 問13ビヘイビア法は実際の挙動を監視して未知の脅威も検出
- 問14OP25Bは自網から外部への直接25番送信を遮断する
- 問15HSTSはブラウザに以降のHTTPS接続を強制させる
- 問16VDI分離の要はPCとの間を画面転送だけに絞ること
- 問17Enhanced Openは認証なしで無線区間を暗号化する
- 問18NFVはネットワーク機能を汎用サーバ上のソフトで実現する
- 問19リンクアグリゲーションは複数の物理リンクを1本に束ねる
- 問20127.0.0.1は自ホストを指すループバックアドレス
- 問21ロックの取得順序を統一すればデッドロックを避けられる
- 問22機能適合性は必要な機能を満たす度合いを表す特性
- 問23テスト駆動開発は実装より先にテストを書く
- 問24ロールフォワードは更新後ログを反映して復旧する
- 問25セキュリティ機能の試験は開発過程の中で実施する
2020年度 10月試験 午前II 25問
- 問1区切り文字でシェルコマンドを続ける攻撃はOSコマンドインジェクション
- 問2SAMLは認証・属性・認可をドメイン間で伝える仕様
- 問3エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
- 問4サイドチャネル攻撃は実装が漏らす物理情報から鍵を推定する
- 問5ブロックチェーンはハッシュの連鎖で改ざんを検出する
- 問6NOTICEは推測容易なパスワードのIoT機器を調査し注意喚起する
- 問7CPSFは三層構造で産業のリスクを捉え対策全体像を示す
- 問8CRYPTRECは電子政府向け暗号技術を評価し監視する
- 問93Dセキュアはカード会社登録の本人情報で決済者を認証する
- 問10MITB対策は取引内容そのものへの署名で改ざんを検出する
- 問11アプリだけ利用者が持つ責任分担はPaaS
- 問12Secure属性は値を持たずHTTPS時だけcookieを送らせる
- 問13フォレンジックスは証拠データを保全し分析して訴訟に備える
- 問14FWを通らなくなった通信の許可規則は削除する
- 問15DNSSECは署名で応答の出所と完全性を検証する
- 問16SMTP-AUTHは送信時に利用者認証を行い不正送信を防ぐ
- 問17IP25Bは受信側で他社動的IPからの直接SMTPを制限する
- 問18DHCPの最初の問合せは255.255.255.255宛てで送る
- 問19RADIUSは認証・認可と利用実績を集中管理するプロトコル
- 問20スパニングツリーは冗長経路を遮断しL2ループを防ぐ
- 問21コミット完了はログファイルへの書込みが終わった時点
- 問22ペルソナは典型的な利用者を具体化した架空の人物像
- 問23ふりかえりは各イテレーションの最後に進め方を改善する
- 問24TCOは初期費用に年額費用の使用年数分を加えて比べる
- 問25個人情報管理台帳は定期と随時の見直しで実態と合わせる
2019年度 秋期 午前II 25問
- 問1FIDO UAFは生体照合を端末内で完結させ、署名だけを送る
- 問2サイドチャネル攻撃は消費電力や電磁波など物理的漏れを利用する
- 問3VAは証明書の失効状態の問合せに応答する機関
- 問4XML署名はデタッチ署名で任意のエレメントを対象にできる
- 問5通過済み通信の戻りパケットだけを動的に許可する方式
- 問6CRLは有効期限前に失効させた証明書の番号を載せる
- 問7モニタは戦略的目的の達成度を把握可能にするプロセス
- 問8電子政府推奨暗号リストは実績も伴う推奨技術のリスト
- 問9CVSSは基本・現状・環境の三基準で脆弱性を点数化する
- 問10BlueBorneはBluetoothに潜む複数脆弱性の総称
- 問11Secure属性はHTTPS通信でのみCookieを送らせる
- 問12DKIMは電子署名と公開鍵でメールの送信ドメインを検証する
- 問13複数種類の攻撃を同時に仕掛けるのがマルチベクトル型DDoS
- 問14常時TLSは中間者攻撃を防ぎ、証明書で真正性を示す
- 問15Exploit Kitは攻撃コードを詰め合わせた自動攻撃ツール
- 問16EAP-TLSは証明書によるサーバ・クライアントの相互認証
- 問17SQLインジェクションはプレースホルダ＋DB権限最小化で防ぐ
- 問18DNSSECは署名検証でDNS応答の正当性を保証する
- 問19IPv4の分割はルータでも行うが、再構築は宛先ホストだけ
- 問20TCPは確認応答と再送でデータの信頼性を確保する
- 問21項目が定まらないJSONの蓄積にはドキュメント型DBが適する
- 問22Stopはレディ以外のどの状態からもレディへ遷移させる
- 問23マッシュアップは複数サービスを組み合わせ新機能を作る
- 問24フェールソフトは機能を縮退させてでも稼働を続ける設計
- 問25移行失敗の統制は役割と責任を定めた移行計画の作成
2019年度 春期 午前II 25問
- 問1CRLに載るのは期限内に失効した証明書のシリアル番号
- 問2OCSPは証明書の失効状態をオンラインで照会する
- 問3SAMLは認証・属性・認可の情報を安全に交換する標準
- 問4衝突発見困難性は同じハッシュ値の二つの入力を探す難しさ
- 問5クリプトジャッキングは他人の資源で無断マイニングする
- 問6Smurfはブロードキャスト宛ICMPで応答を標的に集中させる
- 問7サイドチャネル攻撃は消費電力や時間差から鍵を推定する
- 問8MACの照合は取引内容の改ざん検知に使える
- 問9CRYPTRECは推奨・推奨候補・運用監視の三リスト構成
- 問10エスケープはXSS対策で、CSRFにはトークン照合が要る
- 問11IDと送信元ポートのランダム化が偽応答の的中を防ぐ
- 問12VLANはブロードキャスト範囲を分離し情報流出を抑える
- 問13WPA2-Enterpriseは802.1X認証と動的鍵配布を行う
- 問14OP25Bは自網から外部への直接25番送信を遮断する
- 問15SPFは送信許可サーバをDNSレコードで公開する
- 問16VDI分離の要はPCとの間を画面転送だけに絞ること
- 問17ステートフルインスペクションはセッション状態で通過可否を判断する
- 問18隠れ端末問題は端末同士のキャリアを検出できず衝突する現象
- 問19PPPoEはPPPをイーサネット上で運ぶプロトコル
- 問20エージェントからの自発的通知はTrap-PDUで行う
- 問21参照制約は外部キー側への行追加を拒否しうる
- 問22ファジングは異常データを大量投入して脆弱性を暴く
- 問23マッシュアップは複数の公開サービスを組み合わせる手法
- 問24フルバックアップ間隔を延ばすと復旧時のログ反映が増える
- 問25監査調書は監査人が監査の実施過程を記録した文書
2018年度 秋期 午前II 25問
- 問1AESの段数は選んだ鍵長によって決まる
- 問2CVEは脆弱性を一意に識別する共通の番号
- 問3ハッシュの連鎖により改ざんを検出できる仕組み
- 問4複数の異なる攻撃手法を同時に仕掛けるDDoS
- 問5FIPS 140-2は暗号モジュールの要求事項規格
- 問6経営者向けの3原則と指示すべき事項を示す指針
- 問7UDPの詐称容易性を悪用した反射増幅型DDoS
- 問8EDSAは制御用組込み機器そのものを認証する制度
- 問9MITBには取引内容への署名と突合が有効
- 問10アプリだけ利用者が責任を負う形態がPaaS
- 問11Miraiは初期パスワードのIoT機器を乗っ取りDDoS
- 問12HSTSは以後の接続を必ずHTTPSに強制する
- 問13入力がシェルで実行されるのがOSコマンド注入
- 問14SMTP-AUTHは送信時に利用者を認証する拡張
- 問15クライアント証明書はICカードで持ち運べる
- 問16本文暗号化は利用者単位、TLSはサーバ単位の鍵
- 問17APがオーセンティケータ兼RADIUSクライアント
- 問18TCP確立はSYN・SYN+ACK・ACKの3回で完了
- 問19クラスDはマルチキャスト用に予約された範囲
- 問2011nは2.4と5GHz、11acは5GHz帯のみ
- 問21ビューへの権限付与で参照範囲を限定できる
- 問22下位が未完成ならスタブで補うトップダウン結合
- 問23SOAはサービス間を疎結合にして変化に備える
- 問24変更がセキュリティに与える影響の評価が必須
- 問25三当事者は実施者・責任者・想定利用者を指す
2018年度 春期 午前II 25問
- 問1基本評価基準は脆弱性そのものの不変な性質を測る指標
- 問2区切り文字でシェルコマンドを続ける攻撃はOSコマンドインジェクション
- 問3XML署名はURI参照で文書内の任意要素だけに署名できる
- 問4エクスプロイトコードは脆弱性を突く攻撃コードで検証にも使う
- 問5リバースプロキシ型SSOは認証方式を証明書などに置き換えられる
- 問6動的フィルタは往路を記憶し対応する戻りだけを通す
- 問7署名は発信者の秘密鍵で生成し公開鍵で検証する
- 問8CRLは有効期限前に失効させた証明書を知らせる仕組み
- 問9虹彩は経年変化が乏しく再登録がほぼ不要な生体情報
- 問10J-CSIPは標的型攻撃の情報を組織間で共有する枠組み
- 問11secure属性はHTTPS通信のときだけcookieを送らせる
- 問12DKIMは署名とDNS公開鍵でメールの送信元と完全性を検証する
- 問13テンペスト攻撃は漏えい電磁波から情報を復元する
- 問14ダウンローダ対策は外向きの取得先通信をURLフィルタで断つ
- 問15ルートキットは侵入の痕跡と不正ツールをOSごと隠す
- 問16DNSSECは署名で応答の出所と完全性を検証する
- 問17SQL注入はプレースホルダで防ぎDB権限最小化で被害を抑える
- 問18IPヘッダのプロトコル番号がICMPかTCPかを示す
- 問19複数VLANをタグ付きで束ねて運ぶのがトランクポート
- 問20WebDAVはHTTP拡張でサーバ上のファイルを操作できる
- 問21コミット完了はログファイルへの書込みが終わった時点
- 問22シーケンス図は時間軸に沿ってメッセージの順序を描く
- 問23テスト駆動開発は実装前にテストを書いて設計を導く
- 問24可用性は合意時間から計画停止を除いて計画外停止で測る
- 問25特権IDの直接修正はログの偽装こそ重大な統制違反
2017年度 秋期 午前II 25問
- 問1CRLは期限内に失効した証明書のシリアル番号の一覧
- 問2OCSPは証明書の失効状態をオンラインで即時照会する
- 問3SAMLはOASIS策定の認証・認可情報交換の枠組み
- 問4衝突発見困難性は同一ハッシュ値の2文書探索の難しさ
- 問5エクスプロイトコードは脆弱性を突く実証・攻撃プログラム
- 問6カミンスキー攻撃対策は送信元ポートのランダム化
- 問7Smurfは詐称ICMPで応答を対象に集中させる増幅DoS
- 問8サイドチャネル攻撃は消費電力等の物理情報から鍵を推定
- 問9ステートフルインスペクションは通信状態を記憶して判断
- 問10証明書はCAが公開鍵と所有者の対応を署名で保証する
- 問11是正処置は原因を除去して再発を防ぐ処置
- 問12リスク特定はリスクの発見・認識・記述のプロセス
- 問13CVSSは基本・現状・環境の3基準で脆弱性を評価する
- 問14重要画面の直前に再認証を挟み乗っ取り被害を限定する
- 問15OP25Bは動的IP網から外部25番への直接送信を遮断
- 問16証拠保全は揮発性の高いデータから順に行う
- 問17WPA2-Enterpriseは802.1X認証と動的鍵配布を行う
- 問18ルータはコリジョンもブロードキャストも通さない
- 問19実効帯域÷1台当たり所要帯域で同時接続数を求める
- 問20マスク/27ならホスト部は下位5ビット（90→26）
- 問21深層学習は中間層を多数もつニューラルネットワーク
- 問22満足性の副特性「実用性」は目標達成による満足度
- 問23請負契約で定めがなければ著作権は請負人に帰属
- 問24フェールソフトは性能を落としても稼働を続ける設計
- 問25システム監査人には外観も含めた独立性が求められる
2017年度 春期 午前II 25問
- 問1AESは鍵長に応じてラウンド数が決まる共通鍵暗号
- 問2弱い暗号方式を強制させて解読しやすくする攻撃
- 問3実装から漏れる物理量で秘密情報を推定する攻撃
- 問4TPMは鍵ペア生成と秘密鍵保護を担うチップ
- 問5既知のIDでログインさせ後からなりすます攻撃
- 問6存在しない名前の大量問合せで権威DNSを圧迫する
- 問7FIPS 140-2は暗号モジュールの要求事項の規格
- 問8ゲストOSのパッチ管理はIaaSだけ利用者の責任
- 問9リスク回避は活動をやめてリスク源をなくす対応
- 問10CVEは個々の脆弱性を一意に識別する共通番号
- 問11MITB対策は取引内容自体を署名して突き合わせる
- 問12入力がシェル経由で実行されるのがOSコマンド注入
- 問13フォールスネガティブは有害なものの見逃し
- 問14OAuthはリソース側がアクセストークンを発行する
- 問15OP25Bは自網から外部への迷惑メール送信を制限
- 問16サンドボックスは実行を隔離し影響を封じ込める
- 問17APがオーセンティケータ兼RADIUSクライアントになる
- 問18ICMP Floodは大量のping要求で帯域を消費させる
- 問19送受信端子の対応を自動判別して切り替える機能
- 問20無線LANは衝突回避型のCSMA/CAを用いる
- 問21ALL PRIVILEGESと付与権をまとめて与えるSQL
- 問22機能適合性はニーズを満たす機能提供の度合い
- 問23DTCP-IPは家庭内IP伝送を相互認証で保護する
- 問24バックアップ間隔を延ばすとログ復旧時間が伸びる
- 問25実施者・責任者・想定利用者が保証業務の三当事者
2016年度 秋期 午前II 25問
- 問1AAAは認証・認可・アカウンティングの3要素
- 問2送信元を偽り大きな応答を標的へ反射・増幅させる
- 問3POODLEはSSL3.0のCBCパディングを突く解読攻撃
- 問4デタッチ署名は外部の対象をURI参照して署名する
- 問5通信状態を記憶し対応する戻りだけを動的に許可
- 問6普段と違うアクセスにだけ追加認証を課す方式
- 問7CRLは有効期限内に失効させた証明書の一覧
- 問8CRYPTRECは暗号技術の安全性を評価する活動
- 問9secure属性はHTTPS通信時だけCookieを送出させる
- 問10処理時間を秘密情報に依存させないのが対策
- 問11ダークネットは未使用IPアドレス空間の観測網
- 問12rootkitは侵入後の痕跡を隠蔽するツール群
- 問13DNSSECは署名で応答の出所と完全性を検証する
- 問14EAP-TLSは証明書によるサーバと端末の相互認証
- 問15トンネルモードは元IPヘッダごと暗号化して包む
- 問16SMTP-AUTHは送信時に利用者認証を行う拡張
- 問17プレースホルダとDB権限最小化がSQLi対策の要
- 問18リゾルバは名前解決を問い合わせるクライアント機能
- 問19TCP確立はSYN・SYN+ACK・ACKの3往復手順
- 問20TCPは確認応答と再送で信頼性を確保する
- 問21コミット確定はログファイルへの書込み完了時点
- 問22V字モデルでは設計と同じ粒度のテストが対応する
- 問23要求の明確さと繰返しの有無で開発モデルを選ぶ
- 問24インシデントはサービス品質を低下させる計画外事象
- 問25アクセス統制の監査はアクセス記録の点検で行う
2016年度 春期 午前II 25問
- 問1CRLには期限内に失効した証明書の番号が載る
- 問2ランダムな名前の問合せは権威DNSに集中する
- 問3OCSPは証明書の失効状態をオンラインで確認する
- 問4SAMLは認証・属性・認可情報をXMLで安全に交換
- 問5衝突発見困難性は同一ハッシュの2文書を探す困難さ
- 問6エクスプロイトコードは脆弱性を突くプログラム
- 問7SmurfはICMP応答を標的へ集中させる反射攻撃
- 問8証明書はTLSの相手認証と鍵交換に使われる
- 問9共通鍵とカウンタの反復は擬似乱数生成の構成
- 問10J-CSIPは攻撃情報を集約・共有する官民の枠組み
- 問11リスク特定はリスクを発見・認識・記述する工程
- 問12問合せIDとポートのランダム化が偽応答を防ぐ
- 問13OP25Bは動的IPからの25番直接送信を遮断する
- 問14証拠データを保全し訴訟に備えるのがフォレンジックス
- 問15pingを止めるにはICMPの通過を禁止する
- 問16クライアント証明書を必須とするのはEAP-TLS
- 問17PGPとS/MIMEは利用者ごと、TLSはサーバごとの鍵
- 問18SSIDは接続先を選ぶための無線LAN識別名
- 問19DHCPはDISCOVER・OFFER・REQUEST・ACKの順
- 問20587番は認証付きでメールを投函する専用ポート
- 問21条件を恒真にする入力でWHERE句が全行に適合する
- 問22フェールセーフは故障時に安全側へ倒す設計
- 問232人で1つのコードを書き品質と知識共有を高める
- 問24変更要求のセキュリティへの影響評価が求められる
- 問25システム管理基準は安全・有効・効率的な運用が目的