令和6年 秋 Webサイトのセキュリティ
ハッシュ値パスワードの特徴 問1・問4
- 不可逆性：ハッシュ値から元のパスワードを復元することが非常に困難
- 衝突耐性：入力が異なれば高確率で異なるハッシュ値が生成される
- 決定性：入力が同じであれば常に同じハッシュ値が生成される
パスワードを平文のまま保存した場合、パスワードが直接漏洩する可能性がある。
ハッシュ化して保存しておけば、万が一漏洩した場合ハッシュ値しか取得できない。
そこから元のパスワードを直接導き出すのは非常に困難。
ハッシュ値は情報漏洩の脅威に対して有用。
※ハッシュ値が同じユーザーがいた場合、同じパスワードを使用している可能性あり（問4）
情報セキュリティマネジメントで維持管理するべき3つの要素 問2
- 機密性：許可されたユーザーのみが情報にアクセスできる特性
- 完全性：情報が正しく維持され、改ざんや破壊されていない特性
- 可用性：必要な時に利用可能である特性
情報漏洩した場合
機密性が侵害されている
パスワードを総当たりする攻撃 問3
ブルートフォース攻撃
対策
- 長く複雑なパスワードの設定
- 回数ロック
SQLインジェクション対策 問3
プレースホルダ
SQL文の型をはじめから作っておき、値の入れ場所は仮の場所（プレースホルダ）
→仮の場所に代入された内容を単純な値として扱う（プログラムとして扱わない）
複数の異なる防御手段を合わせる 問5
多層防御
複数の異なる防御手段を組み合わせ、総合的にセキュリティを強化する考え方
ソルトとペッパーの違い 問6
ソルト：異なるランダムな値をパスワードに追加ハッシュ化・そのまま保存
→同じパスワードからでも異なるハッシュ値が生成できる
ペッパー：共通の固定値をパスワードに追加ハッシュ化・固定値は隠しておく
→セキュリティが高い
ペッパーは固定値がサーバーとは別の場所に隠されているため、テーブルが取得出来てもパスワードの解読ができない
パスワードの文字数によるパターン数計算 問7
70種類の使用できる文字があった場合、
パスワードの長さが6字の場合706通り
パスワードの長さが10字の場合7010通り
7010-6＝704倍になる
令和4年 春 通販サイトのセキュリティインシデント対応
余計なものはあらかじめ停止しておく 問1
不要なアカウントの削除、不要なサービスの停止
外部から狙われる可能性のあるものをはじめから停止しておく。
メーカー提供のデフォルト設定のサーバーは様々なサービスが稼働している。
不要なサービスを放置しておくとセキュリティリスクがある。
不要なサービス（ポート）を停止することが不正アクセス防止のセキュリティ対策の基本。
Webアプリケーションを標的にした攻撃を検知・防御 問2
WAF（Web Application Firewall）
アプリケーションの防御に特化したファイアウォール
使用している製品についての必要な管理内容 問3
まず、問題の文章に「全て選ぶ」と記載がある場合、複数選択する可能性があるので注意。
- 名称：現在適用されている製品が適切であるか確認するため
- バージョン：どのバージョンが適用されているかを確認するため
修正プログラムがリリースされるまでの期間の攻撃 問4
ゼロデイ攻撃（または ゼロデイアタック）
ゼロデイ攻撃への暫定対策 問5
脆弱性の回避策を調査
セキュリティレベルが厳しすぎ、正常な通信まで遮断してしまう 問6
過検知
誤検知の性質
- フォールスポジティブ：正常な通信を攻撃と判断し遮断してしまうこと
- フォールスネガティブ：攻撃を正常な通信と判断し通過してしまうこと
覚え方
判断が：合っている→トゥルー／間違っている→フォールス
検知：した→ポジティブ／しなかった→ネガティブ
部署や体制の話が途中から出てきたら注意 問7
インシデント対応チーム
「～～～インシデント対応チームを設置するとともに」など、チームや部署、体制が新しくなりそうな空気があれば気にしておく。
（技術というより日本語の問題のような感じなので問題文はちゃんと読もう・・・）
ネットワーク機器やサーバー、セキュリティソフトなど多様なIT機器から出力されるログを一元的に収集し、リアルタイムで分析して脅威を検知する仕組み 問8
SIEM（Security Information and Event Management／シーム）
令和4年 秋 マルウェア対策
※Emotet(エモテット)攻撃の手口とその対策が題材
ネットワーク構成 問1(1)
FW（ア）
インターネット・DMZ・内部LAN間の通信を制御する
インターネット⇔DMZ／DMZ⇔内部LAN／インターネット✕内部LAN
通過した通信、拒否された通信のログを収集する機能もある
メール中継サーバ（イ）
SPF機能（Sender Policy Framework）は
メールの送信元が偽装されていないか（なりすましメールではないか）を確認する送信ドメイン認証技術なので、外部から社内に送信されるメール（サーバー）で確認する
配布サーバー（ウ）
PCにセキュリティパッチなどを配布するサーバー
DMZ上でキャッシュサーバを稼働させておくと攻撃の踏み台になるリスクがある 問1(2)
DNSリフレクション攻撃
対策：社外からの名前解決要求には応じないようにしておく
ICMPエコー要求パケット 問2(1)
pingコマンド
※ICMP ： Internet Control Message Protocol
IPアドレスを持つ特定の機器に向けてパケットを送信し、正しく届くかを確認する機能
届いたら相手から回答（Echo Reply）が返ってき、その宛先IPアドレスを持つ機器がネットワークに存在することが分かる。（返ってこなければ存在しない）
よって稼働中のホストのIPアドレスが分かる
TCPのSYNパケット 問2(2)
サービスの稼働状況を知ることが目的
ポートスキャンのこと。
攻撃対象のホストで脆弱性のあるサービスが稼働（ポートが解放）しているかをチェックしている。
TCP（Transmission Control Protocol）
インターネットなどのネットワークで、データを正確かつ確実に相手に届けるための通信規約（プロトコル）
- SYN：synchronize（同期）
- ACK：acknowledgment（承認・確認応答）
SYNにより、コネクション開始要求を出しており、相手からSYN／ACKパケットが返ってくればそのサービスは稼働中だと分かる
SPFでなりすましが発見できない理由 問2(3)
送信者のドメインが詐称されているものではないから（ア）
送信者がメールアドレスを偽っているなりすましメールを検知するための仕組み
社外PCからの攻撃メールはドメイン詐称が行われていないため検知できない
（個人的感想：マルウェアを送り込むこととなりすますことは違うから若干気持ち悪い問題）
異常な動きはマルウェアインシデント発生の兆候 問3(1)
ICMPエコー要求パケットの連続した送信
通常はネットワーク管理を除いてICMPエコー要求パケットを使うことがないため
マルウェアを検知したのちの緊急措置 問3(2)
マルウェア感染したPCを隔離する
EDR：Endpoint Detection and Response
PCやスマートフォン、サーバーなどの端末（エンドポイント）を常時監視し、サイバー攻撃による不審な挙動を検知して迅速な対処を行うセキュリティソフトウェア
マルウェア感染が疑われる事象が発生した際は拡散の阻止と被害の防止が必要なため、できるだけ早くマルウェアの封じ込めをする必要がある
今回はネットワークを介して被害を広げるタイプだったため
マルウェア感染した端末を一時的にネットワークから切り離すことが第一。
EDRのR（Response）でネットワークから切り離すことも自動でやってくれる（もちろん人間の確認後の隔離なども可能）
EDR導入後にマルウェアが発生した際、被害内容を早急に明らかにするには 問3(3)
EDRが保存するログの分析
エージェントから受信したログの保存、分析及び分析結果の可視化などの機能があるので
このログの分析機能が使用できる
令和7年 秋 グループ企業のセキュリティ対策
外部からの脅威の侵入をネットワークの入り口で防ぐ考え 問1(a)
境界線防御（ク）
境界（FW）でアクセス制御を実施しているため
しかし近年は境界防御だけではなく、利用者・端末・通信のそれぞれを常に検証する「ゼロトラスト」
入り口・内部・出口などの複数の段階での対策を組み合わせた「多層防御」の考え方が提唱されている。
正しい範囲でアクセスを制限する考え方 問1(b)
need-to-know（ウ）
知る必要がある者だけに知らせる考え方。
業務上必要な範囲にアクセスを制限することが重要。
システム・サーバー・ネットワークのログを収集・分析といえば 問1(d)
SIEM（カ）
Security Information and Event Management
(令和4年春にも出てきた)
どのソフトウェアにどのバージョンが当てられているかなどの管理 問1(e)
SBOM
Software Bill Of Materials （エスボム）
ある製品に含まれるソフトウェアに含まれるすべてのコンポーネントについて、
それらの名称、バージョン・ビルド情報、ライセンス情報、依存関係、その他関連情報を含め機械処理可能なリストにしたソフトウェア部品表
はじめに割り当てられているパスワードは変えましょう 問2
初期
工場出荷時にあらかじめ設定されているパスワード＝初期パスワード
※デフォルトでも可
適切でないものを選択する 問3（1）
Z社グループ各社の個人業務システムを全てセグメントGに移動し、システムの詳細を把握している各社の情報システム部が引き続き管理する。（ウ）
適切でないものを1つ選択する問題なので、4択中明らかに変なことをしているものを選択する。
問題文をよく読まずに適切なものを選択しないように注意
内部不正を抑止する 問3（2）
不正の発覚リスクが高いことが心理的障壁になるから
不正のトライアングル
- 動機・プレッシャー：何とかするには不正を行うしかないという考えに至る心情
- 機会：不正を実行しようと思えばいつでもできる環境
- 正当化：自分の都合の良い理由付けによって、不正行為を自分の中で容認すること
アクセスログを記録している旨を従業員に周知する
→不正のトライアングル「機会」を低減することができる
→内部不正を思いとどめる抑止効果が期待できる
SBOM整備の理由 問3（3）
脆弱性が発見された際に影響範囲を迅速に判断できないこと
業務システムそのものだけではなく、業務システムなどに導入しているソフトウェア製品や利用しているライブラリの脆弱性がソフトウェアサプライチェーン攻撃の起点になることがある。
SBOMを作成していないとせっかく脆弱性情報を入手しても影響範囲をすぐに判断できない。
コメント