問1
Web サーバのログを分析したところ，Web サーバへの攻撃と思われる HTTP リクエストヘッダが記録されていた。次の HTTP リクエストヘッダから推測できる，攻撃者が悪用しようとしていた可能性が高い脆弱性はどれか。ここで，HTTP リクエストヘッダ中の “%20” は空白を意味する。〔HTTP リクエストヘッダの一部〕
GET /cgi-bin/submit.cgi?user=:cat%20/etc/passwd HTTP/1.1
Accept: */*
Accept-Language: ja
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: （省略）
Host: test.example.com
Connection: Keep-Alive
- ア HTTP ヘッダインジェクション (HTTP Response Splitting)
- イ OS コマンドインジェクション
- ウ SQL インジェクション
- エ クロスサイトスクリプティング
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1
問2
SAML（Security Assertion Markup Language）の説明として，最も適切なものはどれか。
- ア Web サービスに関する情報を公開し，Web サービスが提供する機能などを検索可能にするための仕様
- イ 権限がない利用者による読取り，改ざんから電子メールを保護して送信するための仕様
- ウ デジタル署名に使われる鍵情報を効率よく管理するための Web サービスの仕様
- エ 認証情報に加え，属性情報と認可情報を異なるドメインに伝達するための Web サービスの仕様
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問2
問3
暗号化装置における暗号化処理時の消費電力を測定するなどして，当該装置内部の秘密情報を推定する攻撃はどれか。
- ア キーロガー
- イ サイドチャネル攻撃
- ウ スミッシング
- エ 中間者攻撃
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問3
問4
問4 パスワードに使用できる文字の種類の数を M，パスワードの文字数を n とするとき，設定できるパスワードの理論的な総数を求める数式はどれか。
- ア Mⁿ
- イ M!/(M−n)!
- ウ M!/(n!(M−n)!)
- エ (M+n−1)!/(n!(M−1)!)
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4
問5
問５ 標的型攻撃における攻撃者の行動をモデル化したものの一つにサイバーキルチェーンがあり，攻撃者の行動を７段階に分類している。標的とした会社に対する攻撃者の行動のうち，偵察の段階に分類されるものはどれか。
- ア 攻撃者が，インターネットに公開されていない社内ポータルサイトから，会社の組織図，従業員情報，メールアドレスなどを入手する。
- イ 攻撃者が，会社の役員が登録している SNS サイトから，攻撃対象の人間関係，趣味などを推定する。
- ウ 攻撃者が，取引先になりすまして，標的とした会社にマルウェアを添付した攻撃メールを送付する。
- エ 攻撃者が，ボットに感染した PC を遠隔操作して社内ネットワーク上の PC を次々にマルウェア感染させて，利用者 ID とパスワードを入手する。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
問6
量子暗号の特徴として，適切なものはどれか。
- ア 暗号化と復号の処理を，量子コンピュータを用いて瞬時に行うことができるので，従来のコンピュータでの処理に比べて大量のデータの秘匿を短時間で実現できる。
- イ 共通鍵暗号方式であり，従来の情報の取扱量の最小単位であるビットの代わりに量子ビットを用いることによって，瞬時のデータ送受信が実現できる。
- ウ 量子雑音を用いて疑似乱数を発生させて共通鍵を生成し，公開鍵暗号方式で共有することによって，解読が困難な秘匿通信が実現できる。
- エ 量子通信路を用いて安全に共有した乱数列を使い捨ての暗号鍵として用いることによって，原理的に第三者に解読されない秘匿通信が実現できる。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
問7
安全・安心な IT 社会を実現するために創設された制度であり，IPA “中小企業の情報セキュリティ対策ガイドライン”に沿った情報セキュリティ対策に取り組むことを中小企業などが自己宣言するものはどれか。
- ア ISMS 適合性評価制度
- イ IT セキュリティ評価及び認証制度
- ウ MyJVN
- エ SECURITY ACTION
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7
問8
総務省及び国立研究開発法人情報通信研究機構（NICT）が 2019 年 2 月から実施している取組 “NOTICE” に関する記述のうち，適切なものはどれか。
- ア NICT が運用するダークネット観測網において，Mirai などのマルウェアに感染した IoT 機器から到達するパケットを分析した結果を当該機器の製造者に提供し，国内での必要な対策を促す。
- イ 国内のグローバル IP アドレスを有する IoT 機器に対して，容易に推測されるパスワードを入力することなどによって，サイバー攻撃に悪用されるおそれのある機器を調査し，インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。
- ウ 国内の利用者からの申告に基づき，利用者の所有する IoT 機器に対して無料でリモートから，侵入テストや OS の既知の脆弱性の有無の調査を実施し，結果を通知するとともに，利用者が自ら必要な対処ができるよう支援する。
- エ 製品のリリース前に，不要にもかかわらず開放されているポートの存在，パスワードの設定漏れなど約 200 項目の脆弱性の有無を調査できるテストベッドを国内の IoT 機器製造者向けに公開し，市場に流通する IoT 機器のセキュリティ向上を目指す。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
問9
経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver 2.0）”に関する記述のうち，適切なものはどれか。
- ア 経営者が，実施するサイバーセキュリティ対策を投資ではなくコストとして捉えることを重視し，コストパフォーマンスの良いサイバーセキュリティ対策をまとめたものである。
- イ 経営者が認識すべきサイバーセキュリティに関する原則と，経営者がリーダシップを発揮して取り組むべき項目を取りまとめたものである。
- ウ 事業の規模やビジネスモデルによらず，全ての経営者が自社に適用すべきサイバーセキュリティ対策を定めたものである。
- エ 製造業のサプライチェーンを構成する小規模事業者の経営者が，サイバー攻撃を受けた際に行う事後対応をまとめたものである。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9
問10
問10 CRYPTREC の主な活動内容はどれか。
- ア 暗号技術の技術的検討並びに国際競争力の向上及び運用面での安全性向上に関する検討を行う。
- イ 情報セキュリティ政策に係る基本戦略の立案，官民における統一的，横断的な情報セキュリティ対策の推進に係る企画などを行う。
- ウ 組織の情報セキュリティマネジメントシステムを評価して認証する制度を運用する。
- エ 認証機関から貸与された暗号モジュール試験報告書作成支援ツールを用いて暗号モジュールの安全性についての評価試験を行う。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
問11
インターネットバンキングの利用時に被害をもたらす MITB（Man-in-the-Browser）攻撃に有効なインターネットバンクでの対策はどれか。
- ア インターネットバンキングでの送金時に接続する Web サイトの正当性を利用者が確認できるよう，EV SSL サーバ証明書を採用する。
- イ インターネットバンキングでの送金時に利用者が入力した情報と，金融機関が受信した情報とに差異がないことを検証できるよう，トランザクション署名を利用する。
- ウ インターネットバンキングでのログイン認証において，一定時間ごとに自動的に新しいパスワードに変更されるワンタイムパスワードを導入する。
- エ インターネットバンキング利用時の通信を SSL ではなく TLS を利用して暗号化するように Web サイトを設定する。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
問12
問12 JIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）の定義によるクラウドサービス区分の一つであり，クラウドサービスカスタマが表中の項番1と2の責務を負い，クラウドサービスプロバイダが項番3～5の責務を負うものはどれか。
項番 責務
1 アプリケーションソフトウェアに対して，データ利用時のアクセス制御と暗号化の設定を行う。
2 アプリケーションソフトウェアに対して，セキュアプログラミングとソースコードの脆弱性診断を行う。
3 DBMS に対して，修正プログラム適用と権限設定を行う。
4 OS に対して，修正プログラム適用と権限設定を行う。
5 ハードウェアに対して，アクセス制御と物理セキュリティ確保を行う。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12
問13
DNSSEC で実現できることはどれか。
- ア DNS キャッシュサーバが得た応答中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
- イ 権威 DNS サーバと DNS キャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
- ウ 長音 “ー” と漢数字 “一” などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
- エ 利用者の URL の入力誤りを悪用して，偽サイトに誘導する攻撃の検知
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
問14
問14 HTTP Strict Transport Security (HSTS) の動作はどれか。
- ア HTTP over TLS (HTTPS) によって接続しているとき，EV SSL 証明書であることを利用者が容易に識別できるように，Web ブラウザのアドレス表示部分を緑色に表示する。
- イ Web サーバからコンテンツをダウンロードするとき，どの文字列が秘密情報かを判定できないように圧縮する。
- ウ Web サーバと Web ブラウザとの間の TLS のハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
- エ Web サイトにアクセスすると，Web ブラウザは，以降の指定された期間，当該サイトには全て HTTPS によって接続する。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
問15
TLS に関する記述のうち，適切なものはどれか。
- ア TLS で使用する Web サーバのデジタル証明書には IP アドレスの組込みが必須な ので，Web サーバの IP アドレスを変更する場合は，デジタル証明書を再度取得す る必要がある。
- イ TLS で使用する共通鍵の長さは，128 ビット未満で任意に指定する。
- ウ TLS で使用する個人認証用のデジタル証明書は，IC カードにも格納することがで き、利用する PC を特定の PC に限定する必要はない。
- エ TLS は Web サーバと特定の利用者が通信するためのプロトコルであり、Web サー バへの事前の利用者登録が不可欠である。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15
問16
問16 電子メールをスマートフォンで受信する際のメールサーバとスマートフォンとの間の通信を，メール本文を含めて暗号化するプロトコルはどれか。
- ア APOP
- イ IMAPS
- ウ POP3
- エ SMTP Submission
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
問17
利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線LAN環境を実現したい。PC が無線 LAN 環境に接続するときの利用者認証とアクセス制御に，IEEE 802.1X と RADIUS を利用する場合の標準的な方法はどれか。
- ア PC には IEEE 802.1X のサプリカントを実装し，かつ，RADIUS クライアントの機能をもたせる。
- イ アクセスポイントには IEEE 802.1X のオーセンティケータを実装し，かつ，RADIUS クライアントの機能をもたせる。
- ウ アクセスポイントには IEEE 802.1X のサプリカントを実装し，かつ，RADIUS サーバの機能をもたせる。
- エ サーバには IEEE 802.1X のオーセンティケータを実装し，かつ，RADIUS サーバの機能をもたせる。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17
問18
問18 IEEE 802.11a/b/g/nで採用されているアクセス制御方式はどれか。
- ア CSMA/CA
- イ CSMA/CD
- ウ LAPB
- エ トークンパッシング方式
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問18
問19
インターネットに接続された PC の時刻合わせに使用されるプロトコルはどれか。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問19
問20
問20 複数台のレイヤ２スイッチで構成されるネットワークが複数の経路をもつ場合に、イーサネットフレームのループが発生することがある。そのループの発生を防ぐためのTCP/IPネットワークインタフェース層のプロトコルはどれか。
- ア IGMP
- イ RIP
- ウ SIP
- エ スパニングツリープロトコル
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問20
問21
データウェアハウスのメタデータに関する記述のうち，データリネージはどれか。
- ア 誰がどのデータを見てよいかを示す情報であり，適切なアクセス制御を目的として設定される。
- イ データが誰によって作られ管理されているかを示す情報であり，データ構造やデータ辞書を見ても意味が分からないときの問合せ先を表す。
- ウ データがどこから発生し，どのような変換及び加工を経て，現在の形になったかを示す情報であり，データの生成源の特定又は障害時の影響調査に利用できる。
- エ データ構造がどのように定義されているかを示す情報であり，Web サイトなどに公開して検索できるようにする。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問21
問22
システムに規定外の無効なデータが入力されたとき，誤入力であることを伝えるメッセージを表示して正しい入力を促すことによって，システムを異常終了させない設計は何というか。
- ア フールプルーフ
- イ フェールセーフ
- ウ フェールソフト
- エ フォールトトレランス
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問22
問23
JIS X 0160:2021（ソフトウェアライフサイクルプロセス）によれば，ライフサイクルモデルの目的及び成果を達成するために，ライフサイクルプロセスを修正するか，又は新しいライフサイクルプロセスを定義することを何というか。
- ア シミュレーション
- イ 修整（Tailoring）
- ウ 統治（Governance）
- エ ベンチマーキング
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問23
問24
問24 サービス提供時間帯が毎日 0～24 時の IT サービスにおいて，ある年の 4 月 1 日 0 時から 6 月 30 日 24 時までのサービス停止状況は表のとおりであった。システムバージョンアップ作業に伴う停止時間は，計画停止時間として顧客との間で合意されている。このとき，4 月 1 日から 6 月 30 日までの IT サービスのサービス可用性は何％か。ここで，サービス可用性（％）は小数第 3 位を四捨五入するものとする。
［サービス停止状況］
停止理由 | 停止時間
システムバージョンアップ作業に伴う停止 | 5 月 2 日 22 時から 5 月 6 日 10 時までの 84 時間
ハードウェア故障に伴う停止 | 6 月 26 日 10 時から 20 時までの 10 時間
- ア 95.52
- イ 95.70
- ウ 99.52
- エ 99.63
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問24
問25
金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）” におけるアクセス管理に関して，内部統制のうちの IT に係る業務処理統制に該当するものはどれか。
- ア 組織としてアクセス管理規程を定め，統一的なアクセス管理を行う。
- イ 組織としてアクセス権限の設定方針を定め，周知徹底を図る。
- ウ 組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者 IDとパスワードによって認証する機能を設ける。
- エ 組織内の全ての利用者に対して，アクセス管理の重要性についての教育を行う。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25