情報処理安全確保支援士 2022年 春期 午後I 問題

共通の文章

Webアプリケーションプログラム開発のセキュリティ対策に関する次の記述を読ん で,設問1て3に答えよ。 H社は,Webアプリケーションプログラム(以下,Webアプリという)を開発する 従業員200名の会社である。H社では,開発部がWebアプリを開発し,情報セキュ ぜい リティ部が,表1に示す方法に従って,脆弱性検査を実施する。 表1脆弱性検査の方法(抜粋) |項番|脆弱性検査の方法脆弱性が検出された場合の対策方法 1 HTTPヘッ|利用者の入力を基にHTTPレス(省略) ダインジェ|ポンスペヘッダを生成する処理に クションおいて,①改行コードを意味す る文字列を入力したときに, HTTPヘッダフィールドが追加 されないことを確認する。 (省略) 2|SQLインジ|(省略)SQL文の組立てにおいて,SQL文のひ soyきな形の中に②変数の場所を示す?記号 を置く技法を利用する。 3|メールヘッ|(省略)次のいずれかの対策を実施する。 ダインジェ(1)メールヘッダを固定値にする。 クション(2)外部からの入力を適切に処理する メール送信用APIを使用する。 (3)外部からの入力の全てについて, | 。|を削除する。 開発部では,自部で開発したSシステムというWebシステムを利用して,コーデ ィングルールなどの社内ルールを含む各種の情報を共有している。Sシステムの利用 者は,ログイン後に情報の投稿と表示を行うことができる。投稿された情報はデー タベースに格納される。 ログインから情報表示までのSシステムの画面遷移を表2に示す。 ーー2ーー 表2ログインから情報表示までの$Sシステムの画面遷移 利用者の操作操作の結果 i Sシステムのログイ|ログインが成功すると,次の画面がWebブラウザに表示される。 ン画面にアクセス|なお,下線はリンクであることを示している。 し,利用者IDとパ スワードを入力すURL|https://(省略)/menu Ss-情報の投稿 内情報の表示 (省略) 2表示された画面の|“情報選択機能"が呼び出され,次の画面がWebブラウザに表示 "情報の表示"を|される。プルダウンには,表示できる情報の情報番号と情報名が クリックする。リストされる。 URL|https://(省略)/select 表示したい情報の情報番号,情報名を 選んでください。 |。|wl |a Seve 3プルダウンから表|“情報表示機能”が呼び出され,次の画面りがWebブラウザに表 示したい情報を選|示される。 RL,“表示"ボタ ンをクリックすURL|https://(省略)/show?no=1001 Be番号1001 コーディングルール (省略) I注記利用者のログイン後,セッションIDでセッション管理を行っている。セッションIDは,ロ グイン時に発行される推測困難な値であり,secure属性が付与されたcookieに格納される。 =?プルダウンから,表示したい情報として“番号1001コーディングルール"を選択した場合 を示している。 [Sシステムの改修におけるアクセス制御要件の追加] 開発部で新しいプロジェクトを立ち上げることになり,開発部の各プロジェクト 内の情報共有を強化することにした。開発部は,次のようにSシステムを改修する方 針とした。 ・社内ルールだけでなく,各プロジェクトの計画書や各種の設計情報を各プロジェ にーー3ーー クト内で共有できるようにする。 ・各プロジェクトの計画書や各種の設計情報については,情報が表示できる利用者 を,情報の作成者と同じプロジェクトに参加する利用者に限定できるようにする。 なお,開発部員は,一時期にはーつのプロジェクトだけに参加する。同時に複数 のプロジェクトには参加しない。 開発部のDさんが,Sシステム改修の担当者に任命され,利用者のアクセス制御を 次のように設計した。 ・プロジェクトを識別するプロジェクトIDを連番で採番する。 ・利用者IDそれぞれに対して,その利用者が参加するプロジェクトのプロジェクト IDを登録しておく。 ・Sシステムに格納される各情報に,作成者の参加するプロジェクトを示すプロジェ クトIDをあらかじめ付与しておく。 ・プロジェクトIDを次に示す方法で取得し,そのプロジェクトIDを用いてアクセス 制御する。 方法1:ログイン時にその利用者IDに対して登録されているプロジェクトID ER 得し,GETリクエストのクエリ文字列に,“id=プロジェクトID”OW 式で指定する。情報選択機能は,クエリ文字列からプロジェクトIDを取 得する。 (情報選択機能の脆弱性 Sシステム改修後の脆弱性検査で,情報セキュリティ部は,プロジェクトの情報番 号と情報名を,そのプロジェクトには参加していない利用者が,③そのプロジェク トに参加しているかのように偽ってリスト可能であるという脆弱性を指摘した。こ れは,情報選択機能においてクエリ文字列で受け取ったプロジェクトIDをチェック せずに利用していることに起因していた。この指摘を受けて,Dさんは,プロジェク トIDの取得方法として,次に示す別の方法を提示した。 方法2:情報選択機能の利用時に,セッション情報から利用者情報を取得する。情 報選択機能は,当該利用者情報からプロジェクトIDを取得する。 ーォ4ー 情報セキュリティ部は,④方法1の脆弱性が方法2で解決されることを確認した。 Dさんは,プロジェクトIDの取得方法を方法2に修正した。 情報選択機能及び情報表示機能が参照するデータベースのE-R図を図1に,EB の情報選択機能のソースコードを図2に示す。 利用者テーブルプロジェクト管理テーブル情報管理テーブル 利用者DプロジェクトID情報番号 プロジェクトDプロジェクト名プロジェクトID ::情報名 情報内容 人| ーー-*i ieエンティティ名 属性名注記属性名の実線の下線____は主キー, 属性名破線の下線--_-__-は外部キーを示す。 属性名主キーの実線が付いている属性名には, i外部キーの破線を付けていない。 図1参照するデータベースのE-R図 (省略)//package宣言,import宣言など 1:public class SelectServlet extends HttpServlet{ (省略)//変数の宣言やメソッドの定義など 2:protected void doGet(HttpServletRequest request,HttpServletResponse response) throws ServletException,IOException{ 3:java.sql.Connection con=null; 4:try{ (省略)//初期化処理など 5:con=java.sql.DriverManager.getConnection((省略))://データベースに接 続する処理 6:int projectId=(省略)://利用者の参加プロジェクトのプロジェクトIDを利用 者テーブルから取得し,代入する処理 we String sql="SELECT情報番号,情報名FROM情報管理テーブルWHEREプロジェ クトID=2”; 8:java.sql.[>|stmt=con.prepareStatement(sql); 9:[|。setmt,projectld): 10:java.sql.ResultSet rs=stmt.executeQuery(); (省略)//例外処理やその他の処理 図2修正後の情報選択機能のソースコード —5= [情報表示機能の脆弱性] 情報セキュリティ部は,情報表示機能にも情報選択機能と同様の脆弱性があるこ とを指摘した。Dさんは,情報表示機能にも同様の修正を行った。修正後の情報表示 機能のソースコードを図3に示す。 (省略)//package宣言,import宣言など 1:public class ShowServlet extends HttpServlet{ (省略)//変数の宣言やメソッドの定義など 2:protected void doGet(HttpServletRequest request,HttpServletResponse response) throws ServletException,IOException{ 3:int documentNo=Integer.parseInt(request.getParameter(”no”)); 4:java.sql.Connection con=null;, 5:try{ (省略)//初期化処理など 6:con=java.sql.DriverManager.getConnection((省略))://データベースに接 続する処理 7:int projectld=(省略)://利用者の参加プロジェクトのプロジェクト1Dを利用 者テーブルから取得し,代入する処理 8:String sql="SELECT情報番号,情報名,情報内容FROM情報管理テーブルWHERE 9:java,sal.[bp|stmt=con.prepareStatement(sql): (省略)//SQL文のひな型に変数を代入する処理 10:java.sql.ResultSet rs=stmt.executeQuery(); (省略)//例外処理やその他の処理 注記10行目より後の(省略)に,projectld,documentNoを用いた処理はない。 図3修正後の情報表示機能のソースコード 情報セキュリティ部による脆弱性検査に合格後,Sシステムの改修版がリリースさ れ,各プロジェクト内の情報共有が強化された。

共通の文章

セキュリティインシデント対応に関する次の記述を読んで,設問1ー4に答えよ。 Z社は,Network Attached Storage(NAS)製品,ルータ製品などのネットワーク機 器を開発,保守している従業員200名の会社であり,国内の中小企業の顧客を中心に 事業を展開している。NAS製品である製品Xは,ファイル共有の用途で利用され, ルータ製品である製品Yは,インターネット接続の用途で利用されている。製品X及 び製品Yは,LinuxをベースとしたOSを搭載している。 Z社では,インターネットドメイン名z-sha.co.jpを取得している。製品Xの利用者 lk,インターネットからWebインタフェース経由で自身の製品Xにアクセスするに 際して,Z社が提供しているダイナミックDNSサービス(以下,DDNS-Zという)を 利用することができる。 [障害の発生] ある日,製品Xと製品Yを利用しているA社から,Z社の保守サポート窓口に障害 の報告が入った。製品X(以下,A社に設置された製品XをNAS-Aという)EDD ァイルにおいて,ファイル名は表示されるがファイルを開くことができないとのこ どとであった。 障害報告によると,A社は,オフィス環境のデザイン及び施工を行う従業員30名 の会社であり,デザインデータのファイルをNAS-Aに保存して社内で共有している。 在宅勤務者の増加に伴い,7日前に,NAS-A及び製品Y(以下,A社に設置された製 品Yをルータ-Aという)の設定を変更して,A社の従業員の自宅からNAS-A上のフ ァイルにアクセスできるようにしていた。 [NAS-A及びルータ-Aの調査 Z社の保守サポート課のK氏は,A社の障害調査を担当することになった。 NAS-Aは,DDNS-Zを使用して,https://nas-a.z-sha.co.jp/のURLでアクセスできる ようになっていた。ルータ-AのグローバルIPアドレスが変更された場合,Z HO DNSサーバの設定でホスト名mas-aに割り当てているIPアドレスを変更するために, [a|レコードを更新する。そのレコードの| b|は,300秒に設定され でゆいだ。 ーg一 A社のネットワーク構成を図1に,NAS-Aの設定内容を表1に,ルータ-Aの設定 内容を表2に示す。 Cite aos<TH ー 図1 A社のネットワーク構成(抜粋) 表1 NAS-Aの設定内容(抜粋) ファイル共|・SMB:有効有効に設定したプロトコルで,ファイルを 有機能・NES:無効共有する。 UPnP"設定|・有効左記の設定にすると,製品YのWAN側ポ 要求機能・製品YのWAN側TCPポート:443|一宛てのパケットをNAS-Aのポートにフ ・NAS-AのTCPポート:443オォワードする設定を製品Yに要求する。 Web操作機|・有効WebブラウザからHTTPSで,一般利用者 能権限のアカウントで本機能にログイン後, ファイルの操作ができる。 Web管理機|・有効WebブラウザからHTTPで,管理者権限の 能アカウントで本機能にログイン後,NAS-A の設定変更などができる。 注"Universal Plug and Playの略称。認証なしでリクエストを受け付ける仕様のプロトコルである。 表2ルータ-Aの設定内容(抜粋) HH ファイアウ|・インバウンド通信:全て拒否ステートフルパケットインスペクション型 ォール機能|・アウトバウンド通信:全て許可である。 UPnP機能・LAN側:有効LAN側の機器から受け付けたリクエストの ABC,ポートフォワーディングの設定と ファイアウォール機能の設定を行う。① WAN側は,本機能を有効にできない仕様に なっている。 注記ルータ-Aがインターネットに接続するためのISP回線では,グローバルIPアドレスが動的に割 り当てられる。 SE UPnP機能による設定が優先される。 K氏がNAS-Aを調査した結果,次のめことが分かった。 ・デザインデータのファイルが暗号化され,ファイル名の拡張子が変更されていた。 ・A社では身に覚えのない,英語で書かれた脅迫文のテキストファイルが,NAS-Aに =a 9— 保存されていた。 ・ファイル共有機能でもWeb操作機能でもアクセスできない/rootディレクトリ配下 のファイルも暗号化されていた。 K氏は,今回の障害がランサムウェアに起因するものであり,さらに,⑫A社の PCがランサムウェアに感染したのではなく,NAS-A自体がランサムウェアに感染し たことによってNAS-Aのファイルが暗号化された可能性が高いと判断した。そこで, ぜい 脆弱性,アクセスログ,DDNS-Zの三つの観点から更に調査を進めることにした。 [脆弱性の調査 NAS-Aにおける脆弱性修正プログラムの適用状況を確認したところ,数週間前に リリースされた製品Xの脆弱性修正プログラム(以下,パッチMという)が未適用 であった。パッチMは,Web管理機能に関する二つの脆弱性(以下,脆弱性1と脆 弱性2という)について対策したものである。脆弱性1及び脆弱性2の概要を図2に 示す。 脆弱性1 製品Xでは,除外リストリに次のディレクトリが指定されている。 /css /images /js 認証なしアクセスの処理に脆弱性があり,除外リストに指定されていないディレクトリ配下のファ イルにも認証なかしでアクセスできてしまう。例えば,http:/192.168.0.1/images/..%2fstatus.cgiのURLに アクセスすると,http:/192.168.0.1/status.cgiに認証なしでアクセスできてしまう。これは,URLに ”.….%2f”を使用した[<|と呼ばれる攻撃手法である。 脆弱性2 製品Xには,Web管理機能のーつとして,IPアドレスを指定してpingを実行する機能がある。この IPアドレスの処理に脆弱性があり,HERO OSコマンドを実行できてしまう。次は,その脆弱性を悪 用した例であり,“ping 127.0.0.1;whoami”というコマンドが実行される。 POST/ping.cgi HTTP/1.0 Content-Length:21 addr=127.0.0.1:whoami |図2脆弱性1及び脆弱性2の概要 これは,| 』|と呼ばれる攻撃手法である。脆絞性1と脆弱性2を組み合わせると,認証なし で任意の0Sコマンドの実行が可能になる。次は,その例である。 POST/images/..%2fping.cgi HTTP/1.0 Content-Length:21 addr=127.0.0.1;whoami SE除外リストに指定されたディレクトリ配下のファイルには,認証なしでアクセスできる。除外リ ストは,利用者が変更できない。 図2脆弱性1及び脆弱性2の概要(続き) パッチMでは,脆弱性1の対策として,認証なしアクセスの処理の流れにパス名 の正規化の処理を加え,さらに,図3に示す順序にした。パス名の正規化とは,相対 パスで記述されたパス名を,相対パス記法を含まない形式に変換することである。 Loe]>ぅ>し』] 図3パッチM適用後の認証なかしアクセスの処理の流れ [アクセスログの調査 NAS-Aのアクセスログを調査したところ,外部からHTTPSリクエストを使用して OSコマンドを実行する攻撃ツール(以下,WebShellという)がNAS-Aに配置されて おり,OSSコマンドが実行されたことが分かった。NAS-Aのアクセスログから WebShellに関連するものを抽出した結果を表3に示す。 表3 WebShellに関連するNAS-Aのアクセスログ 応答バイト数 POST/images/..%2fping.cgi HTTP/1.1 |89|13:18|POST/imagesshellcgiHTTP11|200|2490 注記一部の項目は省略している。 表3からは,GETメソッドを使用して実行されたOSコマンドの内容は分かった が,③POSTメソッドを使用して実行されたOS AVYドの内容は分からなかった。 WebShellが配置されたディレクトリは,書込み不可であるが,rootアカウントを用い れば書込み可能に変更できる。製品Xでは,sudoコマンドの設定ファイルが図4の ようになっている。 図4 sudoコマンドの設定ファイル(抜粋) tarコマンドは,標準の0Sコマンドであり,複数のファイルを一つのアーカイブフ ァイルにまとめたり,アーカイブファイルを展開したりできる。製品Xでは,ファー ムウェアのアップデート時,wwwアカウントの権限でsudoコマンドを使用してtar コマンドを実行することで,rootアカウントの権限でアーカイブファイルを展開して いる。このtarコマンドには,任意のOSコマンドを実行できるオプションがある。 ただし,ファームウェアのアップデート時にこのオプションは使用していない。当 該オプションを悪用する例を図5に示す。 図5 tarコマンドのオプションを悪用する例 K氏は,“攻撃者が,Web管理機能の脆弱性とtarコマンドのオプションを悪用し, 書込み不可のディレクトリを書込み可能に変更してWebShellを配置した後, WebShellを使用してランサムウェアを実行した”と推測した。そこで,ORG XT tarコマンドのオプションが悪用されるのを防ぐ対策を検討することにした。 [DDNS-Zの調査 DDNS-Zを使用して製品XにアクセスするためのURL ld,インターネットの検索 エンジンで特定のキーワードを検索すると容易に見つけることができてしまい,攻 撃対象になりやすいことが分かった。インターネットの検索エンジンで検索されな いようにするために,各Webページの<head>セクションに<meta name="robots" content="[_h__|">を記載することを検討した。 ー12一 これまでの検討を踏まえ,A社及び2社は必要な対策に着手した。

共通の文章

スマートフォン向けQRコード決済サービスの開発に関する次の記述を読んで,設 間1ユー3に答えよ。 L社は,様々なWebサービスを提供している従業員8.000名の企業である。市場環 境の変化に合わせ,L社は,QRコードを利用した実店舗向けの決済サービス(以下, Qサービスという)を提供することを決め,Qサービス用のサーバプログラムと,Q サービスを利用するためのスマートフォン向けアプリケーションプログラム(以下, Qアプリという)を開発することになった。 システム開発部門のBさんは,Qサービス用のサーバプログラム及びQアプブリの 開発責任者に任命された。 【Qサービス用のサーバプログラム及びQ TY OZ) Qサービス用のサーバプログラム及びQアプリの機能ごとの概要を表1に示す。 表1 0サービス用のサーバプログラム及びQアプリの機能ごとの概要 アカウント作|・Qサービスのアカウント情報として,利用者IDとパスワード,氏名,生年月 成日,携帯電話番号を登録する。 Qサービスへ|・利用者IDとパスワードでQサービスにログインする。ログインに連続して5 のログイン回失敗すると,アカウントが一時的にロックされる。 銀行口座との|・利用者の銀行口座しのひも付けを行う。手順を次に示す。 ひも付け(1)Qアプリ上では,Qサービスの連携先としてあらかじめL社と契約した 銀行がリストされている。利用者は,そのリストから銀行を一つ選択す る。選択された銀行には,利用者を認証するために,Qサービスを介して アカウント情報の氏名が提供される。 (2)次に,当該銀行が運用する口座振替登録用のWeb画面が開かれるので 利用者は,口座番号,キャッシュカードの数字4桁の暗証番号を入力す る。 (3)①)で提供された情報と(②で入力された情報が共に正しけれはば認証に成 功し,アカウントと利用者の銀行口座とのひも付けが完了する。連続して 認証に5回失敗すると,当該口座とのひも付けができなくなる。 ・ひも付けた銀行口座から,指定した金額をQサービスのアカウントに入金す る。 決済・利用者がQアプリでQRコードを表示する。コンビニエンスストアなどの店 舗は専用機器を使って当該QNRコードを読み取り,決済する。支払には,Q サービスのアカウントの残高が利用される。 ・Qアプリ上のQRコードは,Qサービスが自動的に生成する。 表1 0Qサービス用のサーバプログラム及び0アプリの機能ごとの概要(続き) 利用者間の送|・送金する相手の携帯電話番号と送金する金額を指定して送金する。送金に 注記銀行口座とのひも付け,チャージ,決済,利用者間の送金を行うには,Qサービスへのログ インが必要である。 3”将来追加予定の機能である。 〔本人確認〕 Bさんは,上司である情報処理安全確保支援土(登録セキスペ)のC課長に表1を レビューしてもらった。C課長は,Qサービス及びQアプリが他人名義で利用された り,他人のアカウントで不正にログインされたりすることを防ぐためには,表1のア カウント作成とQサービスへのログインの方法では本人確認が不十分であると指摘 した。 C課長は,経済産業省が2020年に公表した“オンラインサービスにおける身元確 認手法の整理に関する検討報告書"を確認するように指示した。当該報告書では, 本人確認の構成要素は,身元確認と当人認証であると整理されている。身元確認は, “登録する氏名・住所・生年月日等が正しいことを証明確認すること"と定義さ れている。また,当人認証は,“認証の3要素のいずれかの照合で,その人が作業し ていることを示すこと"と定義されている。したがって,Qサービスにおいては,表 1の| 』|時に身元確認を,表1の|b|時に当人認証を実施することに なる。 [身元確認 Bさんは,身元確認についてどのような方法があるのかを調査したところ,“犯罪 による収益の移転防止に関する法律施行規則"(以下,犯収法規則という)に規定が あることが分かった。犯収法規則の規定を参考にすると,銀行側が利用者の身元確 認を行い,DO,銀行がその記録を保存していることを社が確認すれば,Qサービ スの| 』|時の身元確認を実施したとみなせるとBさんは考え,C課長に相談 した。 C課長は,表1の銀行口座とのひも付けでは,キャッシュカードの所持が確認され ず,暗証番号で照合されるだけなので,攻撃者が他人の氏名でアカウント作成を行 ー15— い,①他人の銀行口座とのひも付けを行うリスクを低減するためには,L社が表1の | 』|時に身元確認を実施する必要があると指摘した。 L社には対面で身元確認できる店舗がなく,身元確認の手続を郵送で行うことにな ると,利用者がQサービスを利用するまでに時間が掛かる。Bさんは,身元確認をオ ンラインで行う方法をC課長に相談した。 C課長は,将来,Qサービスには利用者間の送金機能などが追加されることを考慮 し,金融庁が公表している“犯罪収益移転防止法におけるオンラインで完結可能な 本人確認方法の概要”の個人顧客向けの本人確認方法が採用できると考えた。そこ Cs表2のように整理してBさんに説明した。 表2個人顧客向けの本人確認方法 FE分類==|お業。 1|本人確認書類を用いた方法|次の2点を用いた方法 付き本人確認書類の画像 ・容貌の画像 2次の2点を用いた方法 ・付き本人確認書類のICチップ情幸 ・容貌の画像 3次の2点を用いた方法 ・本人確認書類の画像又はIC Fy THR ・銀行等への顧客情報の照会 4次の2点を用いた方法 ・本人確認書類の画像又はICチップ情報 ・顧客名義口座への振込み |5|電子証明書を用いた方法|公的個人認証サービスの署名用電子証明書"を用いた方法 |6|民間事業者発行の電子証明書を用いた方法 注りマイナンバーカードに記録された署名用電子証明書 次は,表2についてのBさん及びC課長の会話である。 Bさん:項番5のセキュリティが強固だと思うので,項番5をQサービスに導入する 場合の本人確認方法について詳しく教えてください。 C課長:マイナンバーカードには,地方公共団体情報システム機構が発行した署名 用電子証明書などが格納されている。Qサービスの利用者は,NFC機能の あるスマートフォンを利用して,マイナンバーカードを読み取り,署名用 電子証明書のパスワードをQアプリに入力する。入力されたパスワードが 正しい場合,マイナンバーカード内の| d|でQサービスの申込用の データにデジタル署名し,当該デジタル署名,当該データ本体,署名用電 子証明書をQサービスに送付する。Qサービス側で,デジタル署名が利用者 本人のものであり,改ざんされていないことをQサービスの利用者の Le|を用いて確認した後,地方公共団体情報システム機構に |{|を確認する。 Bさん:項番5の方法では,利用者がNFC機能のあるスマートフォンとマイナンバ ーカードを用意する必要があるのですね。それならば,項番1の方が,利用 者にとっては利用しやすい方法と言えそうです。項番1では,注意点はあり ETD, C課長:項番1では事前に準備した他人の画像を用いられないようにする必要がある。 Bさん:どうすればよいでしょうか。 C課長:完全な対策はないが,政府が犯収法規則の改正において意見公募を実施し た際の“警察店及び共管各省庁の考え方”に記載されている方法を採用す SL,“Qアプリが毎回ランダムな数字を表示し,利用者が|g|して, 直ちに送信することによって,L社では提出された画像が事前に準備された ものではないことを確認する"という方法が考えられる。この方法で身元 確認しよう。 Bさん:分かりました。 (当人認証) Bさんは,Qサービスの当人認証を強化する方法を検討し,利用者IDとパスワー ドによる認証後にSMSで認証コードを利用者に送り,入力させる方法を実装するこ とを考えた。 一方,利便性を向上させるために,ログインが成功した場合は,1か月間。ログイ ン状態を保持することを考えた。しかし,②Qサービスにログインした状態で,スマ ートフォンの画面ロックを設定していないと,Qサービスが不正利用されることがあ Boそこで,Qサービスにログインした状態を保持することにした上で,③Qアプリ に不正利用を防ぐための機能を追加することにした。 Wye これまでの検討を踏まえ,Bさんは,Qサービス用のサーバプログラムとQアプリ の開発を進めた。