問1
クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。
- ア Web サイトでの決済などの重要な操作の都度，利用者のパスワードを入力させる。
- イ Web サイトへのログイン後，毎回異なる値を HTTP レスポンスボディに含め，Web ブラウザからのリクエストごとに送付されるその値を，Web サーバ側で照合する。
- ウ Web ブラウザからのリクエスト中の Referer によって正しいリンク元からの遷移であることを確認する。
- エ Web ブラウザからのリクエストを Web サーバで受け付けた際に，リクエストに含まれる“<”，“>”などの特殊文字を，“<”，“>”などの文字列に置き換える。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1
問2
送信者から受信者にメッセージ認証符号（MAC：Message Authentication Code）を付与したメッセージを送り，次に受信者が第三者に転送した。そのときの MAC に関する記述のうち，適切なものはどれか。ここで，共通鍵は送信者と受信者だけが知っており，送信者と受信者のそれぞれの公開鍵は第三者を含めた3名が知っているものとする。
- ア MAC は，送信者がメッセージと共通鍵を用いて生成する。MAC を用いると，受信者がメッセージの完全性を確認できる。
- イ MAC は，送信者がメッセージと共通鍵を用いて生成する。MAC を用いると，第三者が送信者の真正性を確認できる。
- ウ MAC は，送信者がメッセージと受信者の公開鍵を用いて生成する。MAC を用いると，第三者がメッセージの完全性を確認できる。
- エ MAC は，送信者がメッセージと送信者の公開鍵を用いて生成する。MAC を用いると，受信者が送信者の真正性を確認できる。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問2
問3
PKI（公開鍵基盤）を構成する RA（Registration Authority）の役割はどれか。
- ア デジタル証明書にデジタル署名を付与する。
- イ デジタル証明書に紐づけられた属性証明書を発行する。
- ウ デジタル証明書の失効リストを管理し，デジタル証明書の有効性を確認する。
- エ 本人確認を行い，デジタル証明書の発行申請の承認又は却下を行う。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問3
問4
問4 標準化団体 OASIS が，Web サイトなどを運営するオンラインビジネスパートナー間で認証，属性及び認可の情報を安全に交換するために策定したものはどれか。
- ア SAML
- イ SOAP
- ウ XKMS
- エ XML Signature
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4
問5
送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスがホストに割り振られていない未使用の IP アドレスである SYN/ACK パケットを大量に観測した場合，推定できる攻撃はどれか。
- ア IP アドレス A を攻撃先とするサービス妨害攻撃
- イ IP アドレスA を攻撃先とするパスワードリスト攻撃
- ウ IP アドレス A を攻撃元とするサービス妨害攻撃
- エ IP アドレス Aを攻撃元とするパスワードリスト攻撃
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5
問6
X.509 における CRL に関する記述のうち，適切なものはどれか。
- ア RFC 5280 では，認証局は，発行したデジタル証明書のうち失効したものについては，シリアル番号を失効後１年間 CRL に記載するよう義務付けている。
- イ Web サイトの利用者の Web ブラウザは，その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
- ウ 認証局は，発行した全てのデジタル証明書の有効期限を CRL に記載する。
- エ 認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載する。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
問7
ISMAP-LIU クラウドサービス登録規則（令和 6 年 3 月 1 日最終改定）での ISMAP-LIU に関する記述として，適切なものはどれか。
- ア JIS Q 27001 に加え，JIS Q 27017 に規定されたクラウドサービス固有の管理策が適切に導入，実施されていることも認証する。
- イ アウトソーシング事業者が記述したセキュリティの内部統制に対しても，監査法人が評価手続を実施した結果とその意見を表明する。
- ウ リスクの小さな業務・情報の処理に用いる SaaS サービスを対象とする。
- エ 我が国の政府機関などにおける情報セキュリティのベースライン，及びより高い水準の情報セキュリティを確保するための対策事項を規定している。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7
問8
組織のセキュリティインシデント管理の成熟度を評価するために Open CSIRT Foundation が開発したモデルはどれか。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
問9
問9 JVN などの脆弱性対策ポータルサイトで採用されている CWE はどれか。
- ア IT製品の脆弱性を評価する手法
- イ 製品を識別するためのプラットフォーム名の一覧
- ウ セキュリティに関連する設定項目を識別するための識別子
- エ ソフトウェア及びハードウェアの脆弱性の種類の一覧
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9
問10
FIPS PUB 140-3 はどれか。
- ア 暗号モジュールのセキュリティ要求事項
- イ 情報セキュリティマネジメントシステムの要求事項
- ウ デジタル証明書や証明書失効リストの技術仕様
- エ 無線LANセキュリティの技術仕様
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
問11
セキュリティ対策として，CASBを利用した際の効果はどれか。
- ア クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して脆弱性診断を行うことによって，脆弱性を特定できる。
- イ クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。
- ウ クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASBを利用してDDoS攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
- エ クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASBを利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11
問12
不特定多数の利用者に無料で開放されている公衆無線LANサービスのアクセスポイントと端末で利用される仕様として，Wi-Fi Alliance の Enhanced Open によって新規に規定されたものはどれか。
- ア 端末でのパスワードの入力で，端末からアクセスポイントへの接続が可能となる仕様
- イ 端末でのパスワードの入力で，端末とアクセスポイントとの通信の暗号化が可能となる仕様
- ウ 端末でのパスワードの入力なしに，端末からアクセスポイントへの接続が可能となる仕様
- エ 端末でのパスワードの入力なしに，端末とアクセスポイントとの通信の暗号化が可能となる仕様
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12
問13
HTTP Strict Transport Security (HSTS) の動作はどれか。
- ア HTTP over TLS (HTTPS) によって接続しているとき，接続先のサーバ証明書がEV SSL証明書である場合とない場合で，Webブラウザのアドレス表示部分の表示を変える。
- イ Webサーバからコンテンツをダウンロードするとき，どの文字列が秘密情報かを判定できないように圧縮する。
- ウ WebサーバとWebブラウザとの間のTLSのハンドシェイクにおいて，一度確立したセッションとは別の新たなセッションを確立するとき，既に確立したセッションを使って改めてハンドシェイクを行う。
- エ Webブラウザは，Webサイトにアクセスすると，以降の指定された期間，当該サイトには全てHTTPSによって接続する。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
問14
IEEE 802.1X におけるサプリカントはどれか。
- ア 一度の認証で複数のサーバやアプリケーションを利用できる認証システム
- イ クライアント側から送信された認証情報を受け取り，認証を行うシステム
- ウ クライアント側と認証サーバの仲介役となり，クライアント側から送信された認証情報を受け取り，認証サーバに送信するネットワーク機器
- エ 認証を要求するクライアント側の装置やソフトウェア
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
問15
問15 DNS において DNS CAA (Certification Authority Authorization) レコードを設定することによるセキュリティ上の効果はどれか。
- ア Web サイトにアクセスしたときの Web ブラウザに鍵マークが表示されていれば当該サイトが安全であることを，利用者が確認できる。
- イ Web サイトにアクセスする際の URL を短縮することによって，利用者の URL の誤入力を防ぐ。
- ウ 電子メールを受信するサーバでスパムメールと誤検知されないようにする。
- エ 不正なサーバ証明書の発行を防ぐ。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15
問16
電子メール又はその通信を暗号化する三つのプロトコルについて，公開鍵を用意する単位の組合せのうち，適切なものはどれか。表の列見出し：PGP、S/MIME、SMTP over TLS
- ア PGP：メールアドレスごと、S/MIME：メールアドレスごと、SMTP over TLS：メールサーバごと
- イ PGP：メールアドレスごと、S/MIME：メールサーバごと、SMTP over TLS：メールアドレスごと
- ウ PGP：メールサーバごと、S/MIME：メールアドレスごと、SMTP over TLS：メールアドレスごと
- エ PGP：メールサーバごと、S/MIME：メールサーバごと、SMTP over TLS：メールサーバごと
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
問17
問17 ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM (Software Bill of Materials) はどれか。
- ア ソフトウェアの脆弱性に対する，ベンダーに依存しないオープンで汎用的な深刻度の評価方法
- イ ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス，組織体制などをまとめたガイドライン
- ウ ソフトウェアを構成するコンポーネント，互いの依存関係などのリスト
- エ 米国の非営利団体 MITRE によって策定された，ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17
問18
TCP ヘッダに含まれる情報はどれか。
- ア 宛先ポート番号
- イ 送信元 IP アドレス
- ウ パケット生存時間（TTL）
- エ プロトコル番号
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問18
問19
TCP のサブミッションポート（ポート番号 587）の説明として，適切なものはどれか。
- ア FTP サービスで，制御用コネクションのポート番号 21 とは別にデータ転送用に使用する。
- イ Web サービスで，ポート番号 80 の HTTP 要求とは別に，サブミットボタンをクリックした際の入力フォームのデータ送信に使用する。
- ウ コマンド操作の遠隔ログインで，通信内容を暗号化するために TELNET のポート番号 23 の代わりに使用する。
- エ 電子メールサービスで，迷惑メール対策などのために SMTP のポート番号 25 の代わりに使用する。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問19
問20
Web サーバから送信される HTTP ヘッダーのうち，Web サーバからの応答の内容を，Web ブラウザやプロキシサーバなどのキャッシュに保持させないようにするものはどれか。
- ア Cache-Control: no-cache
- イ Cache-Control: no-store
- ウ Cache-Control: private
- エ Cache-Control: public
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問20
問21
“人事”表に対して次のSQL文を実行したとき，結果として得られる社員番号はどれか。
人事
社員番号 | 所属 | 勤続年数 | 年齢
1 | 総務部 | 13 | 31
2 | 総務部 | 5 | 28
3 | 人事部 | 11 | 28
4 | 営業部 | 8 | 30
5 | 総務部 | 7 | 29
[SQL文]
SELECT 社員番号 FROM 人事
WHERE (勤続年数 > 10 OR 年齢 > 28)
AND 所属 = ’総務部’
- ア 1, 2, 5
- イ 1, 3, 4, 5
- ウ 1, 3, 5
- エ 1, 5
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問21
問22
仕様書やソースコードについて，作成者を含めた複数人で，記述されたシステムやソフトウェアの振る舞いを机上でシミュレートして，問題点を発見する手法はどれか。
- ア ウォークスルー
- イ サンドイッチテスト
- ウ トップダウンテスト
- エ 並行シミュレーション
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問22
問23
問23 ソフトウェアの品質を確保するための検証に形式手法を用いる。このとき行う検証方法の説明として，適切なものはどれか。
- ア 進行役（モデレータ），記録役などの役割を決めた複数人で，成果物に欠陥がないかどうかを検証する。
- イ プログラムの内部構造とは無関係に，プログラムが仕様どおりに機能するかどうかを検証する。
- ウ プログラムの内部構造に着目し，プログラムが仕様どおりに動作するかどうかを検証する。
- エ 明確で厳密な意味を定義することができる言語を用いてソフトウェアの仕様を記述して，満たすべき性質と仕様とが整合しているかどうかを論理的に検証する。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問23
問24
問24 ITサービスにおけるコンピュータシステムの利用に対する課金を逓減課金方式で行うときのグラフはどれか。
- ア 縦軸は利用料金、横軸は利用量。縦軸上の0より上から始まり、右下がりの区間が続く。傾きは順に緩やかになる。
- イ 縦軸は利用料金、横軸は利用量。原点から右上がりの直線で始まり、以後は水平。
- ウ 縦軸は利用料金、横軸は利用量。原点から右上がりの区間が続き、傾きは順に緩やかになる。
- エ 縦軸は利用料金、横軸は利用量。原点から右上がりの区間が続き、傾きは順に急になる。
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問24
問25
問25 金融庁 “財務報告に係る内部統制の評価及び監査に関する実施基準（令和５年）” における，ITに係る全般統制に該当するものとして，最も適切なものはどれか。
- ア アプリケーションプログラムの例外処理（エラー）の修正と再処理
- イ 業務別マスタ・データの維持管理
- ウ システムの開発，保守に係る管理
- エ 入力情報の完全性，正確性，正当性等を確保する統制
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25