午後問4問題文と解答用紙を別タブで開けます(印刷可能)。情報セキュリティセキュリティ事故の対応に関する次の記述を読んで,設問1〜4に答えよ。自転車用品の中堅通信販売会社のD社では,顧客からの注文を郵便及び電話で受け付けていた。顧客へのサービスの拡大を目的として,インターネットを利用した会員制のサービスを開始することとした。会社の紹介だけを掲載していた従来のWebサイトを改修し,Webサイトでの会員情報の登録及び修正,会員に対するWebサイトでの商品の販売並びに会員向けのメールマガジン送付の登録を行う。Webサイトでの商品の販売における決済手段はクレジットカードだけとする。改修後のWebサイトは,D社のDMZ上に設置されたWebサーバと,社内LAN内に設置されたデータベースサーバで構成される。データベースサーバのデータは平文で保存しており,会員情報の登録及び修正,商品の販売並びに会員向けのメールマガジン送付の登録を行う際には,SSLによってネットワーク経路の暗号化を行う。〔会員情報の登録〕D社では,Webサイトで取得する個人情報の利用目的を,注文の受付,決済,商品の配送,及びメールマガジンの送付に限定し,会員登録の希望者に対し,登録時に利用目的を通知して同意を得ることとした。同意を得た会員に対しては,会員情報として次の情報を登録してもらうこととした。複数の会員から,"D社のサービスに登録したメールアドレス宛てに迷惑メールが大量に送られてくるようになった"との連絡がお客様相談窓口に入った。連絡があった会員のうち数名については,迷惑メールの宛先メールアドレスはD社以外のサービスでは利用していないことが分かった。この報告を受けてD社の情報システム部のY部長は,会員情報が漏えいしている可能性があると判断した。会員情報として登録されているクレジットカード情報が漏えいしていることも考えられると判断した。そこで,情報システム部のWebサイト担当者Z氏に対し,Webサイトを停止して調査するよう指示した。Z氏の調査の結果,D社のWebサイトにおいて,会員が利用者IDとパスワードの入力を行うログインの処理に不備があり,外部からSQLインジェクション攻撃を受けていたことが判明した。〔セキュリティ事故への対応〕Z氏は,一般的なWebサイトにおけるセキュリティ事故に関して考えられる対策と対応を調査し,今回のセキュリティ事故において会員とWebサイトに対して必要と思われる対策と対応を表1にまとめて,Y部長に報告した。Y部長は,表1の�Fは実施を見合わせ,Z氏に�@〜�Eの実施を急がせるとともに,更なる情報セキュリティ対策の実施を指示した。設問1今回受けたSQLインジェクション攻撃に関する記述として適切な答えを,解答群の中から選べ。攻撃者がDNSに登録されたドメインの情報を改ざんすることによって,利用者をフィッシングサイトに誘導し,そこで入手した利用者IDとパスワードを用いて,データベースを不正に操作した。攻撃者が,D社のWebサイトの入力項目に対し,命令文を送り込むことによって,データベースを不正に操作した。攻撃者がD社のデータベースの管理ツールを入手し,管理ツール経由で直接D社のデータベースを不正に操作した。攻撃者がネットワーク上で情報の盗聴を行い,D社のデータベースの管理者のIDとパスワードを入手し,データベースを不正に操作した。攻撃者がDNSに登録されたドメインの情報を改ざんすることによって,利用者をフィッシングサイトに誘導し,そこで入手した利用者IDとパスワードを用いて,データベースを不正に操作した。攻撃者が,D社のWebサイトの入力項目に対し,命令文を送り込むことによって,データベースを不正に操作した。攻撃者がD社のデータベースの管理ツールを入手し,管理ツール経由で直接D社のデータベースを不正に操作した。攻撃者がネットワーク上で情報の盗聴を行い,D社のデータベースの管理者のIDとパスワードを入手し,データベースを不正に操作した。正解を表示するイ解説SQLインジェクションは、アプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、Webアプリケーションが想定しない想定外のSQL文を意図的に実行させることでデータベースを破壊したり情報を搾取する行為です。したがってWebアプリケーションの入力項目に命令文を与えてデータベースを攻撃する「イ」が適切です。∴イ以下にSQLインジェクションの例を紹介します。アプリケーション側で利用者からの入力値を基に構成される以下のSQL文が用意されているとします。'A'='Aを与えると、実行されるSQL文は以下のようになります。'A'='A'」の条件が加わることで結果は常に真となり、SQL文は開発者の想定外である全レコードを対象としたものに変わってしまいます。このシングルクォートの挿入による攻撃の他にも以下の手法がよく知られています。セミコロン(;)を使用して、複数のSQL文を実行させるコメントアウト構文を使用して、SQL文の一部を作為的に無効化する設問2表1中の�Bに関して,今回のセキュリティ事故の対応として適切な答えを,解答群の中から選べ。安易なパスワードの設定を防止するために,パスワードは英字,数字,記号が混在する8文字以上のものにするよう会員に依頼する。攻撃を受けた場合の被害を抑えるために,メールマガジン購読だけを利用する会員の会員情報を格納したデータベースと商品の購入を行う会員の会員情報を格納したデータベースとを分離し,商品の購入を行う会員だけには,利用者ID及びパスワードの変更を依頼する。個人情報の目的外利用を避けるために,D社が取得する個人情報の利用目的に事故の対応を追加し,同意を会員に依頼する。クレジットカード情報が漏えいしている場合の不正利用を防止するために,登録されたクレジットカードの停止及び番号変更の手続を会員に依頼する。安易なパスワードの設定を防止するために,パスワードは英字,数字,記号が混在する8文字以上のものにするよう会員に依頼する。攻撃を受けた場合の被害を抑えるために,メールマガジン購読だけを利用する会員の会員情報を格納したデータベースと商品の購入を行う会員の会員情報を格納したデータベースとを分離し,商品の購入を行う会員だけには,利用者ID及びパスワードの変更を依頼する。個人情報の目的外利用を避けるために,D社が取得する個人情報の利用目的に事故の対応を追加し,同意を会員に依頼する。クレジットカード情報が漏えいしている場合の不正利用を防止するために,登録されたクレジットカードの停止及び番号変更の手続を会員に依頼する。�Bは「会員への事故対応の依頼」なので、このセキュリティ事故の対策として適切な答えを選択します。攻撃を受けた原因はパスワード強度ではないため不適切です。全ての会員情報に対して漏えいの可能性が考えられるため、迷惑メールなどの被害を未然に防ぐためにも全ての会員について変更を依頼すべきです。個人情報保護法によれば、「個人情報の取得時にはその利用目的を明示しなければならない」とされていますが、「ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。」と緊急時に必要であると認められる場合には利用目的の通知を後日にすることができます。(第18条の2)このケースではクレジットカード情報の流出により会員の財産に被害が及ぶ恐れが高いため、利用目的の通知よりも先に被害の発生を防ぐための対応を依頼することが適切です。会員情報として登録されているクレジットカード情報の漏えいにより会員の財産への被害が想定されます。したがって漏えいしたクレジットカード情報の不正使用をさせないための手続きを会員に依頼する必要があります。∴エ設問3表1中の�Fに関して,Y部長が実施を見合わせた理由として適切な答えを,解答群の中から選べ。解答群Webサーバの増設が必要となる。稼働中のサービスの停止が必要であり,事業への影響が大きい。今回のSQLインジェクション攻撃を防ぐ対策にならない。セキュリティ事故発生時に攻撃者の侵入経路の特定に時間が掛かる。Webサーバの増設が必要となる。稼働中のサービスの停止が必要であり,事業への影響が大きい。今回のSQLインジェクション攻撃を防ぐ対策にならない。セキュリティ事故発生時に攻撃者の侵入経路の特定に時間が掛かる。�F「ネットワーク回線の二重化」は、人為的な過負荷によるサービス停止攻撃(DoS攻撃)に対処するためのものです。今回のセキュリティ事故の原因となったのはSQLインジェクションの脆弱性となるログイン処理の不備であり、Y部長が�Fの対策を見合わせたのは今回の事故への直接の対策として不適切と考えたからと想像できます。∴ウ:今回のSQLインジェクション攻撃を防ぐ対策にならない設問4Y部長は,Z氏に事故の再発防止のために更なる情報セキュリティ対策の実施を指示した。入れる適切な答えを,解答群の中から選べ。〔SQLインジェクション攻撃への追加対策〕SQLインジェクション攻撃は,システム開発の際にセキュリティを考慮した設計及び実装を行うことで回避できる。aことで,アプリケーション開発時に脆(ぜい)弱性が作り込まれる可能性を減らすこととする。会員情報を格納したデータベースサーバへの不正アクセス対策として,bこととする。情報漏えいが発生した場合の原因の分析や犯人の追跡を行うための証拠の確保には,cを行うこととする。行われ、かつ、アプリケーションに内在する脆弱性を減らす効果をもつ対策は「セキュアプログラミングのルールを作成する」になります。a=オ:セキュアプログラミングのルールを作成する〔bについて〕Webサーバとデータベースサーバの時刻同期は、順序関係が正確なアクセスログやエラーログを収集するための手段であり、不正アクセス対策にはなりません。データベースに会員情報を暗号化した状態で保管すれば、不正アクセスを受けた場合でも攻撃者に内容を知られることがなくなり情報の漏えいを防ぐことができます。不正アクセスを防ぐためには社外から内部へのアクセスに対してフィルタリングを行うことが効果的です。共有IDの使用は、利用者の把握が困難になり不正アクセスの温床になるため不適切です。RAID構成には読書き速度や冗長性を向上させる効果がありますが、不正アクセス対策にはなりません。b=イ:会員情報を暗号化する〔cについて〕アクセスログやエラーログは、不正アクセスや情報漏えいなどのセキュリティインシデントの発生時に、原因究明を行うための手段、及び、法的紛争になった場合の証拠となるため、適切な方法で収集した後、ある程度の期間に渡って保管することが求められます。取得するログはシステムの動作について、その主体と動作内容を一意に追跡できる項目が含まれている必要があります。Reserved.▲Pagetop。