情報処理安全確保支援士3

45問 • 2ヶ月前

問題一覧

新たに立ち上げたECサイトのサーバ証明書にDV(ドメイン認証証明書)を使うべきでは無い理由は？

ドメイン認証証明書ではサーバの運営者がその会社であることを確認できないから。

デジタル証明書(サーバ証明書)を発行したいある主体が存在する。この主体はどのようにしてデジタル証明書を得るか？(CAに発行してもらう流れ)

1.鍵ペアを生成する(秘密鍵・公開鍵) 2.公開鍵をCSRと共にCAに投げる 3.公開鍵+CAのデジタル署名をデジタル証明書として生成し、主体に返却するちなみに、データ転送時は、平分+デジタル署名に対して、デジタル証明書(公開鍵)による暗号化を行う。

ディジタルフォレンジックスのために保全する情報は？

ディスクイメージ ※ハードディスクやSSDなどの記憶装置に書き込まれた情報を全てコピーして作成したもの。

SMTPコマンドにおいてメールの送信者を表すものは？

MAIL FROM

SPF認証を行うメールサーバ間の認証について、MAIL FROMの値を変えずにメールを転送すると、SPF認証に失敗してしまう。なぜか。

受信したIPアドレス(=中間サーバのもの)とMAIL FROMのIPアドレス(=送信元メールサーバのもの)が異なるから。

SPF、DKIM、DMARCなどの認証技術を備えたN社サーバに対して、送信元を偽装してメールを送りたい。具体的にどのようにメールを送信すれば良いか。

N者の取引先と似たメールアドレスから送信ドメイン認証技術を利用してメールを送信する。

S/MIMEによる暗号化とデジタル署名の仕組みは？

暗号化・送信者が共通鍵を生成し、メッセージを暗号化する。・受信者の公開鍵により、共通鍵を暗号化する。・暗号化された共通鍵/メッセージを送る。・受信者は秘密鍵により、共通鍵を復号化する。・共通鍵によりメッセージを復号化する。デジタル署名・メッセージからデジタル署名を生成する。・送信者の秘密鍵でデジタル署名を暗号化する。・メッセージ+暗号化されたデジタル署名+送信者の公開鍵(デジタル証明書)を送信する。・デジタル署名を公開鍵(デジタル証明書)で復号化し、メッセージから生成されたハッシュ値と比較する。・公開鍵(デジタル証明書)の正当性を問い合わせる。

デジタル署名に用いる鍵は、公開鍵？秘密鍵？

秘密鍵

リスクアセスメントのプロセス3つはそれぞれどのような工程からなる？

リスク特定リスク分析リスク評価

マルウェアがある機器に感染した時、ユーザーが入力するIDやパスワードを窃取するための具体的な方法は？

HTTPリクエストを監視する

ある機器がマルウェアに感染したかどうかわからないのは、どういう状況のときか？

マルウェアに感染したあと、C&Cサーバと通信する前にネットワークから切り離されたとき。

スミッシングとは

SMS + Phishing SMSを用いてフィッシングを行うこと

CDNとは

Content Delivery Network インターネット上にキャッシュサーバを分散配置して、キャッシュ&コンテンツサーバの代理応答を行うことで、負荷を軽減するシステム。

複数のFQDNを持つサーバについて、接続先のFQDNはHTTPリクエスト何ヘッダで判断される？

HOSTヘッダ

SNIとは

Server Name Indication TLSセッション開始時の"Client Helloメッセージ"において、複数の仮想ドメインを持つサーバから、どのドメイン宛かを特定するもの

OAuthについて、例えばTwitterでSSOログインできるAサービスがあるとする。Aサービスにログイン要求を行うと、認可要求処理はどこにリダイレクトされるか？

Twitterの認証サーバ

OAuthについて、・Aサービス・Twitter ・Twitterの認証サーバがあるとき、どのような流れでSSOが実現されるか？

1.Aサービスにサービス要求を出す。 2.Twitterの認証サーバにリダイレクトされ、認可要求を出す。 3.Twitterの認証サーバが認可同意処理を行う。 4.再度Aサービスにリダイレクトされ、Twitterの認証サーバから貰った認可コードをAサービスに送る。 5.Aサービスは「お前この認可コード送った？」って感じで、Twitterの認証サーバにトークン要求をだす。 6.Twitterの認証サーバが「ああそれ俺だわ」って感じでトークン応答を返す。 7.トークンを持って、Twitterに「利用者情報くれや」って問い合わせる。 8.Twitterが利用者情報を返す。

OAuthにおいて、stateパラメタはどのようなタイミングでやり取りを行うか？

あるサービスからリダイレクトされた直後と、外部サービスの認証サーバからもらった認可コードをあるサービスに提示するとき。

あるネットワークに対してVPN接続を行うとき、接続元を特定端末のみに制限する方法は？(IPアドレスは可変なので不可)

クライアント証明書を利用する

脆弱性が見つかったソフトウェアに対して、対応すべきことは？(2つ)

・当該脆弱性に対応したパッチを適用する。・脆弱性をもつソフトウェアの利用を停止する。

TXTレコードとは？

DNSゾーンファイルのひとつ任意のテキストを記述することが出来る

DNS名前解決の通信において、送信元を詐称があっても気づけない理由は？

UDPを用いており、送信元を識別することが不可能だから。

MXレコードの中身はどんな感じになる？

「特定のドメイン宛て」に「電子メールをどのサーバに送信するか」を指定するレコードである。 IPアドレスが全く関与しない点に注意する。

DNS over TLSはどこの通信を暗号化する？

DNSサーバ(DNSリゾルバ)とDNSクライアント(スタブリゾルバ)

DNSサーバのSOAレコードとは？

SOA：Start Of Authority 権威DNSサーバが担当しているゾーン情報が記載されているもの。

TFTPとは

Trivial FTP ユーザー認証を省略しUDPを用いる、簡素化されたファイル転送プロトコル

デジタル証明書の検証において、アクセ先のサーバがデジタル証明書に記載されたものと正しいか判断するのに用いる値は？(2パターン)

・SAN(subjectAltName)のFQDN ・コモンネームのFQDN ※コモンネームのFQDNと、アクセス先のホスト名が一致していることで、初めて証明される。

TLS通信における、中間者攻撃の対策は？(2つ)

・サーバ証明書のコモンネームとアクセス先のホスト名が一致すること・サーバ証明書がブラウザで信頼する認証局から発行されていること ※コモンネームにはFQDNが記載されており、アクセス先のホスト名と一致することで、接続の正しさが証明される。

サーバAから受け取った証明書を証明するために、事前にブラウザで行っておく操作は？

サーバAのルート証明書を信頼するルート証明書としてインストールしておく。

Basic認証とは

これが設定されているとIDとパスワードの入力が求められるもの。

ログの消去への対策は？(2つ)

・攻撃者の推測しにくい場所にログファイルを置く・ログファイルを暗号化する

セッションフィクセーション対策は？

ログインした瞬間に新たなセッションIDが発行されるメカニズムにしておく。

スニファとは？

ネットワーク上を流れるデータをキャプチャして内容を解読すること

テンペスト攻撃とは？

電磁波を傍受して波形を再現し、データを復元する技術のこと

IPスプーフィングとは？

IPアドレスも用いて本人認証を行っているシステムに対して、IPパケットのヘッダを偽装すること

TCP SYN Floodとは

攻撃側が最後のACKに応答しないのとで、CPUやメモリの資源を枯渇させる攻撃手法のこと

Smurf攻撃とは？

なりすましたIPアドレスを送信元としてping要求をブロードキャストする攻撃のこと

DNS水責め攻撃とは？

正規のドメインを持つ架空のサブドメインを問い合わせて、資源を枯渇させる方法

EDoS攻撃とは？

Economic DoS 従量課金で運営しているサーバの資源を浪費し、サーバ料金を高騰させること

Webビーコンとは？

広告メールに<img>タグで画像を埋め込む。ユーザーはメールを開いて初めてサーバから画像を取りに行くのだが、これにより広告側は誰がメールを開いたかわかる。

MITB対策は？

トランザクション認証 QRコードの読み取りなどでユーザーの真正性を確認する

Adversarial Example攻撃とは

AIに誤った情報を伝え、故意に判断を誤らせる手法

ドライブバイダウンロードとは

webサイト閲覧時に、ユーザーの気付かぬ間にマルウェアのインストールを試みる攻撃のこと

cookieのdomain属性とは？

指定したドメイン名にのみcookieを送信すること。

cookieのpath属性とは？

指定したディレクトリに対してのみcookieを送信すること。

nace 1

nace 1

ブラックエプロン②(LNB~BNA)

ブラックエプロン②(LNB~BNA)

消防救助

消防救助

ドローン

ドローン

車両救助

車両救助

酸欠

酸欠

都市型ロープレスキュー

都市型ロープレスキュー

車両救助

車両救助

スイフトウォーターレスキュー

スイフトウォーターレスキュー

資機材

資機材

土砂と防災

土砂と防災

酸欠

酸欠

都市型ロープレスキュー

都市型ロープレスキュー

消防救助

消防救助

スイフトウォーターレスキュー

スイフトウォーターレスキュー

資機材

資機材

土砂と防災

土砂と防災

ツイストペアケーブル

ツイストペアケーブル

基礎～応用

基礎～応用

ブラックエプロン　（ランダム問題）

ブラックエプロン　（ランダム問題）

問題一覧

新たに立ち上げたECサイトのサーバ証明書にDV(ドメイン認証証明書)を使うべきでは無い理由は？

ドメイン認証証明書ではサーバの運営者がその会社であることを確認できないから。

デジタル証明書(サーバ証明書)を発行したいある主体が存在する。この主体はどのようにしてデジタル証明書を得るか？(CAに発行してもらう流れ)

ディジタルフォレンジックスのために保全する情報は？

ディスクイメージ ※ハードディスクやSSDなどの記憶装置に書き込まれた情報を全てコピーして作成したもの。

SMTPコマンドにおいてメールの送信者を表すものは？

MAIL FROM

SPF認証を行うメールサーバ間の認証について、MAIL FROMの値を変えずにメールを転送すると、SPF認証に失敗してしまう。なぜか。

受信したIPアドレス(=中間サーバのもの)とMAIL FROMのIPアドレス(=送信元メールサーバのもの)が異なるから。

SPF、DKIM、DMARCなどの認証技術を備えたN社サーバに対して、送信元を偽装してメールを送りたい。具体的にどのようにメールを送信すれば良いか。

N者の取引先と似たメールアドレスから送信ドメイン認証技術を利用してメールを送信する。

S/MIMEによる暗号化とデジタル署名の仕組みは？

デジタル署名に用いる鍵は、公開鍵？秘密鍵？

秘密鍵

リスクアセスメントのプロセス3つはそれぞれどのような工程からなる？

リスク特定リスク分析リスク評価

マルウェアがある機器に感染した時、ユーザーが入力するIDやパスワードを窃取するための具体的な方法は？

HTTPリクエストを監視する

ある機器がマルウェアに感染したかどうかわからないのは、どういう状況のときか？

マルウェアに感染したあと、C&Cサーバと通信する前にネットワークから切り離されたとき。

スミッシングとは

SMS + Phishing SMSを用いてフィッシングを行うこと

CDNとは

複数のFQDNを持つサーバについて、接続先のFQDNはHTTPリクエスト何ヘッダで判断される？

HOSTヘッダ

SNIとは

Server Name Indication TLSセッション開始時の"Client Helloメッセージ"において、複数の仮想ドメインを持つサーバから、どのドメイン宛かを特定するもの

Twitterの認証サーバ

OAuthについて、・Aサービス・Twitter ・Twitterの認証サーバがあるとき、どのような流れでSSOが実現されるか？

OAuthにおいて、stateパラメタはどのようなタイミングでやり取りを行うか？

あるサービスからリダイレクトされた直後と、外部サービスの認証サーバからもらった認可コードをあるサービスに提示するとき。

あるネットワークに対してVPN接続を行うとき、接続元を特定端末のみに制限する方法は？(IPアドレスは可変なので不可)

クライアント証明書を利用する

脆弱性が見つかったソフトウェアに対して、対応すべきことは？(2つ)

・当該脆弱性に対応したパッチを適用する。・脆弱性をもつソフトウェアの利用を停止する。

TXTレコードとは？

DNSゾーンファイルのひとつ任意のテキストを記述することが出来る

DNS名前解決の通信において、送信元を詐称があっても気づけない理由は？

UDPを用いており、送信元を識別することが不可能だから。

MXレコードの中身はどんな感じになる？

「特定のドメイン宛て」に「電子メールをどのサーバに送信するか」を指定するレコードである。 IPアドレスが全く関与しない点に注意する。

DNS over TLSはどこの通信を暗号化する？

DNSサーバ(DNSリゾルバ)とDNSクライアント(スタブリゾルバ)

DNSサーバのSOAレコードとは？

SOA：Start Of Authority 権威DNSサーバが担当しているゾーン情報が記載されているもの。

TFTPとは

Trivial FTP ユーザー認証を省略しUDPを用いる、簡素化されたファイル転送プロトコル

デジタル証明書の検証において、アクセ先のサーバがデジタル証明書に記載されたものと正しいか判断するのに用いる値は？(2パターン)

・SAN(subjectAltName)のFQDN ・コモンネームのFQDN ※コモンネームのFQDNと、アクセス先のホスト名が一致していることで、初めて証明される。

TLS通信における、中間者攻撃の対策は？(2つ)

サーバAから受け取った証明書を証明するために、事前にブラウザで行っておく操作は？

サーバAのルート証明書を信頼するルート証明書としてインストールしておく。

Basic認証とは

これが設定されているとIDとパスワードの入力が求められるもの。

ログの消去への対策は？(2つ)

・攻撃者の推測しにくい場所にログファイルを置く・ログファイルを暗号化する

セッションフィクセーション対策は？

ログインした瞬間に新たなセッションIDが発行されるメカニズムにしておく。

スニファとは？

ネットワーク上を流れるデータをキャプチャして内容を解読すること

テンペスト攻撃とは？

電磁波を傍受して波形を再現し、データを復元する技術のこと

IPスプーフィングとは？

IPアドレスも用いて本人認証を行っているシステムに対して、IPパケットのヘッダを偽装すること

TCP SYN Floodとは

攻撃側が最後のACKに応答しないのとで、CPUやメモリの資源を枯渇させる攻撃手法のこと

Smurf攻撃とは？

なりすましたIPアドレスを送信元としてping要求をブロードキャストする攻撃のこと

DNS水責め攻撃とは？

正規のドメインを持つ架空のサブドメインを問い合わせて、資源を枯渇させる方法

EDoS攻撃とは？

Economic DoS 従量課金で運営しているサーバの資源を浪費し、サーバ料金を高騰させること

Webビーコンとは？

MITB対策は？

トランザクション認証 QRコードの読み取りなどでユーザーの真正性を確認する

Adversarial Example攻撃とは

AIに誤った情報を伝え、故意に判断を誤らせる手法

ドライブバイダウンロードとは

webサイト閲覧時に、ユーザーの気付かぬ間にマルウェアのインストールを試みる攻撃のこと

cookieのdomain属性とは？

指定したドメイン名にのみcookieを送信すること。

cookieのpath属性とは？

指定したディレクトリに対してのみcookieを送信すること。