無線LANセキュリティにおいて、アクセスポイントがオーセンティケータとして機能し、RADIUSサーバ等と連携してクライアントを動的に認証する枠組みとして、適切なものはどれか。
■【設問の意図】 無線LANにおけるポートベースの動的認証プロトコルに関する知識を問う。 ■【正解の理由】 IEEE 802.1Xは認証サーバと連携し、接続ポート単位でアクセス制御を行う標準規格である。 ■【初心者が迷う理由】 暗号化規格や接続規格の名称と混同しやすい。 ■【本番での判断フロー】 1. 「オーセンティケータ」「RADIUS連携」のキーワードを確認する。 2. IEEE 802.1Xを選択する。
WebアプリケーションにおけるSQLインジェクション対策として、最も適切かつ根本的なものはどれか。
■【設問の意図】 SQLインジェクションの根本的な対策方法に関する正確な理解を問う。 ■【正解の理由】 プレースホルダ付きのプリペアードステートメントを利用すれば、入力値をコードとデータの分離によって安全に処理できるため根本的な対策となる。 ■【初心者が迷う理由】 特殊文字のフィルタリング等でも防げると誤解しがちだが、バイパス手法が存在するため不十分である。 ■【本番での判断フロー】 1. 根本的対策は「コードとデータの分離」であるか確認する。 2. プレースホルダやプリペアードステートメントを選択肢から探す。
OSコマンドインジェクション攻撃に関する記述として、適切なものはどれか。
■【設問の意図】 OSコマンドインジェクションの定義と攻撃メカニズムの理解度を問う。 ■【正解の理由】 外部入力を適切に処理せずOSコマンドとして実行することで、任意の不正操作が可能になる。 ■【初心者が迷う理由】 SQLインジェクションやクロスサイトスクリプティングなどの他攻撃手法と混同しやすい。 ■【本番での判断フロー】 1. 問題文のキーワード「OSコマンド」を確認する。 2. コマンド実行機能の悪用を述べている選択肢1を選ぶ。
Webアプリケーションの脆弱性であるクロスサイトスクリプティング（XSS）のうち、掲示板やレビュー欄などに悪意あるスクリプトが保存され、そのページを閲覧した他のユーザーのブラウザで実行されるものはどれか。
■【設問の意図】 Webアプリケーションにおけるクロスサイトスクリプティング（XSS）の分類と仕組みを問う。 ■【正解の理由】 格納型XSSは、入力された悪意あるスクリプトがサーバ側のデータベース等に保存され、閲覧者のブラウザで実行される仕組みである。 ■【初心者が迷う理由】 URLパラメータなどを経由して即座に実行される反射型XSSと混同しやすい。 ■【本番での判断フロー】 1. スクリプトがサーバーに「保存（格納）」されるかを確認する。 2. 保存されて不特定多数に影響を与えるため、格納型XSSと判断する。
クロスサイトリクエストフォージェリ（CSRF）に関する記述として、適切なものはどれか。
■【設問の意図】 Webアプリケーションの脆弱性を突く代表的な攻撃手法であるCSRFの正しい定義を問う。 ■【正解の理由】 CSRFは、認証済みユーザーの意図しないリクエストを偽装してWebアプリケーションに送信させる攻撃である。 ■【初心者が迷う理由】 格納型XSSなどの他のWeb脆弱性による攻撃手法と混同しやすい。 ■【本番での判断フロー】 1. 「意図しないリクエストの送信」というキーワードを確認する。 2. 認証済みセッションを悪用する仕組みがCSRFに該当すると判断する。
セッションフィクセーション攻撃の概要およびその対策として適切なものはどれか。
■【設問の意図】 セッションフィクセーションの手口と有効な対策を問う問題である。 ■【正解の理由】 攻撃者が固定化したセッションIDでログインさせ乗っ取る攻撃であり、ログイン成功時にセッションIDを再生成することが根本的な対策となる。 ■【初心者が迷う理由】 Cookieの窃取や総当たり攻撃といった他のセッション攻撃の手法と混同しやすい。 ■【本番での判断フロー】 1. 「あらかじめ用意したセッションIDを強制する」という手口からセッションフィクセーションを特定する。 2. 対策として「ログイン時のセッションID再生成」を選ぶ。
ハッシュ値からパスワードを高速に逆算するため、あらかじめ平文とハッシュ値をチェーン管理したテーブルを用いる攻撃手法はどれか。
■【設問の意図】 パスワードのハッシュ値から元の平文を効率的に解読する攻撃手法の知識を問う。 ■【正解の理由】 レインボーテーブル攻撃は、あらかじめ計算したハッシュ値の対照表を用いて高速にパスワードを逆算する手法である。 ■【初心者が迷う理由】 すべての組み合わせを総当たりで試すブルートフォース攻撃と混同しやすい。 ■【本番での判断フロー】 1. 「あらかじめチェーン管理したテーブル」というキーワードを確認する。 2. 高速な逆算を行う手法であるレインボーテーブル攻撃を選択する。
クリプトジャッキングに関する記述として、最も適切なものはどれか。
■【設問の意図】 クリプトジャッキングの手口とその目的を正しく理解しているかを問う。 ■【正解の理由】 クリプトジャッキングは、他者のPCリソースを無断で使用して暗号資産のマイニングを行わせる攻撃手法である。 ■【初心者が迷う理由】 他のネットワーク偽装手法や認証バイパス攻撃と用語が混同しやすい。 ■【本番での判断フロー】 1. 「暗号資産のマイニング」というキーワードを確認する。 2. リソースの無断使用を指す「クリプトジャッキング」を選択する。
CDNの機能を悪用し、TLSのSNIとHTTPのHostヘッダーを偽装して実際の通信先を隠蔽する手法はどれか。
■【設問の意図】 CDNを利用した通信隠蔽手法であるドメインフロンティングの理解度を問う。 ■【正解の理由】 SNIとHostヘッダーの不一致を利用し、検閲や遮断を回避する手法であるためドメインフロンティングが正解。 ■【初心者が迷う理由】 他の攻撃手法の名前と混同しやすい。 ■【本番での判断フロー】 1. キーワード「SNI」「Hostヘッダーの偽装」を確認する。 2. 通信先を隠蔽する技術としてドメインフロンティングを選択する。
JIS Q 27000（ISMS用語）において、リスク源、事象、原因、結果の特定を行うプロセスとして適切なものはどれか。
■【設問の意図】 JIS Q 27000におけるリスクマネジメント関連用語の定義を正確に理解しているかを問う。 ■【正解の理由】 リスク特定とは、リスク源、事象、原因、結果を発見、認識及び記述するプロセスである。 ■【初心者が迷う理由】 リスク評価や対応と用語の意味や範囲が混同しやすい。 ■【本番での判断フロー】 1. 「リスク源、事象、原因、結果の特定」というキーワードを確認する。 2. 該当する用語として「リスク特定」を選択する。
JIS Q 27000において、脅威によって付け込まれる可能性がある、資産または管理策の弱点を指す用語はどれか。
■【設問の意図】 情報セキュリティマネジメントシステム（ISMS）の基本用語における脆弱性の定義を問うている。 ■【正解の理由】 脆弱性とは、システムや資産、管理策に存在する弱点であり、脅威によって付け込まれる可能性があるものを指す。 ■【初心者が迷う理由】 脅威やリスクといった類似のISMS用語と意味が混同されやすい。 ■【本番での判断フロー】 1. 問題文の「脅威によって付け込まれる可能性がある」「弱点」というキーワードに着目する。 2. 該当する定義を持つ「脆弱性」を選択する。
JIS Q 27000における情報セキュリティ関連用語の定義に関する記述のうち、適切なものはどれか。
■【設問の意図】 JIS Q 27000における脅威や脆弱性などの基本用語の定義を正しく理解しているか問うている。 ■【正解の理由】 脅威とは、システムや組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因を指すため選択肢3が適切。 ■【初心者が迷う理由】 「脅威」と「脆弱性」の定義は混同しやすいため、用語の意味を正確に暗記しておく必要がある。 ■【本番での判断フロー】 1. 脅威はマイナスの事象を引き起こす「原因」であることを確認する。 2. 弱点を指す用語は脆弱性であることから正解を導き出す。
サイバーキルチェーンのプロセスにおいて、組織のネットワークへの最初の足がかりを築いた後、システムの脆弱性を悪用してコードを実行するフェーズはどれか。
■【設問の意図】 サイバーキルチェーンの各フェーズの順序と定義を正しく理解しているか問う。 ■【正解の理由】 エクスプロイトは、対象システムの脆弱性を悪用して攻撃コードを実行し、侵入を確立するフェーズである。 ■【初心者が迷う理由】 マルウェアの配置を指すインストールや、初期侵入に関連する用語と混同しやすい。 ■【本番での判断フロー】 1. 脆弱性を悪用する行為に着目する。 2. エクスプロイト（脆弱性悪用）を選択する。
MITRE ATT&CKに関する記述として、適切なものはどれか。
■【設問の意図】 サイバーセキュリティのフレームワークであるMITRE ATT&CKの定義と目的を問う。 ■【正解の理由】 MITRE ATT&CKはサイバー攻撃者の戦術や技術を体系化したナレッジベースであり、攻撃行動の分析や対策に広く活用される。 ■【初心者が迷う理由】 SOARやCSPMなどの他の自動化・監視ツール機能と混同しやすい。 ■【本番での判断フロー】 1. MITRE ATT&CKのキーワードを確認する。 2. 攻撃者の戦術・技術の体系化（ナレッジベース）を正解とする。
SOAR（Security Orchestration, Automation and Response）の説明として、適切なものはどれか。
■【設問の意図】 SOARの定義とセキュリティ運用における役割を問う。 ■【正解の理由】 SOARは脅威インテリジェンスの活用やセキュリティ運用の自動化、インシデント対応の効率化を実現する仕組みである。 ■【初心者が迷う理由】 CSPMやMITRE ATT&CKなどの他のセキュリティ管理フレームワークと混同しやすい。 ■【本番での判断フロー】 1. SOARのキーワードである自動化やレスポンスに注目する。 2. 選択肢2が定義に完全に合致すると判断する。
クラウドサービスにおけるセキュリティ設定を継続的に監視し、不適切な設定やセキュリティリスクを自動的に検知・評価する仕組みとして、適切なものはどれか。
■【設問の意図】 クラウド環境の設定ミスやコンプライアンス違反を継続的に監視する仕組みを問うている。 ■【正解の理由】 CSPMはクラウドサービスの設定を継続的に監視し、不適切な設定やリスクを検知する仕組みである。 ■【初心者が迷う理由】 CASBやSIEMなど、他のクラウド・セキュリティ関連の用語と混同しやすい。 ■【本番での判断フロー】 1. 「クラウドの設定監視」に着目する。 2. クラウド設定の不備を管理するCSPMを選択する。
システム監査において、データの生成から入力、処理、出力までのプロセスやコントロールを書面上または実際に追跡する技法はどれか。
■【設問の意図】 システム監査における具体的な監査手続の技法について理解しているかを問う。 ■【正解の理由】 ウォークスルー法は、データの生成から出力までの処理プロセスを追跡して実態を把握する技法である。 ■【初心者が迷う理由】 チェックリスト法やサンプリング法と混同しやすいが、プロセスを「追跡する」点がウォークスルー法の特徴である。 ■【本番での判断フロー】 1. プロセスやコントロールを追跡する技法を探す。 2. 「データの生成から出力まで」を追うウォークスルー法を選択する。
システム監査におけるフォローアップ活動に関する記述として、適切なものはどれか。
■【設問の意図】 システム監査におけるフォローアップの定義と監査人の役割を問う問題である。 ■【正解の理由】 フォローアップとは、監査人が改善提案の実施状況を収集し、モニタリングする一連の活動を指す。 ■【初心者が迷う理由】 ウォークスルー法や監査人の精神的態度などの他の監査用語と混同しやすい。 ■【本番での判断フロー】 1. フォローアップのキーワードを確認する。 2. 是正勧告や改善提案の実施状況の確認が該当すると判断する。
システム監査人の行動規範に関する記述のうち、適切なものはどれか。
■【設問の意図】 システム監査人に求められる精神的態度である「独立性」と「正当な懐疑心」の正しい理解を問う。 ■【正解の理由】 システム監査人は、組織的・精神的な独立性を保持し、常に正当な懐疑心を持って客観的な証拠を評価する必要がある。 ■【初心者が迷う理由】 「懐疑心」を単なる疑いの目と誤解し、不正の証明が主目的であると勘違いしやすいため注意が必要。 ■【本番での判断フロー】 1. 監査人に求められる精神的態度として「独立性」と「正当な懐疑心」を確認する。 2. 選択肢4が両者の要件を正確に満たしていることを確認し、正解とする。
個人情報保護法における匿名加工情報を第三者提供する場合の要件として、適切なものはどれか。
■【設問の意図】 個人情報保護法における匿名加工情報の第三者提供時のルールを問う。 ■【正解の理由】 匿名加工情報を第三者に提供する際は、含まれる情報の項目や提供方法を公表する必要がある。事前の本人同意は不要である。 ■【初心者が迷う理由】 通常の個人データ提供と混同し、本人の同意が必須であると誤解しやすい。 ■【本番での判断フロー】 1. 匿名加工情報は個人が特定できないため事前の本人承諾は不要と判断する。 2. 項目や提供方法の公表が義務付けられている選択肢を選ぶ。