資格道場
学習状況 お問い合わせ ログイン 無料登録
トップ / 応用情報技術者 / 情報セキュリティ

応用情報技術者「情報セキュリティ」の一問一答

1 / -- 正解: 0
📖 応用情報技術者「情報セキュリティ」の全100問と解説（一覧）

応用情報技術者の情報セキュリティに関する一問一答（全100問）の正解と解説の一覧です。上の一問一答で実際に解いてから、ここで復習・確認できます。

  1. 問1．CIAトライアドは機密性・完全性・可用性の情報セキュリティ3要素である。

    正解：○（正しい）

    解説：Confidentiality・Integrity・Availabilityの3要素です。

  2. 問2．情報セキュリティ7要素は、CIAトライアド（機密性・完全性・可用性）に加え、効率性・拡張性・経済性が含まれる。

    正解：×（誤り）

    解説：誤り。7要素はCIA＋「真正性・責任追跡性・否認防止・信頼性」（効率性等は別概念）。

  3. 問3．AESは公開鍵暗号方式で、ブロック長は512ビットである。

    正解：×（誤り）

    解説：AESは「共通鍵暗号」、ブロック長「128ビット」、鍵長128/192/256ビット（公開鍵・512ビットは誤り）。

  4. 問4．RSA暗号は、共通鍵暗号で素数の生成困難性が安全性の根拠である。

    正解：×（誤り）

    解説：誤り。RSAは「公開鍵暗号」（共通鍵ではない）、安全性は「素因数分解の困難性」（生成ではなく分解）。

  5. 問5．楕円曲線暗号（ECC）はRSAと比べて同等の安全性をより短い鍵長で実現できる。

    正解：○（正しい）

    解説：ECCは楕円曲線上の離散対数問題の困難性に基づき、RSA 3072ビット相当がECC 256ビットで実現されます。

  6. 問6．SHA-1は現在も最も推奨されるハッシュ関数である。

    正解：×（誤り）

    解説：誤り。SHA-1は「衝突発見攻撃で安全でない」、現在はSHA-256以上が推奨。

  7. 問7．ディジタル署名は、署名者が公開鍵で署名し検証者が秘密鍵で検証する仕組みである。

    正解：×（誤り）

    解説：誤り。逆です。署名者が秘密鍵で署名、検証者が公開鍵で検証します。

  8. 問8．PKIの認証局（CA）は、共通鍵を発行する機関である。

    正解：×（誤り）

    解説：誤り。CAは「ディジタル証明書（公開鍵証明書）」を発行・失効管理（共通鍵ではない）。

  9. 問9．チャレンジレスポンス認証は、毎回異なるランダム値（チャレンジ）を用いることでリプレイ攻撃を防ぐ。

    正解：○（正しい）

    解説：ワンタイムなチャレンジで過去通信の再送攻撃を防ぎます。

  10. 問10．パスワードは平文で保存するのが安全な方式である。

    正解：×（誤り）

    解説：誤り。パスワードは「ソルト付きハッシュ」で保存（平文は最悪、漏洩時即被害）。

  11. 問11．ゼロトラストは、ネットワーク境界内は完全に信頼するモデルである。

    正解：×（誤り）

    解説：誤り。ゼロトラストは「内外を問わず信頼しないことが前提」（境界内信頼は従来モデル）。

  12. 問12．SAMLとOpenID Connectは認証結果を連携してシングルサインオン（SSO）を実現する標準で、OAuth 2.0はアクセス権限を委譲する認可の枠組みである。

    正解：○（正しい）

    解説：SAMLはXMLのアサーションで、OpenID ConnectはOAuth 2.0の上でIDトークンを使って認証結果を受け渡す。OAuth 2.0自体は、利用者の許可を得てアクセストークンで権限を委譲する認可の仕組み（RFC 6749）で、単独では認証を定めていない。

  13. 問13．SQLインジェクション対策は、入力をすべて文字列連結することが基本である。

    正解：×（誤り）

    解説：誤り。対策は「プレースホルダ（パラメタ化クエリ）」、文字列連結こそ脆弱性の原因。

  14. 問14．クロスサイトスクリプティング（XSS）対策の基本は、入力時バリデーションと出力時エスケープ（HTMLエンコード）である。

    正解：○（正しい）

    解説：出力時のエスケープが最も効果的で、CSPも補完策として有効です。

  15. 問15．CSRFトークンは、ユーザIDで生成する固定値である。

    正解：×（誤り）

    解説：誤り。CSRFトークンは「画面遷移毎発行のランダム秘密値」（固定値ではない、毎回異なる）。

  16. 問16．DoS・DDoS攻撃への対策としてIPS・WAF・CDN利用・レートリミットが有効である。

    正解：○（正しい）

    解説：多層防御で大規模攻撃のトラフィックを吸収・遮断します。

  17. 問17．標的型攻撃では、特定組織を狙った巧妙なフィッシングメール等による侵入が行われる。

    正解：○（正しい）

    解説：APT（Advanced Persistent Threat）と呼ばれ、長期潜伏型攻撃も含みます。

  18. 問18．CAP定理では、分散システムで一貫性・可用性・分断耐性の3つを同時に保証することは一般に困難とされる。

    正解：○（正しい）

    解説：ネットワーク分断発生時はCとAのいずれかを選ぶ必要があります。

  19. 問19．TCPのスリーウェイハンドシェイクは、ACK→SYN→ACKの3段階である。

    正解：×（誤り）

    解説：誤り。3-way handshakeは「SYN→SYN/ACK→ACK」（順序が異なる）。

  20. 問20．IPsecはアプリケーション層、SSL/TLS-VPNはネットワーク層で動作する。

    正解：×（誤り）

    解説：誤り。IPsec「ネットワーク層」、SSL/TLS「アプリケーション層以下のトンネリング」（記述が逆）。

  21. 問21．CDN（コンテンツデリバリーネットワーク）はエッジサーバで静的コンテンツをキャッシュし、応答速度と可用性を向上させる。

    正解：○（正しい）

    解説：Cloudflare、Akamai等が代表例。DDoS対策にも利用されます。

  22. 問22．SQLインジェクション対策として最も効果的なものはどれか。

    • ア．HTMLエスケープ
    • イ．プレースホルダ（パラメタ化クエリ）
    • ウ．HTTPSの利用
    • エ．CSRFトークンの発行

    正解：イ．プレースホルダ（パラメタ化クエリ）

    解説：SQLの構造と値を分離するプレースホルダが最も根本的な対策です。

  23. 問23．公開鍵暗号方式で、送信者Aが受信者Bにメッセージを機密に送る際に使用する鍵はどれか。

    • ア．Aの秘密鍵
    • イ．Aの公開鍵
    • ウ．Bの公開鍵
    • エ．Bの秘密鍵

    正解：ウ．Bの公開鍵

    解説：受信者の公開鍵で暗号化、受信者の秘密鍵で復号します。

  24. 問24．ディジタル署名の検証に用いられる鍵はどれか。

    • ア．署名者の秘密鍵
    • イ．検証者の公開鍵
    • ウ．検証者の秘密鍵
    • エ．署名者の公開鍵

    正解：エ．署名者の公開鍵

    解説：署名は送信者の秘密鍵で付与、検証は送信者の公開鍵で行います。

  25. 問25．ISMSの国際規格ISO/IEC 27001に準拠した認証制度はどれか。

    • ア．ISMS適合性評価制度
    • イ．Pマーク
    • ウ．TRUSTe
    • エ．CMMI

    正解：ア．ISMS適合性評価制度

    解説：ISMS適合性評価制度（JIS Q 27001）が国内での認証制度です。Pマークは個人情報保護です。

  26. 問26．クロスサイトリクエストフォージェリ（CSRF）の対策として最も直接的なものはどれか。

    • ア．CSRFトークンの検証
    • イ．プレースホルダ利用
    • ウ．出力時HTMLエスケープ
    • エ．WAF導入のみ

    正解：ア．CSRFトークンの検証

    解説：CSRFトークンにより正規画面から遷移したリクエストであることを検証します。

  27. 問27．多要素認証で「所有物」要素に該当するものはどれか。

    • ア．パスワード
    • イ．ワンタイムパスワード用ハードウェアトークン
    • ウ．指紋
    • エ．秘密の質問

    正解：イ．ワンタイムパスワード用ハードウェアトークン

    解説：正解はワンタイムパスワード用ハードウェアトークン。多要素認証は、知識（記憶）・所持・生体の三種類の要素から二つ以上を組み合わせて本人を確認する方式である。ワンタイムパスワードを表示する専用の機器は、それを持っていること（所持＝所有物）で本人を確かめる要素にあたる。

    根拠： 総務省 国民のためのサイバーセキュリティサイト「パスワードの設定・管理」（多要素認証の活用） 職場での対策 > 多要素認証の活用 ／ NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management Single-Factor OTP（シングルファクターOTPオーセンティケータの説明）

  28. 問28．公開鍵証明書の失効情報を問合せるプロトコルはどれか。

    • ア．IKE
    • イ．LDAP
    • ウ．OCSP
    • エ．ARP

    正解：ウ．OCSP

    解説：OCSP=Online Certificate Status Protocolで、CRLより軽量にリアルタイム失効確認ができます。

  29. 問29．OAuth 2.0の主な目的はどれか。

    • ア．利用者本人であることの認証（ID連携）
    • イ．トークンの署名形式の規定（JWT）
    • ウ．通信路の暗号化による盗聴防止（TLS）
    • エ．サービス間のAPIアクセス認可（権限委譲）

    正解：エ．サービス間のAPIアクセス認可（権限委譲）

    解説：OAuth 2.0は認可のための枠組みで、利用者（リソースオーナー）の承認にもとづき、第三者のアプリケーションにHTTPサービスへの限定的なアクセスを得させる。パスワードを渡す代わりに、範囲と期限を限ったアクセストークンを発行して権限を委譲する。利用者本人であることの認証は、OAuth 2.0の上に本人確認の層を加えたOpenID Connectの役割である。トークンの形式はOAuth 2.0の対象外で、署名付きトークンの形式はJWT（RFC 7519）が定める。通信路の暗号化はTLSの役割で、OAuth 2.0はTLSの利用を求めているが、暗号化そのものが目的ではない。

    根拠： RFC 6749 The OAuth 2.0 Authorization Framework Abstract（第三者アプリケーションにHTTPサービスへの限定的なアクセスを得させる）、1.4 Access Token（範囲と期間を表す・形式は本仕様の対象外）、3.1 Authorization Endpoint・3.2 Token Endpoint（The authorization server MUST require the use of TLS） ／ OpenID Connect Core 1.0 incorporating errata set 2 Abstract（OAuth 2.0 の上の identity layer・認可サーバの認証にもとづき利用者の本人性を確かめる） ／ RFC 7519 JSON Web Token (JWT) Abstract（クレームを JWS で署名・JWE で暗号化して表すコンパクトな形式）

  30. 問30．共通鍵暗号方式は、暗号化と復号で異なる鍵を使用する方式である。

    正解：×（誤り）

    解説：誤り。共通鍵は「同じ鍵」を使用（異なる鍵は公開鍵暗号）。

  31. 問31．公開鍵暗号方式では、暗号化に秘密鍵、復号に公開鍵を使用する。

    正解：×（誤り）

    解説：誤り。通常は「公開鍵で暗号化、秘密鍵で復号」（記述が逆、署名の場合は秘密鍵で署名・公開鍵で検証）。

  32. 問32．ハッシュ関数は、固定長入力から任意長のダイジェストを生成する関数である。

    正解：×（誤り）

    解説：誤り。ハッシュは「任意長入力→固定長出力」（記述が逆、一方向性関数）。

  33. 問33．DNSSECは、DNSの応答を暗号化することで、問合せ内容や応答内容の盗聴を防ぐ技術である。

    正解：×（誤り）

    解説：誤り。DNSSECはDNSの応答にデジタル署名を付け、応答の出自と改ざんされていないことを検証できるようにする技術で、機密性（暗号化）は提供しない（RFC 4033）。DNSキャッシュポイズニングの対策になる。

  34. 問34．PKI（公開鍵基盤）は、認証局（CA）が公開鍵証明書を発行・管理する仕組みである。

    正解：○（正しい）

    解説：PKI：CAが公開鍵証明書を発行、信頼の連鎖（ルートCA→中間CA→個別証明書）で身元を保証。HTTPS・電子署名の基盤。

  35. 問35．SQLインジェクション攻撃は、入力値の不適切な処理によりSQLの構造を改変させる攻撃である。

    正解：○（正しい）

    解説：SQLインジェクション：プリペアドステートメント・パラメータ化クエリで防御。OWASP Top10の常連脅威。

  36. 問36．クロスサイトスクリプティング（XSS）は、Webサイトに悪意のあるスクリプトを埋め込み、訪問者のブラウザで実行させる攻撃である。

    正解：○（正しい）

    解説：XSS：反射型・蓄積型・DOMベースの3種。出力エスケープ・CSP（Content Security Policy）で防御。

  37. 問37．CSRF（クロスサイトリクエストフォージェリ）は、ユーザの意図しないリクエストを送信させる攻撃である。

    正解：○（正しい）

    解説：CSRF：トークンチェック・SameSite Cookie・Refererチェック等で防御。送信元の正当性確認が肝。

  38. 問38．DDoS攻撃は、複数の攻撃者が連携して標的システムに大量のリクエストを送信し、サービス停止に追い込む攻撃である。

    正解：○（正しい）

    解説：DDoS：分散DoS。ボットネット悪用が一般的。防御：WAF・CDN・トラフィック監視・通信フィルタリング等。

  39. 問39．ランサムウェアは、感染したPCのファイルを暗号化し、復号と引換に身代金を要求するマルウェアである。

    正解：○（正しい）

    解説：ランサムウェア（WannaCry等）：定期バックアップ・パッチ適用・教育で予防。被害発生時は警察・専門業者へ相談。

  40. 問40．HTTPS（HTTP over TLS/SSL）は、HTTPの通信内容をTLS/SSLで暗号化したプロトコルである。

    正解：○（正しい）

    解説：HTTPS：通信暗号化＋サーバ認証＋改ざん検知。443番ポート使用。Let's Encrypt等で無料証明書も。

  41. 問41．次のうち、共通鍵暗号方式に該当するものはどれか。

    • ア．RSA
    • イ．ECC
    • ウ．AES
    • エ．ElGamal

    正解：ウ．AES

    解説：AES（Advanced Encryption Standard）は共通鍵暗号。RSA・ECC・ElGamalは公開鍵暗号。

  42. 問42．送信ドメイン認証のうち、送信側のメールサーバが電子メールにデジタル署名を付与し、受信側がDNSで公開されている送信ドメインの公開鍵を用いてその署名を検証する方式はどれか。

    • ア．SPF
    • イ．DKIM
    • ウ．DMARC
    • エ．SMTP-AUTH

    正解：イ．DKIM

    解説：DKIM（DomainKeys Identified Mail）は署名による送信ドメイン認証（RFC 6376）。SPFは送信元IPアドレスで認証し、DMARCはSPF・DKIMの結果に基づく受信側の処理方針を送信側が宣言する仕組み、SMTP-AUTHはメール送信時の利用者認証である。

  43. 問43．コンピュータウイルスは、他のプログラムに感染して自己増殖するマルウェアである。

    正解：○（正しい）

    解説：ウイルス：宿主プログラム必要、感染で増殖。ワームは単独で動作・自己増殖、トロイの木馬は無害装って侵入。

  44. 問44．ワームは、宿主プログラムに感染してから動作するマルウェアである。

    正解：×（誤り）

    解説：誤り。ワームは「単独動作」、宿主感染するのは「ウイルス」（記述が混同）。

  45. 問45．トロイの木馬は、無害なソフトに見せかけてシステムに侵入し、悪意のある動作を行うマルウェアである。

    正解：○（正しい）

    解説：トロイの木馬：自己増殖しない、ユーザの誤実行で侵入。バックドア設置・データ窃取等が目的。

  46. 問46．ボット（ボットネット）は、攻撃者の指令で動作するマルウェアで、複数のボットを集めてDDoS攻撃等に悪用される。

    正解：○（正しい）

    解説：ボットネット：複数感染端末をC&Cサーバから遠隔制御。スパム送信・DDoS・暗号通貨採掘等に悪用。

  47. 問47．ルートキットは、システム侵入を派手に表示するマルウェアである。

    正解：×（誤り）

    解説：誤り。ルートキットは「侵入痕跡を隠蔽」（隠匿目的、派手表示の逆）。

  48. 問48．フィッシングは、信頼できる組織を装ったメール等で、ユーザを偽サイトに誘導し個人情報を窃取する攻撃である。

    正解：○（正しい）

    解説：フィッシング：メール・SMS（スミッシング）・電話（ビッシング）等の手段。スピアフィッシング（標的型）はより精緻。

  49. 問49．スピアフィッシングは、特定の個人・組織を狙って巧妙にカスタマイズされたフィッシング攻撃である。

    正解：○（正しい）

    解説：スピアフィッシング：標的型。事前情報収集（OSINT）で信頼性を高め、エグゼクティブ等を狙う。BEC（ビジネスメール詐欺）も類似。

  50. 問50．標的型攻撃（APT）は、特定組織を長期間にわたり、高度な手段で継続的に攻撃する手法である。

    正解：○（正しい）

    解説：APT（Advanced Persistent Threat）：国家支援級の高度持続的脅威。多段階・多手法・長期潜伏が特徴。

  51. 問51．バッファオーバーフロー攻撃は、プログラムのバッファサイズを超えるデータを送信し、メモリ上の他の領域を上書きする攻撃である。

    正解：○（正しい）

    解説：バッファオーバーフロー：スタック上書きで任意コード実行可。C/C++等のメモリ管理に注意要。Rust等のメモリ安全言語で根本解決。

  52. 問52．CVE（共通脆弱性識別子）は、世界中の脆弱性に固有のIDを割り振り、識別を統一するための仕組みである。

    正解：○（正しい）

    解説：CVE：MITRE Corporationが管理する脆弱性のグローバルID。CVE-YYYY-NNNN形式。NVD（米国脆弱性DB）と連携。

  53. 問53．CVSSは、脆弱性の深刻度を0〜100のスコアで評価する。

    正解：×（誤り）

    解説：誤り。CVSSスコアは「0.0〜10.0」（100スコアではない）。

  54. 問54．SIEM（Security Information and Event Management）は、ログを集中管理し、セキュリティイベントを相関分析するシステムである。

    正解：○（正しい）

    解説：SIEM：Splunk・QRadar・Microsoft Sentinel等。リアルタイム監視・脅威検知・コンプライアンス対応に活用。

  55. 問55．ペネトレーションテストは、システムへの侵入を試行し、脆弱性を実証的に発見するセキュリティ評価手法である。

    正解：○（正しい）

    解説：ペネトレーションテスト：「攻撃側」視点で実証的評価。脆弱性スキャナとは異なり、実際の攻撃シナリオを再現。

  56. 問56．WPA3はWPA2より脆弱で、現在は使用が非推奨である。

    正解：×（誤り）

    解説：WPA3はWPA2の「後継」で、より強固（SAEプロトコル採用、非推奨は誤り）。

  57. 問57．VPNは、公衆ネットワーク上で暗号化なしの通信を行う技術である。

    正解：×（誤り）

    解説：誤り。VPNは「暗号化されたトンネルで安全通信」（暗号化なしは公衆通信そのもの）。

  58. 問58．次のうち、自己増殖性を持たないマルウェアはどれか。

    • ア．ウイルス
    • イ．ワーム
    • ウ．トロイの木馬
    • エ．ボット

    正解：ウ．トロイの木馬

    解説：トロイの木馬は自己増殖しない（無害装って侵入し悪意動作）。ウイルス・ワーム・ボットは自己増殖性あり。

  59. 問59．CVSS v3でスコアが9.0以上の脆弱性の深刻度区分はどれか。

    • ア．Low
    • イ．Medium
    • ウ．High
    • エ．Critical

    正解：エ．Critical

    解説：CVSS v3区分：Low(0.1-3.9)・Medium(4.0-6.9)・High(7.0-8.9)・Critical(9.0-10.0)。

  60. 問60．次のうち、APT攻撃の特徴として誤っているものはどれか。

    • ア．高度な手法
    • イ．長期間継続
    • ウ．短期間で広範囲
    • エ．特定組織を標的

    正解：ウ．短期間で広範囲

    解説：APTは「Persistent」（持続的）が特徴で長期間継続。「短期間で広範囲」はAPTでなく一般的なマルウェア拡散の特徴。

  61. 問61．サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて，“エクスプロイト”に該当する行為はどれか。

    • ア．公開情報の閲覧，顧客を装った電子メールでの問合せなどを行い，標的とする組織を調査する。
    • イ．標的とする組織の PC で OS の脆弱性を悪用し，攻撃ツールを実行させる。
    • ウ．標的とする組織のサーバから秘密情報を窃取し，攻撃者が用意したサーバに送信する。
    • エ．標的とする組織の従業員にマルウェアを添付した電子メールを送りつける。

    正解：イ．標的とする組織の PC で OS の脆弱性を悪用し，攻撃ツールを実行させる。

    解説：サイバーキルチェーンは攻撃の流れを7段階に分けたモデルで，偵察→武器化→配送→エクスプロイト（攻撃）→インストール→遠隔操作→目的の実行と進む。エクスプロイトは，送り込んだものを実際に動かす段階，すなわち脆弱性を突いてコードを実行させるところを指すので，答はイ。アは最初の偵察の段階で，公開情報や問合せを通じて標的を調べる行為である。エはマルウェアを添付したメールを送る配送の段階で，まだ実行はされていない。ウは最後の目的の実行の段階で，情報を盗み出して外部へ送る行為に当たる。段階の順序が分かっていれば，「送りつける」と「実行させる」と「盗み出す」がそれぞれ別の段階だと区別できる。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問36
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  62. 問62．デジタル署名が付与されたソフトウェアをインストールするときに，そのソフトウェアの発行元を確認するために使用する証明書はどれか。

    • ア．EV SSL 証明書
    • イ．クライアント証明書
    • ウ．コードサイニング証明書
    • エ．サーバ証明書

    正解：ウ．コードサイニング証明書

    解説：コードサイニング証明書は，ソフトウェアの開発元が実行ファイルなどに署名するために使う証明書である。利用者はインストール時に署名を検証することで，発行元が本物であることと，配布途中で改ざんされていないことを確かめられる。よって答はウ。アの EV SSL 証明書は，発行時に企業の実在性を厳格に審査するWebサイト向けの証明書で，対象はサイトであってソフトウェアではない。イのクライアント証明書は，サーバに接続してくる利用者や端末の側を認証するためのもの。エのサーバ証明書は，接続先のWebサーバが正しい相手であることを示すためのもので，いずれも通信相手の確認に使うものであり，配布物そのものの発行元を保証する用途ではない。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問37
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  63. 問63．サイドチャネル攻撃はどれか。

    • ア．暗号化処理時における暗号化装置の消費電力などの測定や統計処理によって，当該装置内部の秘密情報を推定する攻撃
    • イ．攻撃者が任意に選択した平文とその平文に対応した暗号文から数学的手法を用いて暗号鍵を推測し，同じ暗号鍵を用いて作成された暗号文を解読する攻撃
    • ウ．操作中の人の横から，入力操作の内容を観察することによって，利用者IDとパスワードを盗み取る攻撃
    • エ．無線LANのアクセスポイントを不正に設置し，チャネル間の干渉を発生させることによって，通信を妨害する攻撃

    正解：ア．暗号化処理時における暗号化装置の消費電力などの測定や統計処理によって，当該装置内部の秘密情報を推定する攻撃

    解説：サイドチャネル攻撃は，暗号の数学的な仕組みを破るのではなく，装置が動いているときに外へ漏れ出る物理的な情報から鍵を推定する攻撃である。消費電力の波形，処理にかかった時間，発生する電磁波や音などが手掛かりになる。よって答はア。イは選択平文攻撃で，平文と暗号文の対応を集めて数学的に鍵を割り出す，暗号そのものに対する解読法である。ウはショルダーハッキングで，画面や手元をのぞき見る物理的な行為だが，装置から漏れる副次的な情報を測るわけではない。エは電波干渉による妨害で，秘密情報の推定ではなく可用性への攻撃にあたる。サイドチャネル攻撃への対策は，処理時間や消費電力が扱う値によって変わらないように実装することである。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問38
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  64. 問64．CRL に関する記述のうち，適切なものはどれか。

    • ア．RFC 5280 では，認証局は，発行したデジタル証明書のうち失効したものについては，シリアル番号を失効後1年間 CRL に記載するよう義務付けている。
    • イ．Web サイトの利用者の Web ブラウザは，その Web サイトにサーバ証明書を発行した認証局の公開鍵が Web ブラウザに組み込まれていれば，CRL を参照しなくてもよい。
    • ウ．認証局は，発行した全てのデジタル証明書の有効期限を CRL に記載する。
    • エ．認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載する。

    正解：エ．認証局は，有効期限内のデジタル証明書が失効されたとき，そのシリアル番号を CRL に記載する。

    解説：CRL（証明書失効リスト）は，有効期限がまだ来ていないのに失効させた証明書のシリアル番号を並べたリストである。秘密鍵が漏れた，記載事項が変わった，といった理由で途中から無効にしたい証明書を知らせるためのものなので，答はエ。アは，RFC 5280 に「失効後1年間」という期間の義務付けはない。有効期限が過ぎた証明書はそもそも検証で弾かれるので，期限切れ後まで載せ続ける必要がない。イは，認証局の公開鍵を持っていれば署名の正しさは確かめられるが，それだけでは「その後に失効させられていないか」は分からないので CRL の確認は省けない。ウは，全ての証明書の有効期限を載せるのではなく，載るのは失効したものだけである。CRL は配布に時間差が出るため，1件ずつ即時に問い合わせる OCSP も併用される。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問39
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  65. 問65．ある組織では CSIRT と PSIRT が設置されている。セキュリティインシデントのうち，PSIRT が対応するものはどれか。

    • ア．組織が顧客に販売した製品とその利用において発生したセキュリティインシデント
    • イ．組織が製品の在庫を管理するシステムにおいて発生したセキュリティインシデント
    • ウ．組織が製品の販売を管理するシステムにおいて発生したセキュリティインシデント
    • エ．組織の従業員の個人情報を管理するシステムにおいて発生したセキュリティインシデント

    正解：ア．組織が顧客に販売した製品とその利用において発生したセキュリティインシデント

    解説：PSIRT は Product Security Incident Response Team の略で，自社が世に出した製品やサービスの脆弱性・インシデントに対応する組織である。顧客が使っている製品に脆弱性が見つかったときに，調査・修正版の提供・利用者への告知までを担う。よって答はア。一方 CSIRT（Computer Security Incident Response Team）は，自組織の情報システムや社内ネットワークで起きたインシデントに対応する。イの在庫管理システム，ウの販売管理システム，エの従業員の個人情報を扱うシステムは，いずれも組織が自分で使っている社内システムなので CSIRT の担当である。「外に出した製品が P」「自分たちのシステムが C」と押さえると区別できる。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問40
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  66. 問66．JIS Q 27000:2019（情報セキュリティマネジメントシステム−用語）における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。 〔定義〕 a 意図する行動と結果とが一貫しているという特性 b エンティティは，それが主張するとおりのものであるという特性 c 認可されたエンティティが要求したときに，アクセス及び使用が可能であるという特性 d 認可されていない個人，エンティティ又はプロセスに対して，情報を使用させず，また，開示しないという特性

    • ア．真正性＝b ／ 信頼性＝a
    • イ．真正性＝b ／ 信頼性＝c
    • ウ．真正性＝d ／ 信頼性＝a
    • エ．真正性＝d ／ 信頼性＝c

    正解：ア．真正性＝b ／ 信頼性＝a

    解説：JIS Q 27000:2019 の定義では，真正性は「エンティティは，それが主張するとおりのものであるという特性」で b にあたる。名乗っている本人・本物であることを指す。信頼性は「意図する行動と結果とが一貫しているという特性」で a にあたる。期待したとおりに動き，同じ条件なら同じ結果になることを指す。よって答はア。残る c と d は別の特性の定義で，c の「認可されたエンティティが要求したときにアクセス及び使用が可能」は可用性，d の「認可されていない者に情報を使用させず開示しない」は機密性である。機密性・完全性・可用性の3つが情報セキュリティの基本で，真正性・責任追跡性・否認防止・信頼性を加えた7要素として整理されることが多い。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問41
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  67. 問67．CSPM（Cloud Security Posture Management）はどれか。

    • ア．クラウドサービスにおける情報漏えいなどのリスクを低減するために，設定の監視を行ったり，自動的に不備を修正したりするサービス
    • イ．従業員からの情報セキュリティマネジメントシステムに関する問合せに応じ，必要な支援を行うクラウドサービス
    • ウ．従業員によるインターネット上の SaaS の利用状況を可視化することによって，ポリシー違反を検出し，接続制限を行うサービス
    • エ．ファイアウォール，マルウェア検知などのセキュリティ機能を統合し，パッケージとして提供するクラウドサービス

    正解：ア．クラウドサービスにおける情報漏えいなどのリスクを低減するために，設定の監視を行ったり，自動的に不備を修正したりするサービス

    解説：クラウドの事故は，製品の欠陥よりも「設定の誤り」で起きることが多い。ストレージが公開状態のままだった，強すぎる権限が付いたままだった，といった不備である。CSPM は，クラウド環境の設定を継続して点検し，基準から外れた箇所を知らせたり自動で直したりする仕組みなので，答はア。ウは CASB の説明で，従業員がどの SaaS をどう使っているかを可視化し，ポリシーに反する利用を制御するものである。監視の対象が「自社が構築したクラウド環境の設定」か「従業員によるサービス利用」かで役割が分かれる。エは複数のセキュリティ機能をまとめて提供するもので，UTM をクラウドで提供する形に近い。イはヘルプデスクの説明で，設定の点検を行うものではない。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問42
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  68. 問68．脆弱性検査で，ホストに対してポートスキャンを行う。スキャンしたポートの状態を判定する方法のうち，適切なものはどれか。

    • ア．ポートに SYN パケットを送信して“RST/ACK”パケットを受信したとき，接続要求が許可されたと判定する。
    • イ．ポートに SYN パケットを送信して“SYN/ACK”パケットを受信したとき，接続要求が中断又は拒否されたと判定する。
    • ウ．ポートに UDP パケットを送信してメッセージ“ICMP port unreachable”を受信したとき，対象ポートが閉じていると判定する。
    • エ．ポートに UDP パケットを送信してメッセージ“ICMP port unreachable”を受信したとき，対象ポートが開いていると判定する。

    正解：ウ．ポートに UDP パケットを送信してメッセージ“ICMP port unreachable”を受信したとき，対象ポートが閉じていると判定する。

    解説：UDP は接続の手順を持たないので，開いているポートに送っても普通は何も返ってこない。逆に閉じているポートに送ると，そのポートで待っているプログラムが無いことを知らせる“ICMP port unreachable”が返る。つまり応答が返ってきたら閉，無反応なら開（またはファイアウォールで遮断）と判定する。よって答はウで，エはこれを逆に述べている。TCP の場合は3ウェイハンドシェイクの応答で判断し，SYN を送って“SYN/ACK”が返れば開いている，“RST/ACK”が返れば閉じていると分かる。アとイはこの対応を入れ替えているので誤り。UDP スキャンは「返ってこない＝開いているかもしれない」という消極的な判定になるため，TCP スキャンより時間がかかり結果もあいまいになりやすい。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問43
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  69. 問69．デジタルフォレンジックスの手順は収集，検査，分析及び報告から成る。このとき，デジタルフォレンジックスの手順に含まれるものはどれか。

    • ア．サーバとネットワーク機器のログをログ管理サーバに集約し，リアルタイムに相関分析することによって，不正アクセスを検出する。
    • イ．サーバのハードディスクを解析し，削除されたログファイルを復元することによって，不正アクセスの痕跡を発見する。
    • ウ．電子メールを外部に送る際に，本文及び添付ファイルを暗号化することによって，情報漏えいを防ぐ。
    • エ．プログラムを実行する際に，プログラムファイルのハッシュ値と脅威情報とを突き合わせることによって，プログラムがマルウェアかどうかを検査する。

    正解：イ．サーバのハードディスクを解析し，削除されたログファイルを復元することによって，不正アクセスの痕跡を発見する。

    解説：デジタルフォレンジックスは，事故が起きた後に，証拠となるデータを原形を保ったまま集めて解析し，何が起きたのかを法的にも通用する形で明らかにする活動である。削除されたファイルを復元して痕跡をたどるのは，まさにその「収集・検査・分析」に当たるので答はイ。アは SIEM による監視で，事故を起こさせない・早く気づくための平常時の仕組みであり，事後の証拠保全ではない。ウはメールの暗号化で情報漏えいを防ぐ予防策。エは実行前にマルウェアかどうかを調べる検知であり，やはり事前の対策である。フォレンジックスでは，証拠が変化しないようにディスクを直接使わず複製して解析し，取り扱いの経緯（証拠保全の連鎖）を記録することが重要になる。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問44
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  70. 問70．電子メールの送信時に，送信側メールサーバでデジタル署名を電子メールヘッダーに付与し，受信側メールサーバでそれを検証することで，送信元ドメインのなりすましや電子メールの改ざんを検知できる技術はどれか。

    • ア．DKIM
    • イ．OP25B
    • ウ．S/MIME
    • エ．SPF

    正解：ア．DKIM

    解説：DKIM は，送信側のメールサーバがメールに電子署名を付け，その検証に使う公開鍵を送信元ドメインの DNS に公開しておく仕組みである。受信側は DNS から鍵を取って署名を確かめるので，ドメインのなりすましだけでなく本文やヘッダーの改ざんも見つけられる。よって答はア。エの SPF は，そのドメインのメールを送ってよいサーバのIPアドレスを DNS に列挙しておく方式で，送信元サーバが正しいかは分かるが署名ではないので改ざんは検知できない。ウの S/MIME も署名と暗号化を行うが，署名するのは利用者本人であってメールサーバではなく，検証も受信者の手元で行う。イの OP25B は，自ネットワークから外部への25番ポートの通信を遮断して迷惑メールの直接送信を防ぐ運用で，署名とは関係がない。実務では SPF と DKIM の結果を使って方針を決める DMARC を組み合わせる。

    出典：情報処理推進機構「令和7年度秋期 応用情報技術者試験 午前問題」問45
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  71. 問71．企業の DMZ 上で1台の DNS サーバを，インターネット公開用と，社内の PC 及びサーバからの名前解決の問合せに対応する社内用とで共用している。この DNS サーバが，DNS キャッシュポイズニング攻撃による被害を受けた結果，直接引き起こされ得る現象はどれか。

    • ア．DNS サーバのハードディスク上に定義されている DNS サーバ名が書き換わり，インターネットから DNS サーバに接続できなくなる。
    • イ．DNS サーバのメモリ上にワームが常駐し，DNS 参照元に対して不正プログラムを送り込む。
    • ウ．社内の利用者が，インターネット上の特定の Web サーバにアクセスしようとすると，本来とは異なる Web サーバに誘導される。
    • エ．社内の利用者間の電子メールについて，宛先メールアドレスが書き換えられ，送信ができなくなる。

    正解：ウ．社内の利用者が，インターネット上の特定の Web サーバにアクセスしようとすると，本来とは異なる Web サーバに誘導される。

    解説：DNS キャッシュポイズニング攻撃は，DNS サーバのキャッシュに偽の名前と IP アドレスの対応を覚え込ませる攻撃である。この DNS サーバは社内からの名前解決も受け持っているので，汚染されたキャッシュを参照した社内の利用者は，正しいドメイン名を入力したつもりでも攻撃者が用意した別の IP アドレスへ導かれる。その結果，偽の Web サーバに誘導され，入力した認証情報を盗まれたりマルウェアを仕込まれたりする。したがって直接引き起こされ得る現象はウで，これが答え。アは，攻撃で書き換わるのはキャッシュ（メモリ上の一時的な対応表）であって，ハードディスク上のサーバの定義ファイルではない。イは，キャッシュに偽の情報を入れる攻撃であって，サーバにワームを常駐させるものではない。ワームの常駐はサーバ自体への侵入を伴う別の攻撃である。エは，メールアドレスそのものが書き換えられるわけではない。ただし，メールの配送先を決める MX レコードの対応が汚染されれば，メールが攻撃者のサーバへ配送されるという被害はあり得る。「送信ができなくなる」という結果の記述が実際の被害の形と合っていない。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問36
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  72. 問72．DNSSEC で実現できることはどれか。

    • ア．DNS キャッシュサーバが得た応答の中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証
    • イ．権威 DNS サーバと DNS キャッシュサーバとの通信を暗号化することによる，ゾーン情報の漏えいの防止
    • ウ．長音“ー”と漢数字“一”などの似た文字をドメイン名に用いて，正規サイトのように見せかける攻撃の防止
    • エ．利用者の URL の入力誤りを悪用して，偽サイトに誘導する攻撃の検知

    正解：ア．DNS キャッシュサーバが得た応答の中のリソースレコードが，権威 DNS サーバで管理されているものであり，改ざんされていないことの検証

    解説：DNSSEC（DNS Security Extensions）は，リソースレコードに公開鍵暗号によるデジタル署名を付けることで，その応答が正当な権威 DNS サーバから来たものであり，途中で改ざんされていないことを受信側が検証できるようにした拡張仕様である。したがって答はア。上位のゾーンが下位のゾーンの鍵を保証する信頼の連鎖によってルートまでたどれるので，偽の応答をキャッシュに覚え込ませる DNS キャッシュポイズニングへの根本的な対策になる。イは誤りで，DNSSEC は署名によって完全性と出自を保証するだけで，通信内容の暗号化は行わない。DNS の応答は署名付きでも平文で流れるので，内容は第三者に見える。通信を暗号化するのは DNS over TLS（DoT）や DNS over HTTPS（DoH）である。ウは，見た目の似た文字を使うホモグラフ攻撃の話で，これは正当に登録されたドメインを使う攻撃なので，署名の検証では防げない。エは，入力誤りを狙って似た綴りのドメインを取得するタイポスクワッティングの話で，これも別のドメインが正当に応答するため DNSSEC の検証では検知できない。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問37
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  73. 問73．公開鍵暗号方式を使った暗号通信を n 人が相互に行う場合，全部で何個の異なる鍵が必要になるか。ここで，一組の公開鍵と秘密鍵は2個と数える。

    • ア．n＋1
    • イ．2n
    • ウ．n(n－1)/2
    • エ．n²

    正解：イ．2n

    解説：公開鍵暗号方式では，鍵は人ごとに用意する。各人が自分の公開鍵と秘密鍵の組を1つ持ち，公開鍵は誰にでも配ってよいので，相手が何人増えても自分の鍵を作り足す必要はない。したがって n 人なら1人あたり2個で 2n 個となり，答はイ。誰かに送るときは相手の公開鍵で暗号化し，受け取った側は自分の秘密鍵で復号するので，相手ごとに別の鍵を用意する必要がないのがこの方式の大きな利点である。ウの n(n－1)/2 は共通鍵暗号方式で必要な鍵の数である。共通鍵では通信する2人ごとに固有の鍵を共有しなければならないので，鍵の数は組合せの数だけ必要になり，人数が増えると急激に増える（100人なら4,950個）。この鍵管理の負担を解消したのが公開鍵暗号方式で，同じ100人なら200個で済む。アの n＋1 とエの n² は，どちらの方式の数え方にも当てはまらない。なお実際の通信では，公開鍵暗号で共通鍵を安全に受け渡し，本文は処理の速い共通鍵暗号で暗号化するハイブリッド方式が使われる。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問38
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  74. 問74．自社製品の脆弱性に起因するリスクに対応するための社内機能として，最も適切なものはどれか。

    • ア．CSIRT
    • イ．PSIRT
    • ウ．SOC
    • エ．WHOIS データベースの技術連絡担当

    正解：イ．PSIRT

    解説：PSIRT（Product Security Incident Response Team）は，自社が提供する製品やサービスに含まれる脆弱性を扱う組織である。脆弱性の情報を外部の研究者や利用者から受け付け，影響範囲を調べ，修正版や回避策を用意して顧客へ告知し，公表の時期を関係者と調整するという一連の対応を担う。設問は「自社製品の脆弱性に起因するリスク」への対応なので答はイ。アの CSIRT（Computer Security Incident Response Team）は，自組織の情報システムで起きたセキュリティインシデントに対応する組織で，守る対象が社内の環境である点が PSIRT と異なる。ウの SOC（Security Operation Center）は，ネットワークや機器のログを常時監視して攻撃の兆候を検知・分析する機能で，検知した事案を CSIRT へ引き継ぐという関係にある。エの WHOIS データベースの技術連絡担当は，ドメイン名や IP アドレスの登録情報に記載される連絡先で，運用上の問い合わせ窓口にはなるが製品の脆弱性対応を担う組織ではない。守る対象が「社内の環境」なら CSIRT，「自社が世に出した製品」なら PSIRT と押さえると区別できる。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問39
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  75. 問75．JIS Q 31000:2019（リスクマネジメント－指針）において，リスク特定で考慮することが望ましいとされている事項はどれか。

    • ア．結果の性質及び大きさ
    • イ．残留リスクが許容可能かどうかの判断
    • ウ．資産及び組織の資源の性質及び価値
    • エ．事象の起こりやすさ及び結果

    正解：ウ．資産及び組織の資源の性質及び価値

    解説：JIS Q 31000 のリスクアセスメントは，リスク特定・リスク分析・リスク評価の3段階で構成される。リスク特定はリスクを発見して認識し，記述する段階で，考慮することが望ましい事項として，リスク源，事象とその原因，結果，脆弱性と能力の変化，資産及び組織の資源の性質及び価値，時間に関係する要素などが挙げられている。したがって答はウ。何が守るべき価値をもつのかを把握しないとリスクを洗い出せないため，この段階で資産と資源を確かめることが求められる。アの「結果の性質及び大きさ」とエの「事象の起こりやすさ及び結果」は，特定したリスクの性質を理解して水準を決めるリスク分析の段階で考慮する事項である。イの「残留リスクが許容可能かどうかの判断」は，分析の結果を基準と比べて対応の必要性や優先順位を決めるリスク評価の段階に当たる。3段階は「洗い出す（特定）→ 大きさを見る（分析）→ 受け入れられるか決める（評価）」という流れなので，設問の記述がどの問いに答えているかで見分けられる。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問40
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  76. 問76．WAF による防御が有効な攻撃として，最も適切なものはどれか。

    • ア．DNS サーバに対する DNS キャッシュポイズニング
    • イ．REST API サービスに対する API の脆弱性を狙った攻撃
    • ウ．SMTP サーバの第三者不正中継の脆弱性を悪用したフィッシングメールの配信
    • エ．電子メールサービスに対する大量，かつ，サイズの大きな電子メールの配信

    正解：イ．REST API サービスに対する API の脆弱性を狙った攻撃

    解説：WAF（Web Application Firewall）は，HTTP・HTTPS の通信内容を解析して，Web アプリケーションを狙った攻撃を検知・遮断する仕組みである。SQL インジェクション，クロスサイドスクリプティング，OS コマンドインジェクションなどのパターンを検出でき，REST API も HTTP の上で動く Web アプリケーションなので防御の対象になる。したがって答はイ。通常のファイアウォールがポート番号や IP アドレスで通す・通さないを判断するのに対し，WAF はその先にある「HTTP の中身」を見る点が違いである。アの DNS キャッシュポイズニングは DNS のプロトコルに対する攻撃で，HTTP の通信ではないので WAF の対象外である。対策は DNSSEC やポート番号のランダム化になる。ウの SMTP の第三者不正中継も，メール送信のプロトコルに関する設定の問題であり，WAF では扱えない。中継を許さない設定にすることが対策である。エの大量・大容量のメール配信はメールサーバへの負荷攻撃で，こちらもメールの経路上の対策（流量制限やサイズ制限）が必要になる。守る対象が「Web アプリケーション」かどうかが判断の分かれ目である。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問41
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  77. 問77．PC からサーバに対し，IPv6 を利用した通信を行う場合，ネットワーク層で暗号化を行うときに利用するものはどれか。

    • ア．IPsec
    • イ．PPP
    • ウ．SSH
    • エ．TLS

    正解：ア．IPsec

    解説：IPsec は，IP パケットそのものを暗号化・認証するプロトコル群で，OSI 基本参照モデルのネットワーク層（第3層）で働く。暗号化を担う ESP と認証を担う AH，鍵交換を行う IKE から構成され，IPv6 では当初から標準の機能として組み込まれている。したがって答はア。ネットワーク層で処理するため，上位のアプリケーションを変更しなくても通信を保護できる点が特徴で，拠点間 VPN やリモートアクセス VPN に広く使われている。エの TLS は，トランスポート層の TCP の上で動作してアプリケーションに暗号化された通信路を提供するもので，層が異なる。HTTPS や SMTPS のように，アプリケーションごとに対応が必要になる。ウの SSH は，遠隔のコンピュータに安全にログインしてコマンドを実行するためのプロトコルで，アプリケーション層に位置し，ポート転送によってほかの通信を通すこともできるが，ネットワーク層の暗号化ではない。イの PPP は2点間のデータリンクを確立するデータリンク層のプロトコルで，認証やアドレス割当てを担うが暗号化を主目的とはしていない。層ごとに「IPsec は第3層，TLS は第4層より上」と整理して押さえたい。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問42
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  78. 問78．SPF（Sender Policy Framework）の仕組みはどれか。

    • ア．電子メールを受信するサーバが，電子メールに付与されているデジタル署名を使って，送信元ドメインの詐称がないことを確認する。
    • イ．電子メールを受信するサーバが，電子メールの送信元のドメイン情報と，電子メールを送信したサーバの IP アドレスから，送信元ドメインの詐称がないことを確認する。
    • ウ．電子メールを送信するサーバが，電子メールの宛先のドメインや送信者のメールアドレスを問わず，全ての電子メールをアーカイブする。
    • エ．電子メールを送信するサーバが，電子メールの送信者の上司からの承認が得られるまで，一時的に電子メールの送信を保留する。

    正解：イ．電子メールを受信するサーバが，電子メールの送信元のドメイン情報と，電子メールを送信したサーバの IP アドレスから，送信元ドメインの詐称がないことを確認する。

    解説：SPF は，あるドメインのメールを送信してよいサーバの IP アドレスを，そのドメインの DNS に SPF レコード（TXT レコード）として登録しておく仕組みである。受信側のサーバは，メールの送信元ドメインを見て DNS に問い合わせ，実際に接続してきたサーバの IP アドレスがその一覧に含まれるかを照合することで，送信元ドメインが詐称されていないかを確かめる。したがって答はイ。アは DKIM（DomainKeys Identified Mail）の説明で，送信側が本文とヘッダーにデジタル署名を付け，受信側が DNS で公開された公開鍵を使って検証する方式である。SPF が「どこから送られたか」を見るのに対し，DKIM は「内容が誰の署名で保証されているか」を見るという違いがあり，実務では両方を導入し，その結果に応じた扱いをドメイン所有者が宣言する DMARC を組み合わせるのが標準的な構成になっている。ウは全メールのアーカイブで，これは監査や訴訟対応のための保存の仕組みであり，送信元の検証とは別である。エは上司の承認を待って送信を保留する仕組みで，誤送信を防ぐ運用上の機能である。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問43
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  79. 問79．IC カードの耐タンパ性を高める対策はどれか。

    • ア．IC カードと IC カードリーダーとが非接触の状態で利用者を認証して，利用者の利便性を高めるようにする。
    • イ．故障に備えてあらかじめ作成した予備の IC カードを保管し，故障時に直ちに予備カードに交換して利用者が IC カードを使い続けられるようにする。
    • ウ．信号の読出し用プローブの取付けを検出すると IC チップ内の保存情報を消去する回路を設けて，IC チップ内の情報を容易には解析できないようにする。
    • エ．利用者認証に IC カードを利用している業務システムにおいて，退職者の IC カードは業務システム側で利用を停止して，他の利用者が利用できないようにする。

    正解：ウ．信号の読出し用プローブの取付けを検出すると IC チップ内の保存情報を消去する回路を設けて，IC チップ内の情報を容易には解析できないようにする。

    解説：耐タンパ性は，機器を分解したり内部の信号を観測したりして秘密情報を取り出そうとする攻撃に対する強さを指す。IC カードでは，チップの表面を削って配線に探針（プローブ）を当てる手口が典型的な物理攻撃であり，その取付けを検出したときにチップ内の保存情報を消去する回路を組み込んでおけば，解析しようとした時点で情報が失われるため取り出せなくなる。したがって答はウ。ほかにも，配線層を目くらましのパターンで覆う，電源電圧や温度の異常を検知して動作を止める，消費電力の変化から鍵を推測させないよう処理時間を一定にするといった対策がある。アの非接触化は利便性を高める工夫であり，むしろ通信を傍受されやすくなる面もあって耐タンパ性とは方向が異なる。イの予備カードの保管は，故障時にも使い続けられるようにする可用性の対策である。エの退職者のカードの利用停止は，権限管理の運用上の対策で，カードそのものの解析への強さとは別の話である。耐タンパ性は「現物を手に入れた攻撃者に中身を渡さない」ための性質だと押さえるとよい。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問44
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  80. 問80．オブジェクト指向におけるクラス間の関係のうち，適切なものはどれか。

    • ア．クラス間の関連は，二つのクラス間でだけ定義できる。
    • イ．サブクラスではスーパークラスの操作を再定義することができる。
    • ウ．サブクラスのインスタンスが，スーパークラスで定義されている操作を実行するときは，スーパークラスのインスタンスに操作を依頼する。
    • エ．二つのクラスに集約の関係があるときには，集約オブジェクトは部分となるオブジェクトと，属性及び操作を共有する。

    正解：イ．サブクラスではスーパークラスの操作を再定義することができる。

    解説：サブクラス（下位クラス）はスーパークラス（上位クラス）の属性と操作を継承するが，継承した操作を自分に合った処理へ書き換えることができる。これをオーバーライド（再定義）といい，同じ操作名の呼出しに対して実際のクラスに応じた処理が実行される多相性（ポリモーフィズム）の土台になる。したがって答はイ。ウは誤りで，継承によってスーパークラスの操作はサブクラスのインスタンス自身が持つものになるため，別にスーパークラスのインスタンスを作って依頼するわけではない。継承は「機能を受け継ぐ」関係であって，実行時に別のオブジェクトへ委譲する関係（コンポジションによる委譲）とは異なる。アも誤りで，関連は3つ以上のクラスの間でも定義できる（3項関連）。実務では2項関連が大半だが，仕様上は制限されていない。エも誤りで，集約は「全体と部分」の関係を表すだけであり，全体側のオブジェクトが部分側の属性や操作を自分のものとして共有するわけではない。属性や操作を受け継ぐのは継承の関係であり，集約と継承を取り違えないことがこの設問の要点である。

    出典：情報処理推進機構「令和6年度春期 応用情報技術者試験 午前問題」問45
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  81. 問81．IPv4 の LAN に接続されているプリンターの MAC アドレスを，同一 LAN 上の PC から調べるときに使用するコマンドはどれか。ここで，PC はこのプリンターを直前に使用しており，プリンターの IP アドレスは分かっているものとする。

    • ア．arp
    • イ．ipconfig 又は ifconfig
    • ウ．netstat
    • エ．ping

    正解：ア．arp

    解説：同一 LAN 内で通信するとき，機器は相手の IP アドレスから MAC アドレスを求める ARP を行い，その対応をしばらく ARP キャッシュに保持する。arp コマンドはこのキャッシュの内容を表示するもので，直前にプリンターを使っていれば対応が残っているので，IP アドレスを指定して MAC アドレスを調べられる。したがって答はア。イの ipconfig（Windows）や ifconfig（UNIX 系）は，自分の機器のインタフェースの設定，つまり自分の IP アドレス・サブネットマスク・デフォルトゲートウェイ・自分の MAC アドレスを表示するコマンドで，相手の MAC アドレスは分からない。ウの netstat は，通信中のコネクションの一覧，待ち受けているポート，ルーティングテーブル，通信の統計を表示するコマンドで，MAC アドレスは扱わない。エの ping は，指定した相手に ICMP のエコー要求を送って応答の有無と往復時間を測るコマンドで，到達確認はできるが MAC アドレスは表示しない。ただし ping を打つと ARP が行われるので，キャッシュに対応が残っていないときは ping の後に arp を実行するという使い方になる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問36
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  82. 問82．企業内のクライアントからクラウドサービスへのアクセスに SAML 認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者 ID とパスワードは企業内のディレクトリサービスで管理し，利用者認証は企業内の認証サーバで行う。

    • ア．クラウドサービスがディレクトリサービスに利用者 ID とパスワードの送信を要求する。
    • イ．認証サーバからクラウドサービスに，利用者 ID とパスワードを送信する。
    • ウ．認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
    • エ．利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ，さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。

    正解：ウ．認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

    解説：SAML（Security Assertion Markup Language）は，認証を行う側（IdP＝ここでは企業内の認証サーバ）と，サービスを提供する側（SP＝クラウドサービス）の間で，認証結果を安全にやり取りするための仕様である。流れは，クライアントがクラウドサービスにアクセスすると企業内の認証サーバへ転送され，そこで利用者認証を受け，認証サーバが署名付きの認証結果（アサーション）を発行し，クライアントのブラウザがそれをクラウドサービスへ転送（POST）する，というものである。つまり認証結果はクライアントを経由して渡されるので，答はウ。この方式の要点は，パスワードが企業の外に出ないことにある。アとイは利用者 ID とパスワードそのものをクラウドサービス側やその要求に応じて渡す形になっており，SAML が避けようとしていることに反する。エは，パスワードとサーバから受け取った乱数（チャレンジ）を合わせてハッシュ化して送るチャレンジレスポンス認証の説明で，これはクラウドサービス自身が利用者を認証する方式であり，認証を企業内の認証サーバに任せる SAML の考え方とは異なる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問37
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  83. 問83．インターネット上の使われていない IP アドレス空間に大量に届くパケットはどれか。

    • ア．インターネット上で公開されている Web サイトに対して PC から送信するパケット
    • イ．インターネットにつながっており，実在する IoT 機器から実在するサーバに送信されるパケット
    • ウ．攻撃者やマルウェアが IoT 機器やサーバなどの攻撃対象を探すために送信するパケット
    • エ．有効な電子メールアドレスに対して攻撃者が標的型攻撃メールを送信する SMTP のパケット

    正解：ウ．攻撃者やマルウェアが IoT 機器やサーバなどの攻撃対象を探すために送信するパケット

    解説：割り当てられているが実際には使われていない IP アドレスの空間をダークネットという。本来そこには正常な通信は届かないはずなので，そこへ届くパケットのほとんどは，攻撃者やマルウェアがアドレスを片端から走査して攻撃できる機器を探している通信（スキャン），送信元を偽装した攻撃の跳ね返り（バックスキャッタ），設定の誤りによるものである。したがって答はウ。この性質を利用して，ダークネットに届くパケットを観測して攻撃の傾向を早期に把握する取組みが行われており，日本では情報通信研究機構の NICTER が代表例である。アは公開された Web サイト，つまり実在する宛先への正常な通信なのでダークネットには届かない。イも実在する機器から実在するサーバへの通信で，宛先は使われているアドレスである。エは有効な電子メールアドレス，すなわち実在するメールサーバ宛ての通信なので，これもダークネットには入らない。「宛先が実在しないのに大量に来る」という点が見分けの鍵になる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問38
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  84. 問84．ディープフェイクを悪用した攻撃に該当するものはどれか。

    • ア．AI 技術によって加工した CEO の音声を使用して従業員に電話をかけ，指定した銀行口座に送金するよう指示した。
    • イ．企業の PC をランサムウェアに感染させ，暗号化したデータを復号するための鍵と引き換えに，指定した方法で暗号資産を送付するよう指示した。
    • ウ．企業の秘密情報を含むデータを不正に取得したと誤認させる電子メールを従業員に送付し，不正に取得したデータを公開しないことと引き換えに，指定した方法で暗号資産を送付するよう指示した。
    • エ．ディープウェブにて入手した認証情報で CEO の電子メールアカウントに不正にログインして偽りの電子メールを従業員に送付し，指定した銀行口座に送金するよう指示した。

    正解：ア．AI 技術によって加工した CEO の音声を使用して従業員に電話をかけ，指定した銀行口座に送金するよう指示した。

    解説：ディープフェイクは，深層学習（ディープラーニング）を使って本人そっくりの映像や音声を作り出す技術，およびそれを使った偽の情報を指す。実在する人物が言っていないことを言ったように見せられるため，本人と信じ込ませる詐欺に悪用される。CEO の声を AI で合成して従業員に電話をかけ，送金を指示するアがこれに当たり，答はア。実際に海外でこの手口による多額の被害が報告されている。イはランサムウェア（身代金要求型ウイルス）による攻撃で，データを暗号化して復号鍵と引き換えに支払いを求めるものである。ウは実際にはデータを取っていないのに取ったと思わせて金銭を要求する手口（脅迫詐欺）で，どちらも偽の映像や音声を作る技術は使っていない。エは，ディープウェブ（通常の検索では見つからない領域）で入手した認証情報を使って本人のアカウントに侵入し，本物のアカウントから偽の指示を送るビジネスメール詐欺（BEC）の手口である。「ディープ」という語が共通するが，ディープフェイクとは別物であり，こちらは本人のアカウントを乗っ取っている点が違う。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問39
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  85. 問85．パスワードリスト攻撃に該当するものはどれか。

    • ア．一般的な単語や人名からパスワードのリストを作成し，インターネットバンキングへのログインを試行する。
    • イ．想定し得るパスワードとそのハッシュ値との対のリストを用いて，入手したハッシュ値からパスワードを効率的に解析する。
    • ウ．どこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。
    • エ．ピクチャパスワードの入力を録画してリスト化しておき，それを利用することによってタブレット端末へのログインを試行する。

    正解：ウ．どこかの Web サイトから流出した利用者 ID とパスワードのリストを用いて，他の Web サイトに対してログインを試行する。

    解説：パスワードリスト攻撃は，どこかのサイトから漏れた利用者 ID とパスワードの組をそのまま別のサイトで試す攻撃である。多くの人が複数のサイトで同じ ID とパスワードを使い回しているため，正しい組を持っている攻撃者は高い確率でログインに成功してしまう。したがって答はウ。防ぐには利用者側がサイトごとに異なるパスワードを使うことが基本で，運営側は多要素認証の導入や，同一 IP からの大量のログイン試行の検知で被害を抑える。アは，辞書に載っている単語や人名を候補にして試す辞書攻撃の説明である。イは，想定されるパスワードとそのハッシュ値の対応表をあらかじめ作っておき，入手したハッシュ値から逆引きするレインボーテーブル攻撃の説明で，これに対してはパスワードごとに異なるソルトを付けて対策する。エは，入力の様子を録画して後で再現する手口で，肩越しにのぞき見るショルダーハックの一種である。「リスト」という語がいくつかの選択肢に出てくるが，パスワードリスト攻撃の本質は「他のサイトから流出した正しい組の使い回し」である点で区別できる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問40
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  86. 問86．JVN などの脆弱性情報サイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

    • ア．コンピュータで必要なセキュリティ設定項目を識別するための識別子
    • イ．脆弱性が悪用されて改ざんされた Web サイトのスクリーンショットを識別するための識別子
    • ウ．製品に含まれる脆弱性を識別するための識別子
    • エ．セキュリティ製品の種別を識別するための識別子

    正解：ウ．製品に含まれる脆弱性を識別するための識別子

    解説：CVE 識別子は，公表された個々の脆弱性に世界共通の番号を与える仕組みで，「CVE-2024-12345」のように西暦と連番で表される。同じ脆弱性を各社・各国のサイトが別の名前で呼ぶと対応の議論がかみ合わないため，共通の番号で参照できるようにしたものである。したがって答はウ。日本の JVN や米国の NVD といった脆弱性情報データベースはこの識別子を使って情報を結び付けている。アは，OS やソフトウェアのセキュリティ設定項目に番号を与える CCE（Common Configuration Enumeration）の説明である。エは，ハードウェアや OS，アプリケーションといった製品自体に共通の名前を与える CPE（Common Platform Enumeration）の説明で，「どの製品のどのバージョンが影響を受けるか」を機械的に照合するために使われる。イのようにスクリーンショットに識別子を与える仕組みは存在しない。関連して，脆弱性の深刻度を数値で表す CVSS（Common Vulnerability Scoring System）もあり，CVE が「何の脆弱性か」，CVSS が「どれくらい深刻か」を担うと整理できる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問41
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  87. 問87．DNS キャッシュポイズニング攻撃に対して有効な対策はどれか。

    • ア．DNS サーバにおいて，侵入したマルウェアをリアルタイムに隔離する。
    • イ．DNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更する。
    • ウ．DNS 問合せに使用する送信元ポート番号を53番に固定する。
    • エ．外部からの DNS 問合せに対しては，宛先ポート番号53のものだけに応答する。

    正解：イ．DNS 問合せに使用する DNS ヘッダー内の ID を固定せずにランダムに変更する。

    解説：DNS キャッシュポイズニングは，キャッシュサーバが権威サーバへ問い合わせている隙に，攻撃者が偽の応答を先に送り込んで誤った対応をキャッシュに覚え込ませる攻撃である。偽の応答が受け入れられるには，問合せに付けたトランザクション ID と送信元ポート番号が一致していなければならないので，これらを推測されにくくするのが基本の対策になる。DNS ヘッダー内の ID を毎回ランダムに変えるイが正しく，これが答え。ウは逆効果で，送信元ポート番号もランダムに変える（ソースポートランダマイゼーション）ことで攻撃者が当てるべき組合せが増え，成功確率が大幅に下がる。53番に固定すると推測すべき値が ID だけになり，かえって攻撃しやすくなる。エは，宛先ポート番号53は DNS の標準の待ち受けポートであり，それだけに応答するのは通常の動作であって攻撃対策にならない。アのマルウェアの隔離はサーバ自体が侵入される事態への対策で，偽の応答を注入されるという本攻撃の筋道とは別である。根本的な対策としては，リソースレコードに署名を付けて改ざんを検出できる DNSSEC の導入がある。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問42
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  88. 問88．ソフトウェアのセキュリティ管理に使用される SBOM はどれか。

    • ア．セキュリティアラートやログを集約，分析し，潜在的な脅威を見つけるシステム
    • イ．組織内にあるソフトウェアを含む IT 資産をリスト化したデータベース
    • ウ．組織のソフトウェアのセキュリティ脆弱性と設定ミスを特定，評価，処理，報告するためのプロセス，ツール，戦略
    • エ．ソフトウェアを構成するコンポーネント，相互の依存関係などをリスト化した一覧

    正解：エ．ソフトウェアを構成するコンポーネント，相互の依存関係などをリスト化した一覧

    解説：SBOM（Software Bill Of Materials＝ソフトウェア部品表）は，一つの製品を構成しているライブラリやモジュールについて，名称・バージョン・提供元・ライセンス，そして互いの依存関係を機械可読な形で並べた一覧である。したがって答はエ。近年のソフトウェアは大量のオープンソース部品を取り込んでおり，ある部品に脆弱性が公表されたときに「自社のどの製品のどのバージョンが影響を受けるか」を短時間で特定するために不可欠になった。Apache Log4j の脆弱性で影響調査に時間が掛かった経験から，各国で整備が求められるようになっている。アは SIEM（Security Information and Event Management）の説明で，機器やソフトウェアのログを集めて相関を分析し，兆候を見つける仕組みである。イは IT 資産管理データベース（構成管理データベース＝CMDB）の説明で，対象は組織が保有する資産全体であり，1つの製品の内部構成を表すものではない。ウは脆弱性管理そのものの説明で，SBOM はその活動を支える材料に当たる。「製品の中身の一覧」という点が SBOM の核である。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問43
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  89. 問89．DNSSEC の仕様はどれか。

    • ア．DNS キャッシュサーバで，権威 DNS サーバに名前を問い合わせるときの送信元ポート番号を問合せのたびにランダムに変える。
    • イ．権威 DNS サーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNS キャッシュサーバで，権威 DNS サーバから受信したリソースレコードのデジタル署名を検証する。
    • ウ．電子メールを送信するメールサーバの IP アドレスを権威 DNS サーバに登録する。電子メールを受信するメールサーバで，権威 DNS サーバに登録されている情報を用いて，送信元メールサーバの IP アドレスを検証する。
    • エ．電子メールを送信するメールサーバの公開鍵を権威 DNS サーバで公開し，秘密鍵を使って電子メールにデジタル署名を付与する。電子メールを受信するメールサーバで，電子メールのデジタル署名を検証する。

    正解：イ．権威 DNS サーバで公開鍵を公開し，秘密鍵を使ってリソースレコードにデジタル署名を付与する。DNS キャッシュサーバで，権威 DNS サーバから受信したリソースレコードのデジタル署名を検証する。

    解説：DNSSEC（DNS Security Extensions）は，DNS の応答が正しい管理者から来たもので，途中で改ざんされていないことを公開鍵暗号のデジタル署名で確かめられるようにした拡張仕様である。権威 DNS サーバが秘密鍵でリソースレコードに署名を付け（RRSIG レコード），対応する公開鍵を DNSKEY レコードとして公開し，キャッシュサーバが署名を検証する。これによって DNS キャッシュポイズニングで偽の応答を覚え込まされることを防げるので，答はイ。上位のゾーンが下位の鍵を保証する信頼の連鎖（chain of trust）でルートまでたどれる点も特徴である。アは送信元ポート番号のランダム化で，キャッシュポイズニングを当たりにくくする運用上の対策だが，署名による検証ではない。ウは SPF（Sender Policy Framework）の説明で，そのドメインのメールを送ってよいサーバの IP アドレスを DNS に登録して受信側が照合する仕組みである。エは DKIM（DomainKeys Identified Mail）の説明で，メール本文とヘッダーに署名を付け，公開鍵を DNS で配る仕組みである。ウとエはどちらも DNS を使うがメールの送信者を認証する技術であり，DNS 自体の応答を守る DNSSEC とは目的が異なる。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問44
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  90. 問90．VLAN 機能をもった1台のレイヤー3スイッチに40台の PC を接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき，スイッチのポートをセグメントに分けない場合に比べて得られるセキュリティ上の効果の一つはどれか。

    • ア．スイッチが，PC から送出される ICMP パケットを同一セグメント内も含め，全て遮断するので，PC 間のマルウェア感染のリスクを低減できる。
    • イ．スイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
    • ウ．スイッチが，PC の MAC アドレスから接続可否を判別するので，PC の不正接続のリスクを低減できる。
    • エ．スイッチが，物理ポートごとに，決まった IP アドレスをもつ PC の接続だけを許可するので，PC の不正接続のリスクを低減できる。

    正解：イ．スイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

    解説：VLAN はスイッチのポートをグループに分け，グループごとに別のブロードキャストドメインを作る機能である。ブロードキャストは同じ VLAN の中だけに届くようになるので，ARP 要求や機器の探索パケットに含まれる IP アドレスや MAC アドレスといった情報が，本来関係のない機器にまで届かなくなる。したがって答はイ。分けた VLAN の間の通信はレイヤー3の転送を経由するため，そこにアクセス制御を掛けて必要な通信だけを通すという設計もできる。アは，VLAN は同一セグメント内の通信をそのまま通すので「同一セグメント内も含め全て遮断する」は誤りである。ICMP を遮断するかどうかはフィルタリングの設定であって VLAN の働きではない。ウは，MAC アドレスで接続の可否を判別するのはポートセキュリティや MAC アドレス認証の機能で，VLAN そのものの効果ではない。エも，物理ポートごとに特定の IP アドレスだけを許可するのはフィルタリングの設定であり，VLAN の分割によって自動的に得られるものではない。VLAN の本質は「届く範囲を区切ること」だと押さえておくとよい。

    出典：情報処理推進機構「令和6年度秋期 応用情報技術者試験 午前問題」問45
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  91. 問91．Web サーバのログを分析したところ，Web サーバへの攻撃と思われる HTTP リクエストヘッダーが記録されていた。次の HTTP リクエストヘッダーから推測できる，攻撃者が悪用しようとしていた可能性が高い脆弱性はどれか。ここで，HTTP リクエストヘッダー中の“%20”は空白を意味する。 〔HTTP リクエストヘッダーの一部〕 GET /cgi-bin/submit.cgi?user=;cat%20/etc/passwd HTTP/1.1 Accept: */* Accept-Language: ja UA-CPU: x86 Accept-Encoding: gzip, deflate User-Agent: （省略） Host: test.example.com Connection: Keep-Alive

    • ア．HTTP ヘッダーインジェクション（HTTP Response Splitting）
    • イ．OS コマンドインジェクション
    • ウ．SQL インジェクション
    • エ．クロスサイトスクリプティング

    正解：イ．OS コマンドインジェクション

    解説：リクエスト行のクエリ文字列が user=;cat%20/etc/passwd となっている。%20 は空白なので，これは user パラメータの値として「;cat /etc/passwd」を送っていることになる。セミコロンは UNIX 系のシェルでコマンドを区切る記号であり，cat /etc/passwd はアカウント情報が記されたファイルの内容を表示するコマンドである。つまり，CGI プログラムが受け取った値をそのままシェルに渡している場合に，本来の処理に続けて任意のコマンドを実行させようとする狙いが読み取れる。これは OS コマンドインジェクションなので答はイ。ウの SQL インジェクションであれば，シングルクォートや OR 1=1，UNION SELECT のように SQL 文の構造を壊す文字列が現れる。エのクロスサイトスクリプティングは，scriptタグや onerror= のようにブラウザ上で実行させるスクリプトを送り込むもので，この例のようなシェルコマンドではない。アの HTTP ヘッダーインジェクションは，レスポンスヘッダーに改行を混入させて偽のヘッダーや本文を作り出す攻撃で，%0d%0a（改行）が含まれるのが特徴だが，この例には現れていない。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問36
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  92. 問92．暗号機能を実装した IoT 機器における脅威のうち，サイドチャネル攻撃に該当するものはどれか。

    • ア．暗号化関数を線形近似する式を導き，その線形近似式から秘密情報の取得を試みる。
    • イ．機器が発する電磁波を測定することによって秘密情報の取得を試みる。
    • ウ．二つの平文の差とそれぞれの暗号文の差の関係から，秘密情報の取得を試みる。
    • エ．理論的にあり得る復号鍵の全てを機器に入力して秘密情報の取得を試みる。

    正解：イ．機器が発する電磁波を測定することによって秘密情報の取得を試みる。

    解説：サイドチャネル攻撃は，暗号のアルゴリズムそのものを数学的に破るのではなく，暗号処理を行っている機器から漏れ出る物理的な情報を手掛かりに鍵を推測する攻撃である。手掛かりにされるのは，消費電力の変化，処理に要した時間，発する電磁波，動作音，故意に誤動作させたときの出力などで，これらは本来の入出力（正面の経路）ではない「側面の経路」であることからこの名前が付いている。したがって，機器が発する電磁波を測定して秘密情報を得ようとするイが該当する。アは暗号化関数を線形の式で近似し，その偏りから鍵を絞り込む線形解読法で，暗号アルゴリズムを直接解析する手法である。ウは平文の差と暗号文の差の対応関係を統計的に調べる差分解読法で，これもアルゴリズムに対する解析である。エはあり得る鍵をすべて試す総当たり攻撃（ブルートフォース攻撃）で，鍵長を十分に長くすることで防ぐ。いずれも物理的な漏えい情報を使っていないので，サイドチャネル攻撃には当たらない。IoT 機器は攻撃者が現物を手に入れて測定できる場合が多く，この種の攻撃への対策が重視される。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問37
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  93. 問93．PKI を構成する OCSP を利用する目的はどれか。

    • ア．誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。
    • イ．デジタル証明書から生成した鍵情報の交換が OCSP クライアントと OCSP レスポンダーの間で失敗した際，認証状態を確認する。
    • ウ．デジタル証明書が失効しているかどうかの状態を問い合わせる。
    • エ．有効期限が切れたデジタル証明書の更新処理の進捗状況を確認する。

    正解：ウ．デジタル証明書が失効しているかどうかの状態を問い合わせる。

    解説：OCSP（Online Certificate Status Protocol）は，デジタル証明書が失効していないかをオンラインで問い合わせるためのプロトコルである。利用者側の OCSP クライアントが証明書の識別情報を送ると，OCSP レスポンダーが「有効」「失効」「不明」のいずれかを返す。したがって答はウ。従来は認証局が発行する失効リスト（CRL）を取得して照合していたが，CRL は件数が増えると大きくなり，更新の間隔だけ情報が古くなるという弱点があった。OCSP は必要な1件だけをその場で確認できるため，応答が速く，最新の状態を反映しやすい。アの秘密鍵は本来，利用者が自分で管理して外部に出さないものであり，認証局が再発行するという仕組みではないので該当しない。イは，OCSP は証明書の状態を問い合わせるだけで，鍵交換を行うプロトコルではない。エは，証明書の更新は認証局への申請と再発行の手続で行うものであり，その進捗を確認する用途に OCSP は使われない。なお OCSP には，Web サーバがあらかじめ取得した応答を TLS ハンドシェイク時に添えて渡す OCSP ステープリングという方式もある。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問38
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  94. 問94．欧米などの企業，組織で行われている“セキュリティクリアランス”の事例はどれか。

    • ア．インターネットと重要な秘密情報を取り扱う組織内ネットワークとを，物理的に分離する。
    • イ．重要な秘密情報へのアクセス権を付与されたアカウントを定期的に調べ，不要な場合は削除する。
    • ウ．重要な秘密情報を取り扱う部署に配属される予定の個人の適性を評価する。
    • エ．離席時に机の上の重要な秘密情報を含む書類や媒体を片付ける。

    正解：ウ．重要な秘密情報を取り扱う部署に配属される予定の個人の適性を評価する。

    解説：セキュリティクリアランス（適性評価）は，重要な秘密情報を取り扱わせてよい人物かどうかを，本人の同意のうえで経歴・信用状態・交友関係などから事前に確認し，資格を与える制度である。人に着目した対策であり，設問の「配属される予定の個人の適性を評価する」がこれに当たるので答はウ。日本でも2022年施行の経済安全保障推進法に続き，2024年に成立した重要経済安保情報保護活用法によって民間人を含む適性評価の制度が整えられた。アはインターネットと重要情報を扱う網を物理的に切り離す対策で，ネットワーク分離（エアギャップ）と呼ばれる技術的な対策である。イはアクセス権の棚卸しで，付与された権限が今も必要かを定期的に見直す運用管理の施策であり，人物の適性を事前に評価するものではない。エは離席時に書類や媒体を片付けるクリアデスクの実践で，のぞき見や持ち去りを防ぐ物理的対策である。いずれも情報を守るための施策ではあるが，「人の適性をあらかじめ評価して資格を与える」というセキュリティクリアランスの考え方とは異なる。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問39
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  95. 問95．ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。

    • ア．ソフトウェアでの利用者認証に用いるアカウントの一元管理
    • イ．ソフトウェアについての脆弱性管理
    • ウ．ソフトウェアのソースコードについてのバージョン管理，アクセス制御及び改ざん防止
    • エ．ソフトウェアのソースコードのバックアップとマルウェア混入防止

    正解：イ．ソフトウェアについての脆弱性管理

    解説：SBOM は「ソフトウェア部品表」と訳され，製品を構成するライブラリやコンポーネントの名称・バージョン・提供元・ライセンスなどを機械可読な形で一覧にしたものである。近年のソフトウェアは大量のオープンソース部品を取り込んでおり，ある部品に脆弱性が公表されたとき，自社のどの製品のどのバージョンが影響を受けるかを短時間で特定する必要がある。SBOM 管理ツールは，この一覧を脆弱性情報データベースと突き合わせ，影響範囲の把握と対応の優先順位付けを支える。したがって答はイ。Apache Log4j の脆弱性で影響調査に時間が掛かった経験から，各国で SBOM の整備が求められるようになった。アのアカウントの一元管理は ID 管理システムや統合認証基盤が担う領域である。ウのソースコードのバージョン管理・アクセス制御・改ざん防止は Git などの構成管理ツールとその権限設定が担うもので，部品表とは役割が異なる。エのバックアップとマルウェア混入防止も，バックアップの仕組みやマルウェア対策ソフト，署名の検証などで実現するもので，SBOM が直接扱う対象ではない。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問40
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  96. 問96．cookie に Secure 属性を設定しなかったときと比較した，設定したときの Web ブラウザの動作として，適切なものはどれか。

    • ア．cookie に設定された有効期間を過ぎると，Web ブラウザが cookie を無効であると判断する。
    • イ．URL 内のスキームが https のときだけ，Web ブラウザから cookie が送出される。
    • ウ．Web ブラウザがアクセスする URL 内のパスと cookie に設定されたパスのプレフィックスが一致するときだけ，Web ブラウザから cookie が送出される。
    • エ．Web ブラウザでは JavaScript による cookie の読出しが禁止される。

    正解：イ．URL 内のスキームが https のときだけ，Web ブラウザから cookie が送出される。

    解説：cookie の Secure 属性は，その cookie を暗号化された通信路でのみ送信させるための指定である。この属性が付いていると，ブラウザは URL のスキームが https のときだけ cookie を送り，http の通信では送らない。したがって答はイ。目的は，セッション ID などの重要な値が平文の通信路に流れて盗聴されるのを防ぐことにある。アの有効期間による無効化は Expires 属性や Max-Age 属性が受け持つもので，Secure 属性とは関係がない。ウのパスによる送信範囲の限定は Path 属性の働きで，指定したパスで始まる URL にアクセスしたときだけ cookie を送るようになる。エの JavaScript からの読出し禁止は HttpOnly 属性の働きで，クロスサイトスクリプティングによって cookie を盗み出されることを防ぐ。名前が似ているため混同しやすいが，Secure は「通信路を限定する」，HttpOnly は「スクリプトからの参照を禁じる」，Path と Domain は「送る相手を限定する」，Expires と Max-Age は「寿命を決める」と，それぞれ役割が分かれている。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問41
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  97. 問97．Web アプリケーションソフトウェアの開発における OS コマンドインジェクション対策はどれか。

    • ア．SQL 文の組立ては全てプレースホルダで実装する。
    • イ．シェルを起動できる言語機能を利用した実装を避ける。
    • ウ．直接メモリにアクセスできる言語機能を利用した実装を避ける。
    • エ．利用者が入力したファイル名にディレクトリが含まれていないかのエラーチェックを実装する。

    正解：イ．シェルを起動できる言語機能を利用した実装を避ける。

    解説：OS コマンドインジェクションは，利用者から受け取った値をそのままシェルに渡す実装があるときに，セミコロンやパイプなどの区切り記号を混ぜられて任意のコマンドを実行されてしまう脆弱性である。根本的な対策は，シェルを経由してコマンドを起動する言語機能（system 関数やバッククォートによる実行など）を使わず，シェルを介さずにプログラムを直接起動する方法や，専用のライブラリ関数で処理を実現することである。したがって答はイ。やむを得ず使う場合は，値を許可した文字だけに限る検査を併用する。アの SQL 文をプレースホルダで組み立てるのは SQL インジェクションの対策で，値を SQL 文の構造から切り離すことで攻撃を防ぐ。ウの直接メモリにアクセスできる言語機能を避けるのはバッファオーバーフローの対策で，配列の範囲外への書込みを許す言語や関数を使わないという趣旨である。エの入力されたファイル名にディレクトリが含まれていないかを検査するのはディレクトリトラバーサルの対策で，「../」などを使って想定外のファイルを読み書きされることを防ぐ。いずれも重要な対策だが，OS コマンドインジェクションに直接効くのはイである。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問42
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  98. 問98．VPN で使用されるプロトコルである IPsec，L2TP，TLS の，OSI 基本参照モデルにおける相対的な位置関係はどれか。問98の図

    • ア．A
    • イ．B
    • ウ．C
    • エ．D

    正解：ウ．C

    解説：3つのプロトコルが OSI 基本参照モデルのどの層で働くかを整理すると位置関係が決まる。L2TP（Layer 2 Tunneling Protocol）は名前のとおりデータリンク層（第2層）のフレームをトンネル化するプロトコルで，3つの中で最も下位にある。IPsec は IP パケットを暗号化・認証するプロトコルなのでネットワーク層（第3層）に位置し，L2TP より上位になる。TLS はトランスポート層の TCP の上で動き，アプリケーションに暗号化された通信路を提供するので，3つの中で最も上位である。したがって上位から順に TLS，IPsec，L2TP と並び，この並びに一致するのは C なので答はウ。層が違うことは実際の使い方にも表れており，L2TP は暗号化機能をもたないため IPsec と組み合わせた L2TP/IPsec としてリモートアクセス VPN に使われ，TLS は Web ブラウザだけで利用できる SSL-VPN として使われる。A は IPsec を最上位・TLS を最下位にしており上下が逆，B は IPsec を TLS より上位に置いている点が誤り，D は L2TP を IPsec より上位に置いている点が誤りである。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問43
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  99. 問99．パスワードクラックの対策のうち，ストレッチングに該当するものはどれか。

    • ア．あらかじめ利用者だけが知っている質問と答えをシステムに登録しておき，普段と異なるログイン方法の場合に追加で質問を行う。
    • イ．一定時間内にパスワードを一定回数誤ったとき，それ以降のログインを試行できないようにする。
    • ウ．パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。
    • エ．パスワードの照合のためのハッシュ値を，パスワードに利用者 ID ごとに異なる文字列を付加してからハッシュ化して，求める。

    正解：ウ．パスワードの照合のためのハッシュ値を，パスワードに対してハッシュ化を繰り返して，求める。

    解説：ストレッチングは，パスワードのハッシュ値を求めるときにハッシュ化を数千回から数万回繰り返す手法である。1回の計算に掛かる時間を意図的に長くすることで，攻撃者が総当たりや辞書攻撃で大量の候補を試す速度を落とすことがねらいで，利用者から見れば認証1回分の遅れにすぎないが，攻撃側には繰返し回数の分だけ負担が増える。したがって答はウ。エは，利用者ごとに異なる文字列（ソルト）を付けてからハッシュ化する手法で，同じパスワードでも保存される値が変わるため，あらかじめ計算した対応表（レインボーテーブル）による解読を防ぐ。ストレッチングと目的が異なり，実務では両方を併用する。イは，一定回数の失敗でログインを受け付けなくするアカウントロックで，オンラインでの試行を止める対策である。アは，普段と異なる環境からのログイン時に追加の質問を求めるリスクベース認証で，なりすましの検知を目的とする。いずれもパスワードクラックへの対策ではあるが，ハッシュ計算を繰り返すという定義に当てはまるのはウだけである。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問44
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

  100. 問100．デザインレビューの目的はどれか。

    • ア．設計工程内で，設計工程の成果物の問題点を発見する。
    • イ．品質保証部門が，全成果物の出荷の可否を判定する。
    • ウ．品質保証部門によるプログラムのサンプリング検査によって，設計者では気付かない品質上の問題点を発見する。
    • エ．プロジェクトマネジメントのプロセス上の問題点を発見する。

    正解：ア．設計工程内で，設計工程の成果物の問題点を発見する。

    解説：デザインレビューは，設計書などの設計工程の成果物を，その工程の中で関係者が持ち寄って検討し，誤りや漏れを早い段階で見つけ出す活動である。設計の誤りは，後の工程に進むほど修正の影響範囲が広がり費用も膨らむため，工程内で摘み取ることに価値がある。したがって答はア。参加者には設計者本人だけでなく，前後の工程の担当者や有識者を加え，第三者の目で仕様との整合や実現可能性を確かめる。イの出荷の可否を判定するのは，開発の最終段階で行う出荷判定（品質保証部門による最終審査）であり，設計工程の中で行うレビューとは時期も対象も異なる。ウはプログラムを対象としたサンプリング検査で，これは設計ではなくコードや製品の品質を確認する活動である。エのプロジェクトマネジメントのプロセス上の問題点を扱うのは，進捗や課題を点検するプロジェクトレビュー（マネジメントレビュー）であり，成果物そのものの技術的な誤りを探すデザインレビューとは目的が違う。

    出典：情報処理推進機構「令和7年度春期 応用情報技術者試験 午前問題」問45
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。