平成３０年度 春期 情報処理安全確保支援士試験 午後Ⅱ問１過去問題解説 ‐ サクラ先輩とモモちゃんのセキュリティ監査

Описание: この動画では、平成30年度春期情報処理安全確保支援士試験の午後Ⅱ問1を題材に、組織全体のセキュリティ評価と対策立案のプロセスを徹底解説します。一般社団法人R団体の事例を通じ、Webアプリケーションに潜む検出困難な脆弱性、特権ID管理の運用上の工夫、データベースサーバの安全な配置、そして委託先への機密情報提供におけるDRMとコンテナ技術の比較検討まで、実務に直結する幅広い知識を網羅的に学習します。

本試験問題でまず押さえておくべき重要なキーワードの一つがDOM Based XSSです。これは従来の反射型XSSとは異なり、Webサーバからのレスポンス内には攻撃コードが含まれず、クライアント側のブラウザ上で実行されるJavaScriptがURLのフラグメント識別子などを処理する過程で発生する脆弱性です。そのため、サーバ側のログや一般的なWAF、レスポンス内容を検査するだけの脆弱性スキャンツールでは検知することが極めて難しく、攻撃者がJavaScriptのソースコードを読み解いてDOM操作のロジックを悪用するという特性を深く理解しておく必要があります。また、XSSへの対策としてCookieにHttpOnly属性を付与する手法も頻出ですが、これを行うとJavaScriptからCookieへのアクセスが一切遮断されるため、正規のアプリケーションがクライアント側でセッションIDなどを参照している場合には機能不全に陥るリスクがあり、実装状況の確認が不可欠である点も実践的なポイントです。

次に理解すべきは特権ID管理と踏み台サーバによる証跡確保の考え方です。多くの組織では運用負荷軽減のためにサーバの管理者パスワードを共有してしまいがちですが、これでは「誰が」操作したかという個人の特定ができなくなります。この問題に対する現実的な解として提示されているのが、踏み台サーバを経由したアクセス制御です。たとえ接続先のサーバで共通アカウントを使用していても、入り口となる踏み台サーバへのログインに個人ごとのIDを使用させ、そこで操作画面の録画やキー入力ログを取得することで、時刻と操作内容を突き合わせ、個人を特定可能な証跡を残すという運用設計は、システム監査の視点からも非常に重要です。

さらに、ネットワークセキュリティにおけるDMZと内部セグメントの分離設計も見逃せません。Webサーバとデータベースサーバが共にDMZに配置されている構成は、外部からの攻撃でデータベースが直接侵害されるリスクを高めます。これを解消するためにデータベースを内部セグメントへ移動させる際、ファイアウォールの設定変更が必要になりますが、ここで重要なのがステートフルインスペクション機能の理解です。通信は「行き」のパケットを許可すれば「戻り」は自動的に許可されるため、双方向のルールを書く必要はありません。しかし、DMZにあるWebサーバから内部セグメントにあるデータベースサーバへ向けて通信を開始するという構成自体が、より信頼度の高い領域へ向かって穴を開けることになり、組織のセキュリティポリシーによっては重大な基準違反となり得るというリスク評価の視点も養う必要があります。

最後に、技術情報の流出防止策として比較されるDRM方式とコンテナ方式の違いは、近年のテレワークや委託業務管理においても極めて現代的なテーマです。DRMはファイル単位で暗号化を施しアプリケーション層で制御を行いますが、コンテナ方式はPC内に隔離された仮想的な領域を作り出し、OSやファイルシステム層で外部との通信やコピーを遮断します。特にコンテナ方式の場合、インターネットが遮断された環境でいかにして不正にデータを持ち出すかという攻撃シナリオを考えると、データを復号するためのインストーラや認証情報が入った物理メディアそのものを第三者に手渡すというアナログな手段しか残されていないことが分かります。このように、技術的な防御壁を構築した際に残存する抜け穴がどこにあるのかを論理的に分析する力こそが、情報処理安全確保支援士に求められる核心的なスキルと言えるでしょう。