わたしは過去問演習を行う際、なぜその問題を正解できなかったのか深掘りし、同じような問題が出たら必ず正解できることを目指しています。
Ｈ２９春午後Ⅰについて・・・
情報処理安全確保支援士試験になっても、ほとんど問題の傾向は変わりませんでしたね。ただ、わたしが選択しないと決めているセキュアプログラムが今まではいつも問１だったのに、今回はじめて？問２がセキュアプログラムになったなぁと思いました。なのでＨ２９春午後Ⅰは問１と問３を選択しました。ただ、わたしは園児ニーアなので業務でセキュアプログラムを扱うこともあり最低限のことは抑えているので、試験後問２を解いてみたら割と短時間で５～６割は正解できた感じでした。。勉強しているうちに選択肢が増えてくるのは良い反面、迷いが生じてくるので試験本番でどう選択するのかシミュレーションしておかないとですね。
問１
設問１（１）
起きていることを順番通りに書くと、
・ＡさんのＰＣがマルウェアに感染した
・感染したので攻撃者はＡさんのＰＣを操作できる
・攻撃者は管理用ＰＣとサーバの通信内容を知りたい
・ＦＷに送るつもりで送信されたデータがＡさんのＰＣに届くようにできれば通信内容をゲットできる
・管理用ＰＣに送るつもりで送信されたデータがＡさんのＰＣに届くようにできれば通信内容をゲットできる
→ ＦＷのＭＡＣアドレスをＡさんのＰＣのＭＡＣアドレスの値に変えた（表２）
→ 管理用ＰＣのＭＡＣアドレスをＡさんのＰＣのＭＡＣアドレスの値に変えた（表３）
すると・・・サーバが管理用ＰＣにデータ送信すると、管理用ＰＣに届くはずだったがＭＡＣアドレスがＡさんのＰＣのＭＡＣアドレスになっているので送信したデータがＡさんのＰＣに届く
◆これで解けなかったのでは？コーナー
・そもそもＡＲＰプロトコルの仕組みを知らない
ネットワークの常識で、通信データにはＩＰアドレスが含まれているがＭＡＣアドレスは含まれていないため、通信するたびに送信したい相手のＭＡＣアドレスを知る必要があります。
ルータ（Ｌ２ＳＷ）「機器間はＭＡＣアドレスがないとデータ送れないようになってるんだよね。自分で保持してるＡＲＰテーブルを参照しても送りたいＩＰは載ってなかったからＡＲＰプロトコルでこのＩＰアドレスの人ＭＡＣアドレス教えて～ってみんなにブロードキャストしよう。」
送信先サーバ・ＰＣ「はーい！そのＩＰアドレスはわたし宛だからこのＭＡＣアドレスに送ってね！でもＡＲＰテーブル（電話帳みたいなもの）に履歴残ってる場合はわざわざ聞かないでね(*^^*)」
・そもそも表２～４をどう解釈して良いのかわからなかった
ＡＲＰテーブルが書き換えられたのはわかったけど、まず誰が何をしたがっているのがわかることが必要です。図３を見ると、攻撃者は乗っ取ったＡさんのＰＣを利用して、ＬＤＡＰサーバ・ＣＲＭサーバ・管理ＰＣのＩＰアドレスを知りたがっています。
表２・３・４がワンセットです。こういう場合は表２にヒントが隠されていて、そのヒントを元に表３・４がわかるようになっていることが多いです。 表２と図１を見比べると、「ＭＡＣアドレスが感染したＡさんのＰＣがある（カ）ＰＣのものになっています。ＡさんのＰＣのＭＡＣアドレス宛に送られるように書き換えたんだな。」というヒントがわかります。 同じように表３のＭＡＣアドレスも書き換えられたら、知りたがっていたＩＰアドレスを知ることができます。 ただし、ＡさんのＰＣのＡＲＰテーブルは通常通り自分のＰＣのＭＡＣアドレスが設定されている必要があります。
ここまで書いていくと過去問解説終わらなくなっちゃいますね・・・(^^;
設問１（２）
わたしの回答：（×）
項番４
模範解答：
項番５
解説：
まず表１「ログの記録」列を見ると、１，３，４，５が記録するになっている。
わたしは試験本番のときこれがわかっていなかったのだが、この表の項番４は「動作：拒否の場合にログを取得する」ということらしい。よってＩＰアドレス総当たりをやっていたら「拒否されてログに残る」ことになるため、「記録されるはずのログが残っていなかった」＝「拒否されるような通信をしていない」ということになる。
「何かと何かの間に入って」ときたら、中間者攻撃
ＣＲＭサーバのサーバ証明書かどうかを検証しているため、
設問１（３）
わたしの回答：（△）
送信元：ケ、宛先：カ、サービス：エ
模範解答：
送信元：ケ、宛先：カ、サービス：キ
解説：
管理用ＰＣのＩＰアドレスは、管理用ＰＣが許可されている通信を盗聴するとわかる。管理用ＰＣが許可されている通信は、表１項番４になる。よって、サービスはＳＳＨになる。
設問２
わたしの回答：（〇）
中間者攻撃、ＣＲＭサーバ
理由：
攻撃者がサーバとクライアントの間に入ってサーバになりすますことになり、間に入って＝中間者攻撃と覚える。Maninthemiddleも同類。
検証するのはＣＲＭサーバのサーバ証明書なので、ＣＲＭサーバを詐称されるということになる。
設問３（１）
わたしの回答：（〇）
管理用ＰＣとサーバ間の通信がＰＣセグメント上に流れないから
理由：
図３の６．「ＡさんのＰＣ上で通信を盗聴して、管理用ＰＣのＩＰアドレスを特定する」を防げるかは、「通信を盗聴できるか」がポイントになってくる。今までは管理用ＰＣの通信とＡさんのＰＣの通信は、同じところを通っていたため盗聴できたが、変更後は流れる場所が分けられたため盗聴できなくなった。
設問３（２）
わたしの回答：（〇）
模範解答：
問２
設問１
わたしの回答：（）
模範解答：
設問２（１）
わたしの回答：（○）
クロスサイトリクエストフォージェリ
理由：
特に言うことはなく、クロスサイトリクエストフォージュリじゃなくてクロスサイトリクエストフォージェリだっていうことは皆さん覚えて帰ってください！ え？一緒じゃんって？その気持はわかります。
設問２（２）
わたしの回答：（○）
３
理由：
Ｐ１１下方に「Ｘさん：・・・退会処理が行われてしまった」と書かれているので、表２の中で表示された画面「退会完了」になっている手順１と３が選択肢になります。項番１は正しいtaikai_tokenをPOSTデータに設定するケースですが、taikai_tokenはシステム内部で勝手に発行される
設問２（３）
わたしの回答：（）
模範解答：
設問２（４）
わたしの回答：（）
模範解答：
設問３
わたしの回答：（）
模範解答：
設問４
わたしの回答：（）
模範解答：
問３
◇交通費精算サービス
わたしの回答：（〇）
（３）、ファイアウォールにより通信が遮断されるため
理由：
Ｐ１４上部に「社外から社内ネットワークへの通信はファイアウォールによって禁止されている」と書かれているため。言い換えると、交通費精算サービスには接続元ＩＰアドレスの制限機能がないため（１）の接続要求は受信される。わたしの回答だと、主語が足りてないようにも思えるのでこちらも部分点しかもらえていないかもしれない。
模範解答：
（３）、社外からＩｄＰへの通信がファイアウォールによって遮断されるから
◇グループウェアサービス
わたしの回答：（△？）
（１）、グループウェアサービスで接続元ＩＰアドレスを制限していたため
模範解答：
（１）、クラウドサービス側で接続元ＩＰアドレスの制限が行われているから
解説：
Ｐ１５下部に「グループウェアサービスだけは、接続元ＩＰアドレスを制限する機能を備えていた」「残り（交通費精算サービス、オンラインストレージサービス）のクラウドサービスは接続元ＩＰアドレスの制限機能を備えていなかった」と書かれていることから、「クラウドサービス側で接続元ＩＰアドレスの制限が行われている」という解答になる。
以上です。
