本文中の下線5について、ほかの場合とはどのような場合か。字以内で具体的に答えよ。(3)本文中の下線6のように考えた理由は何か。終わりに重要ワードHTMLエスケープタグや属性を記載するときに「<」「””」といった文言を使用しますが、実際に「<””>」とベタ打ちしたいときにそれらを別ものと区別するための文字参照です。Managementの略。アプリログ、FWログ、IDS/IPSログ等の収集分析することの総称を指します。複数のログを合わせて総合的に判断することで正確なインシデント検知が出来るようになります。HTTPサーバーWebサーバーと同義で考えてよいと思います。server)やApacheなどのソフトウェアを利用することで、PCをHTTPサーバーとして機能させることが出来ます。XSSクロスサイトスクリプティングの略。HTMLなどに脆弱性がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。ブラウザで起こりうる問題を緩和するセキュリティの追加レイヤーです。その機能の一つに、反射型クロスサイト・スクリプティング攻撃を防止する「reflected-xss」があります。block」のように設定することで、クロスサイト・スクリプティング攻撃のブロックを試みる機能が有効になります。クラウド統合認証といったところです。クラウドサービスを複数利用する場合のSSO(シングルサインオン)にも役立ちます。Dシステムの脆弱性診断(1)図5中のa、bに入れる適切な文字列を、それぞれ4文字で答えよ。XSSの脆弱性報告(抜粋)このことから、エスケープ処理の記載をしていく必要があります。>を入れればよいの解答は&lt;,&gt;が入ります。(2)図6及び図7中のcに入れる適切な文字列を、解答群の中から選び記号で答えよ。解答例:エ解説:反射型クロスサイトスクリプティングに対しての脆弱性をテストする問題です。(4)診断用URL2を入力した際に表示された画面B上で、参考URLのリンクをクリックすると、”XSS!”という内容のダイアログボックスが表示された。XSSの脆弱性報告(抜粋)と記載があるので、”XSS!”というダイアログボックスが表示できるような攻撃をするためにはどうすれば良いかを考えながら進めていきましょう。問のURLを下記に転記します。]ここにア~エの文章を入れた時にHTTPのレスポンスボディ部がどのようになるのか、見てみましょう。とき<ahref=”onmouseover=alert(‘XSS!’)”>onmouseover=alert(‘XSS!’)</a>上記はURLの記載が変化しているだけなので、ダイアログボックスは表示されません。とき<ahref=””><script>alert(‘XSS!’)</script>”>”><script>alert(‘XSS!’)</script></a>上記はhrefのURLは空になり代わりに<script>文が2つ埋め込まれます。2回ダイアログボックスが表示される時点で誤答な気がしていますが、他を見てみましょう。とき<ahref=”http:<script>alert(‘XSS!’)</script>”>http:<script>alert(‘XSS!’)</script></a>URLとアンカーテキスト部分が生成されます。ポップアップは表示されません。とき<ahref=”javascript:alert(‘XSS!’)”>javascript:alert(‘XSS!’)</a>URLをクリックすると、アラートダイアログが1回表示されますね。答えはエになるでしょう。字以内で具体的に述べよ。解答例:http://又はhttps://で始まるURLだけを出力するようにする。解説:こちらの詳細は、IPAのHP内の情報セキュリティ対策コラムにて公表されていますので、そちらをご確認ください。上記を覗いて欲しいところですが、面倒なあなたのために、こちらにも根本解決策として書かれている改修方法を記載しておきます。1ウェブページに出力する全ての要素に対して、エスケープ処理を施す。「https://」で始まるURLのみを許可する。要素の内容を動的に生成しない。4スタイルシートを任意のサイトから取り込めるようにしない。下記の問題文でもあるように、このプログラムの問題点を特定する必要があります。(6)・・・・次の2つの誤りのうちのどちらかによるものと推定されるーXSSを防ぐための処理を一切していない。ーXSSを防ぐための基本的な処理はしているが、HTMLタグの属性値の出力値に必要な処理が行われていない。診断URL3に対するHTTPレスポンスボディ部%20(スペース)や、&quot(ダブルクォーテーション)などのエスケープ処理はうまく機能しているように見えますね。よって、URLをウェブアプリケーション上に出力する際の制限が甘いことがプログラムミスによる脆弱性を生んでいると考えられます。IPA公式サイトの対策でいうと、2が当てはまります。1ウェブページに出力する全ての要素に対して、エスケープ処理を施す。「https://」で始まるURLのみを許可する。要素の内容を動的に生成しない。4スタイルシートを任意のサイトから取り込めるようにしない。(2)本文中の下線2について、実行が許可されるのはどのようなスクリプトファイルか。解答例:URLと同じオリジンであるスクリプトファイル解説:URLと同じドメインからのスクリプトの読み込みを許可する。いう解答でも正解だと思います。script-srcというのはJavaScriptのみを制限するという意味で、.cssや画像までは制限しません。.js、.css、画像などすべて詳しく知りたい方は、この方のサイトをご確認ください。...(3)本文中の下線3について、実行が制限されてしまうのはどのようなスクリプトか。字以内で具体的に述べよ。解答例:スクリプト:HTMLファイル中に記載されたスクリプト呼び出し方法:スクリプトを別ファイルとして同一ファイルに保存して、HTMLファイルから呼び出す。解説:(2)が理解できている人にとっては当たり前の解答かもしれません。(2)では自ドメイン以外のURLのスクリプト読み込みを制限していますので、それを解答すればよいです。呼び出すためには、同じオリジン内にスクリプトファイルを保存して呼び出してあげる必要があります。項目1の検討(1)本文中のd、eに入れる適切な字句を解答群の中から選び、記号で答えよ。(個人情報保護)解説:ISO認証に関する知識問題です。ISO/IEC27017はクラウドサービスセキュリティーに関する品質項目になります。27001の項目では補いきれない、クラウドサービスにおける情報セキュリティ対策について記載されています。ISO/IEC27018はクラウドサービスの中でも個人情報の保護に関する項目に焦点を当てた国際規格です。AWS,Azure,Googleなどは両項目ともに認証済みです。(2022/4月時点)規格について、読んだことが無い方は一度見ておきましょう。27017(クラウドサービスセキュリティ)をご紹介します。目的とした様々な経営管理技術の普及活動をしております。ISO認証取得や審査をお考えの方は、是非とも日科技連(にっかぎれん)にご用命ください。解答例:ファイルをU社が管理する鍵で暗号化してからアップロードする。解説:下記に着目できると正解が導き出せます。(着目できるかが難しいです。項目1の検討結果F国政府にデータを抜かれた場合にもU社独自の暗号化を施していれば問題無いです。暗号化の方法は不問ですが、GサービスとU社の暗号を二重ハイブリッドのような形にしておけばよいということになります。項目2はSIEMについてでやんす。サブシステムが多くなると、SIEMは複数システムの統合的なログ収集が必要となる。導入難易度も上がってくるので、こういった問題はよく出てくるでやんすね。解説:総当たり攻撃に対する基本対策です。本文中の下線5について、ほかの場合とはどのような場合か。解説:攻撃側がIPアドレスを変えたり、偽装したりするのは常套手段です。IPアドレスを偽装しながらセキュリティーポリシーを掻いくぐる行為を「IPスプーフィング」といいIPアドレス制限を意味の為さないものにしてしまいます。DDoS攻撃にも使われているものです。字以内で具体的に答えよ。解説:攻撃者は偽Kサーバーを立て、何らかの形で偽サイトへ誘導し認証情報を得ようと試みています。そこでオリジンbというサーバーを一意にする情報を持たせることで偽サーバーへの接続を検知します。解説:h:表5中にスマートフォンには生体認証装置が組み込まれていると書いてあります。i,j:運用の問題です。Gサービスのアカウントを削除するよりも、Kサービスのアカウントを削除するこ方が、別サービスの利用も制限できるので効率的です。IDaaSを利用しているなら認証サービスから削除しましょう。k:クレジットカード紛失時と同じ手続きですね。所持情報なので、なくした場合はすぐに届け出を出す必要があります。(3)本文中の下線6のように考えた理由は何か。解答例:Gサービスへのアクセスをファイル受け渡し用PCからのアクセスだけに限定できるから解説:下記の文言に注目してみましょう。Dシステムの現行の課題を見つけ出す必要がありますので、前半の記述に目を当てたいなぁ。思えるとベストですね。・・・ファイル受け渡し用PCには、各協力会社の社内への設置、並びに盗難対策、マルウェア対策及び不正持ち出し対策を求めている。Dシステムにはファイル受け渡し用PCからだけアクセスできるように求めている。認証器をスマートフォンにした場合、スマートフォンと受け渡し用PCの両方からのアクセスを許可する必要があります。これはU社のセキュリティー要件を変更する必要(セキュリティー要件を満たさないので上司に却下される可能性)がありますね。問1の解説を終わります。解説メモ解答例は公式サイトを確認していますので、間違いはないと思います。解説については自分の記憶に入り込みやすい形で書いているので、満点解説とは限りません。思考回路をなるべく文字に起こしておりますので、お役に立てれば幸いです。解説メモ解答例は公式サイトを確認していますので、間違いはないと思います。解説については自分の記憶に入り込みやすい形で書いているので、満点解説とは限りません。思考回路をなるべく文字に起こしておりますので、お役に立てれば幸いです。解説メモ解答例は公式サイトを確認しているものの、自分の記憶に入り込みやすい形で書いているので、満点解答とは限りません。思考回路をなるべく文字に起こしておりますので、お役に立てれば幸いです。解説メモ解答例は公式サイトを確認しているものの、自分の記憶に入り込みやすい形で書いているので、満点回答とは限りません。AESAESといえば、共通鍵暗号方式の代表格。ハイブリッド鍵方式のTLSにも利用されている。解説メモ解答例は公式サイトを確認しているものの、自分の記憶に入り込みやすい形で書いているので、満点回答とは限りません。フィンガープリントデバイスや端末を特定する情報群のこと。デバイス版指紋と覚えておこう。コメントをキャンセルメールアドレスが公開されることはありません。※サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。タイトルとURLをコピーしました。