よって、お知らせメールから操作ミスを見つけることはできません。振込操作を知らせるメールを経理担当者全員に送ると、相互牽制が働くため不正な振込の承認への対策になります。振込のお知らせメールを3人に送信しても、メール内にIBサービス利用者の情報は含まれないため、IBサービスへの不正なログイン操作は検知できません。よって適切なものは(iv)のみです。解答群中の正しいものに色付けすると以下のようになり、適切な組合せは「ウ」となります。設問4〔B社からの問合せ〕について,(1),(2)に答えよ。本文中の下線3について,このようなサイバー攻撃手法の名称を,解答群の中から選べ。正解を表示するウ解説MITB(Man-in-the-Browser)攻撃は、ユーザPC内のマルウェアなどによりWebブラウザとWebサーバ間の送受信をブラウザベースで盗聴・改ざんする攻撃です。Browser)と呼ばれます。MITBの被害としては、インターネットバンキングへのログインを検知して、セッションを乗っ取り、振込先口座番号を差し替えることで預金を不正送金するなどの例があります。送受信を改ざんするMan-in-the-Middle攻撃(中間者攻撃)と異なりクライアント内で書換えが行われるため、Webサーバ側で不正処理を拒否することが難しいという特徴があります。下線3前文の「IB専用PCのマルウェア感染も心配です」や「銀行との間で送受信される振込先情報をマルウェアが書き換えていた」という記述から、MITB攻撃であると判断できます。CSRF(クロスサイトリクエストフォージェリ)は、悪意のあるスクリプトが埋め込まれたWebページに利用者を誘導し、不正なリクエストを含む罠のリンクを踏ませるなどの方法で、ユーザ認証やセッション管理の脆弱性のある別のWebサイトで、その訪問者が意図しない操作(ショッピングでの決済・退会等)を成立させる攻撃です。DDoS攻撃は、特定のサイトやサーバに対し、日時を決めて、インターネット上の多数のコンピュータから同時に大量のパケットを送り付けることで、標的のサーバやネットワークを過負荷状態にする分散型のサービス停止攻撃です。クリックジャッキングは、Webページ上のコンテンツをクリックしようとしたユーザを視覚的にだまし、攻撃者が用意した外部サイトのWebページ上をクリックさせる行為です。クロスサイトスクリプティングは、動的にWebページを生成するアプリケーションに対して、セキュリティ上の不備を突いた悪意のあるスクリプトを混入させることで、攻撃者が仕込んだ操作を実行させたり、別のサイトを介してユーザのクッキーや個人情報を盗んだりする攻撃です。フィッシングは、銀行やクレジットカード会社、ショッピングサイトなどの有名企業を装ったメールを送付し、メール内のURLリンクから本物そっくりの偽サイトに誘導することで個人情報を不正に搾取する行為です。本文中の下線3について,このようなサイバー攻撃手法への対策として,図1に示す情報セキュリティに関する仕様のうち,最も有効なものを解答群の中から選べ。正解を表示するオ解説MITBでは、利用者がブラウザからWebサーバにリクエストを送るタイミングで、金額や振込先口座等を書き換えます。図1「IBサービスの仕様」中の(e)トランザクション認証の説明を読むと「振込の承認をするとき,振込先口座番号をトークンに入力する。トークンは,トークンごとの秘密情報,振込先の口座番号及び時刻情報を基に...ワンタイムパスワードを生成する」と記載されています。このワンタイムパスワードには、振込先口座情報が関連付けられているという点がポイントとなります。これによって、もし、MITBにより振込口座情報が書き換えられても、サーバ側で振込先口座番号とワンタイムパスワードを照合することで、不正なリクエストをはじくことができます。∴オ:(e)設問5〔手口と対策〕について,(1)~(5)に答えよ。本文中の下線4について,被疑者を特定するために最も有効だったと考えられるものを,解答群の中から選べ。本文中に「被疑者は,...パスワードを盗み見て以来,職場の自分のPCで経理部長のメールを不正に閲覧していた」、そして「B社のログ収集システムに保管していたログ」から判明したとあるので、この説明に合致するものを選びます。被疑者は、職場の自分のPCで不正閲覧していたので誤りです。被疑者は、パスワードを盗み見ていることから、ログイン失敗せず(失敗したとしても数回で)に不正ログインできたと考えられます。ログイン失敗のログは大量には残っていないはずです。職場の自分のPCで経理部長のメールを不正に閲覧していたということは、被疑者PCのメールクライアントからB社メールサーバに、経理部長のメールの受信要求がなされたということです。B社のログ収集システムに、このログが残っていれば不正閲覧の証拠になります。被疑者は、メールを不正閲覧していただけで送信はしていません。したがって送信ログを根拠とする本肢は誤りです。被疑者は、職場の自分のPCで不正閲覧していたので誤りです。本文中のcに入れる字句はどれか。解答群のうち,最も適切なものを選べ。被疑者のメール送信方法を、図2のB社経理部長からのメールに残されていたメールアドレスから考えます。このメールアドレスをよく比較すると、最後の2通に表示されていたメールアドレスは、1文字だけ正規のアドレスと異なっていることがわかります。被疑者はB社のドメインに酷似したドメインを取得し、メールサーバを立ち上げて(または、レンタルサーバのメールサーバを利用するなどして)M主任宛てに偽のメールを送信したと判断できます。B社経理部長のアカウントを盗用したのであれば、差出人メールアドレスが正規のものになるはずです。偽のメールアドレスでM主任と何回かやり取りをしているため、実在するドメインであったと判断できます。ドメイン名を詐称しているだけならば、返信されたメールを受信できずやり取りが成立しないからです。B社経理部長のアカウントを盗用したのであれば、差出人メールアドレスが正規のものになるはずです。本文中のdに入れる字句はどれか。解答群のうち,最も適切なものを選べ。偽メールにだまされないようにする対策であるとともに不正閲覧の対策になるという点、及び取引先に同意を得て準備する手間がかかるというヒントから適切な技術を考えます。Webメールを利用しても、今回のようにアカウント情報を盗用された場合には不正閲覧を防げません。SMTPは、メール送信前にPOP認証を行い、正規のクライアントであることを確認してからメールを送信する技術です。送信者認証の仕組みなので不適切です。S/MIMEは、メールを盗聴や改ざんなどから守るために、公開鍵暗号技術を使用して「認証」「改ざん検出」「暗号化」などの機能をメールソフトに提供する仕組みです。S/MIMEを使用するにあたって、送受信する当事者同士のメールソフトがこの規格に対応していることと、公開鍵の持ち主側が組織内CA(認証局)やパブリックCAなどから鍵と証明書を入手しておく必要があります。メールソフトからメールソフトまでエンドトゥエンドで暗号化されるため、安全性は高いのですが、デジタル署名付き暗号メールを送受信するには、相手先にもデジタル証明書を取得してもらう必要があるため、手間がかかります。よって、これが正解です。SMTP-AUTHは、メール投稿にあたって利用者認証の仕組みがないSMTPに利用者認証機能を追加した方式です。送信者認証の仕組みなので不適切です。SPFは、電子メールにおける送信元認証方法の1つで、送信元IPアドレスを送信側ドメインのDNSサーバに問い合わせることで、正規のサーバから送られたかどうかを検証する技術です。実在するドメインの場合には効果が望めません。今回の件は添付ファイルが問題になったわけではないため不適切です。本文中のe1,e2に入れる字句の組合せはどれか。eに関する解答群のうち,最も適切なものを選べ。受信メールの差出人メールアドレスと文面を慎重にチェックする一見簡単に感じますが、1字1句を慎重に確認するのは大変な作業です。人間ですから見落としがないとも限りません。メールの内容について電話をかけて確認する正しい。振込に関するメールは、それほどたくさんあるわけではないでしょうから、重要な事柄については相手に直接電話して確認する方法が確実です。メールをサーバに保存する保存するだけでは何も変わりません。この対策は事後対策です。「ウ」と「エ」に絞って考えます。振込に関する詐欺事例と振込時の注意事項を経理担当者に教育するセキュリティ教育に関する事項ですので問題ありません。メールには必ず差出人の電話番号を記載してもらう記載の電話番号に確認の電話を入れるということだと思うのですが、このルールを知っている者が偽のメールと共に偽の電話番号を記載する可能性が考えられますので不適切です。電話番号は信頼できる情報から得たものを使用すべきです。したがって適切な組合せは「ウ」になります。本文中のf1,f2に入れる,次の(i)~(vi)の組合せはどれか。fに関する解答群のうち,最も適切なものを選べ。今回の問題は、「M主任が自分の判断で口座情報を書き換え可能だったこと」と「L課長が出張中だったため、振込依頼書の承認がないまま振込承認依頼が行われてしまった」という2つの管理上の問題があります。この問題を改善するための施策を解答群から選びます。〔f1について〕f1は、口座情報の書き換えについてです。解答群をみると(ii)(iv)(v)の3択になっています。口座情報変更についての手順を確立し、それをシステム化することで、適切な手順で変更が行わるようになります。振込依頼書の作成及びIBサービスでの振込の承認は、どちらもM主任が行っています。変更と承認が同一人物になるため内部統制の観点から不適切です。証憑の種類を規定しても、M主任が自分一人の判断で口座情報を変更できることに変わりはありません。〔f2について〕f2は、L課長不在時の依頼書承認についてです。解答群をみると(i)(iii)(vi)の3択になっています。振込依頼データを保管しても事後対策にしかなりません。今回のようにL課長の不在時には、承認がないまま業務が進んでしまう可能性があるため根本的な対策とは言えません。振込依頼書の承認がないまま、次の振込承認依頼に移れたことが問題になっています。ワークフローシステムを導入すれば、確実に決められた手順を守れるようになります。したがって正しい組合せは「ウ」です。Reserved.▲Pagetop。