応用情報 システム開発 2 — Questions and Answers
Question 1: ペネトレーションテストの目的として正しいものはどれか。
- 実際の攻撃手法でシステムへの侵入を試み脆弱性を発見する (Correct answer)
- ソフトウェアの機能要件を検証する
- システムの性能限界を測定する
- バックアップの復元手順を確認する
Correct answer: 実際の攻撃手法でシステムへの侵入を試み脆弱性を発見する
ペネトレーションテスト（侵入テスト）は許可を得た専門家が実際の攻撃手法を使い、システムへの侵入を試みることで未発見の脆弱性を洗い出す能動的なセキュリティ評価手法。
Question 2: CSRF（クロスサイトリクエストフォージェリ）攻撃の対策として最も適切なものはどれか。
- リクエストにCSRFトークンを埋め込み正規のフォームからの送信を検証する (Correct answer)
- HTTPSを使用する
- パスワードを複雑にする
- セッションタイムアウトを短くする
Correct answer: リクエストにCSRFトークンを埋め込み正規のフォームからの送信を検証する
CSRF対策はサーバがセッションごとにランダムなCSRFトークンを発行し、フォーム送信時に検証する方式が有効。攻撃者はトークンを知ることができないため正規リクエストと区別できる。
Question 3: セキュリティ情報イベント管理（SIEM）の主な機能はどれか。
- 複数のセキュリティログを集約・相関分析して脅威をリアルタイム検知する (Correct answer)
- ファイアウォールのルールを自動生成する
- マルウェアを削除する専用ツール
- Webアプリケーションの脆弱性スキャン
Correct answer: 複数のセキュリティログを集約・相関分析して脅威をリアルタイム検知する
SIEMはファイアウォール・IDS・サーバなど多様なソースからログを収集し、相関ルールやAIで異常を検知してインシデント対応を支援するセキュリティ管理プラットフォーム。
Question 4: PKI（公開鍵基盤）において認証局（CA）が発行するものはどれか。
- デジタル証明書（公開鍵と所有者情報をCAが署名したもの） (Correct answer)
- プライベートVPNトンネル
- 暗号化されたパスワードリスト
- ファイアウォールのルールセット
Correct answer: デジタル証明書（公開鍵と所有者情報をCAが署名したもの）
CAはデジタル証明書（X.509）を発行し、公開鍵の所有者が正当であることを保証する。証明書にはCAの電子署名が付き、ルートCA→中間CA→サーバ証明書の信頼チェーンを形成する。
Question 5: DoS攻撃とDDoS攻撃の違いとして正しいものはどれか。
- DDoSは複数のホストから一斉に攻撃するため規模が大きく対策が困難 (Correct answer)
- DoSは複数のサーバを対象にする
- DDoSは暗号化された攻撃
- 両者の違いはない
Correct answer: DDoSは複数のホストから一斉に攻撃するため規模が大きく対策が困難
DoS（Denial of Service）は単一ホストからの攻撃。DDoS（Distributed DoS）はボットネットなど多数の踏み台から一斉に攻撃するため大規模で発生源の特定・ブロックが困難。
Question 6: セキュリティのCIA（機密性・完全性・可用性）において「完全性（Integrity）」を保護する手段はどれか。
- ハッシュ値やデジタル署名でデータの改ざんを検知する (Correct answer)
- データを暗号化して第三者から隠す
- バックアップを複数取得してサービスを継続する
- パスワードを複雑にしてアクセスを制限する
Correct answer: ハッシュ値やデジタル署名でデータの改ざんを検知する
完全性はデータが正確で改ざんされていないことの保証。ハッシュチェックサムやデジタル署名による改ざん検知が主な手段。機密性は暗号化、可用性は冗長化・バックアップで保護する。
応用情報 システム開発 2
ペネトレーションテストの目的として正しいものはどれか。