応用情報セキュリティ管理 4

Question 1

OAuth 2.0のAuthorization Code Flowにおいてアクセストークンを取得する主体はどれか。

Accepted Answer

サーバサイドのクライアントアプリがコードを交換してトークンを取得する

Answer

Authorization Code FlowはユーザがブラウザでIDプロバイダに認証後、サーバサイドのクライアントアプリが認可コードとアクセストークンを交換する。クライアントシークレットがブラウザに露出しない安全な方式。

Question 2

ランサムウェアの説明として正しいものはどれか。

Accepted Answer

ファイルを暗号化してアクセス不能にし復号と引き換えに身代金を要求するマルウェア

Answer

ランサムウェア（Ransomware）はファイルや端末を暗号化し、復号鍵の提供と引き換えに身代金（ランサム）を要求するマルウェア。バックアップの分離保管と定期更新が主な対策。

Question 3

脅威モデリング手法のSTRIDEにおけるEの「Elevation of Privilege（権限昇格）」の説明はどれか。

Accepted Answer

低権限ユーザが管理者権限を不正に取得する脅威

Answer

STRIDEはSpoofing（なりすまし）・Tampering（改ざん）・Repudiation（否認）・Information Disclosure（情報漏洩）・Denial of Service（DoS）・Elevation of Privilege（権限昇格）の頭文字。

Question 4

HTTPセキュリティヘッダのHSTSの役割はどれか。

Accepted Answer

ブラウザにHTTPS通信のみを強制してSSLストリッピング攻撃を防ぐ

Answer

HSTS（HTTP Strict Transport Security）はレスポンスヘッダでブラウザにHTTPSのみを使用するよう指示する。HTTP接続の試みをブラウザレベルでHTTPSにリダイレクトし、中間者攻撃を防ぐ。

Question 5

サプライチェーン攻撃の説明として正しいものはどれか。

Accepted Answer

信頼されたソフトウェアや部品のサプライチェーンを侵害して最終目標を攻撃する

Answer

サプライチェーン攻撃はSolarWinds事件などのように、ソフトウェアの開発・配布プロセスや依存ライブラリに悪意のコードを埋め込み、それを使用する多数の組織を一括攻撃する高度な手法。

応用情報技術者練習テスト