必ず受かる情報処理技術者試験

当サイトは、情報処理技術者試験に合格するためのWebサイトです。
ITパスポート試験，基本情報技術者,応用情報技術者,高度試験の過去問題と解答及び詳細な解説を掲載しています。
  1. トップページ
  2. プロジェクトマネージャ　午前2
  3. 令和6年度秋季問題一覧
  4. 令和6年度秋季問題25-解答・解説-分析

令和6年度秋季問題

問題25

公開された実証コード(PoC：Proof of Concept)を使って，インターネットからWebサーバを狙う攻撃がある。こういった攻撃に自社のWebサーバが侵害される被害を未然に防ぐ対策として，最も効果があるものはどれか。

ア JIS Q 27001:2023で規定される"人的管理策"にのっとり，自社のWebサーバについての秘密情報を持ち出すおそれがない人物か，職員採用時に厳格な適格性検査を行う。
イ SNSサイトやダークウェブを巡回し，自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。
ウ 自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
エ ファイアウォールを用いて外部との通信を記録し，自社のWebサーバから不審な宛先への通信が発生していないか調査する。

公開された実証コード(PoC：Proof of Concept)を使って，インターネットからWebサーバを狙う攻撃がある。こういった攻撃に自社のWebサーバが侵害される被害を未然に防ぐ対策として，最も効果があるものはどれか。

ア JIS Q 27001:2023で規定される"人的管理策"にのっとり，自社のWebサーバについての秘密情報を持ち出すおそれがない人物か，職員採用時に厳格な適格性検査を行う。
イ SNSサイトやダークウェブを巡回し，自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。
ウ 自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
エ ファイアウォールを用いて外部との通信を記録し，自社のWebサーバから不審な宛先への通信が発生していないか調査する。

解答：ウ

＜解説＞

問題文では「公開された実証コード（PoC：Proof of Concept）を使った攻撃」による被害を防ぐための対策を問うている。 PoCが公開されると、攻撃者はそのコードを利用して 脆弱性を突いた攻撃 を容易に実行できるため、最も効果的な防御策は 対象ソフトウェアの脆弱性対策（修正プログラムの適用やワークアラウンド） である。

ア × 人的管理策は内部不正防止には有効だが、インターネット経由でのPoCを利用した外部攻撃を防ぐものではない。今回の設問で問われる「脆弱性攻撃対策」には直接効果がない。
イ × 情報漏洩の有無を確認する行為であり、攻撃を未然に防ぐ直接的な対策ではない。すでに侵害された後の検知的な対応に近い。
ウ 〇 PoCを利用した攻撃は、既知の脆弱性を突くことがほとんどである。したがって、最新の脆弱性情報を把握し、修正パッチを適用したり回避策を実装することが最も有効な防御策となる。
エ × 不審通信の検出はインシデント発生後の検知的対策であり、被害を「未然に防ぐ」ものではない。