午後まとめ試験午後問題 問2
問2 情報セキュリティ
インターネットを利用した受注管理システムのセキュリティに関する次の記述を読んで，設問1～4に答えよ。
製造業のK社では，インターネットを利用した受注管理システムを開発している。受注管理システムは，取引先も利用するので，セキュリティ上の欠陥があった場合，自社だけでなく取引先にも損害を与える可能性がある。そこで，K社は，セキュリティ診断サービスを行っているZ社に，受注管理システムの脆(ぜい)弱性診断を依頼した。
〔受注管理システム〕
受注管理システムのアプリケーション(以下，受注管理アプリケーションという)は，Webサーバ上で稼働する。受注や出荷などの情報は，データベース(以下，DBという)サーバ上で稼働する受注情報DBに格納され，受注管理アプリケーションから，参照，更新される。取引先PCにダウンロードできるファイルや，取引先PCからアップロードされたファイルは，Webサーバに接続されているディスクに格納される。受注管理システムの構成を図1に示す。
RPSには，ディジタル証明書を設定しておく。受注管理システムを利用する取引先の担当者は，取引先PCのブラウザからRPSを経由して受注管理アプリケーションにアクセスし，ログイン画面で利用者IDとパスワードを入力してログインする。その際，取引先PCのブラウザからの通信には，HTTP over SSL/TLS(以下，HTTPSという)を使用する。RPSではディジタル証明書を使って，HTTPSからHTTPにプロトコルを変換する。
〔Z社の脆弱性診断の結果〕
受注管理アプリケーションには，想定していない操作をDBサーバに実行させて，DBに不正アクセスするようなaについては，対策がされている。しかし，Z社の脆弱性診断の結果，受注管理アプリケーションに対策が必要なセキュリティ上の脆弱性が複数指摘された。表1にＺ社からの指摘事項(抜粋)を示す。
K社は，表1中の下線①及び②に対策を行った。さらに，Z社からのその他の 指摘事項にも対策を行って，K社は，受注管理システムの運用を開始することにした。
製造業のK社では，インターネットを利用した受注管理システムを開発している。受注管理システムは，取引先も利用するので，セキュリティ上の欠陥があった場合，自社だけでなく取引先にも損害を与える可能性がある。そこで，K社は，セキュリティ診断サービスを行っているZ社に，受注管理システムの脆(ぜい)弱性診断を依頼した。
〔受注管理システム〕
受注管理システムのアプリケーション(以下，受注管理アプリケーションという)は，Webサーバ上で稼働する。受注や出荷などの情報は，データベース(以下，DBという)サーバ上で稼働する受注情報DBに格納され，受注管理アプリケーションから，参照，更新される。取引先PCにダウンロードできるファイルや，取引先PCからアップロードされたファイルは，Webサーバに接続されているディスクに格納される。受注管理システムの構成を図1に示す。
〔Z社の脆弱性診断の結果〕
受注管理アプリケーションには，想定していない操作をDBサーバに実行させて，DBに不正アクセスするようなaについては，対策がされている。しかし，Z社の脆弱性診断の結果，受注管理アプリケーションに対策が必要なセキュリティ上の脆弱性が複数指摘された。表1にＺ社からの指摘事項(抜粋)を示す。
設問1
図1中の通信経路を表2に示す1～5とした場合，取引先PCからWebサーバにアクセスするときに，HTTPSが通信に使われる通信経路だけを全て示す正しい答えを，解答群の中から選べ。
解答群
- 1
- 1，2，3
- 1，2，3，4
- 1，2，3，4，5
- 2，3，4
- 2，3，4，5
- 3，4
解答選択欄
- イ
解説
設問中の「取引先PCのブラウザからの通信には、HTTP ove rSSL/TLS(以下、HTTPSという)を使用する。RPSではディジタル証明書を使って、HTTPSからHTTPにプロトコルを変換する。」という記述から、取引先からのRPS(リバースプロキシサーバ)までがHTTPS通信、RPSからK社内のネットワークへがHTTP通信とわかります。この際RPSでは、取引先からのHTTPS通信を一旦受け取り、ディジタル証明書に対応する秘密鍵で内容を復号した後でK社内のサーバへの受け渡しています。
したがってHTTPSが使用される通信経路は「取引先PC→RPS間」が適切です。(表中の1，2，3)
設問2
本文中の に入れる適切な答えを，解答群の中から選べ。
a，b に関する解答群
- DoS攻撃
- SQLインジェクション
- クロスサイトスクリプティング
- 辞書攻撃
- ディレクトリトラバーサル
- トラッシング
- ブルートフォース攻撃
- ポートスキャン
解答選択欄
- a:
- b:
- a=イ
- b=ウ
解説
解答群のそれぞれの攻撃の特徴は以下の通りです。- DoS攻撃
- 通常ではありえない数のリクエストをサーバに送信することでサーバやネットワーク回線を過負荷状態にし、サーバのシステムダウンや応答停止などの障害を引き起こさせる攻撃手法。
- SQLインジェクション
- Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、Webアプリケーションが想定していないSQL文を意図的に実行させることでデータベースを攻撃する行為。
- クロスサイトスクリプティング
- 動的にWebページを生成するアプリケーションのセキュリティ上の不備を意図的に利用して、悪意のあるスクリプトを混入させることで、攻撃者が仕込んだ操作を実行させたり、別のサイトを横断してユーザのクッキーや個人情報を盗んだりする攻撃手法。
- 辞書攻撃
- パスワードクラックに用いられる手法の1つで、辞書に載っている英単語や、よく使われることが多い文字列などパスワードに使われそうな文字列が大量に登録されたファイル(辞書ファイル)を用意して、それを1つずつ試していくことでパスワードを破ろうとする攻撃手法。
主にオフラインでのパスワードクラックで用いられる。 - ディレクトリトラバーサル
- サーバ内の想定外のファイル名を直接指定することによって、本来許されないファイルを不正に閲覧する攻撃方法。親ディレクトリの移動(../)などシステムが想定外のファイル名を指定することで不正なファイル取得を狙う。
- トラッシング
- シュレッダーにもかけられず企業のゴミ箱に捨てられている書類を収集し、重要な情報に再構成する行為。スカビンジング(ゴミ箱あさり)ともいう。
- ブルートフォース攻撃
- パスワードクラックに用いられる手法の1つで、特定の文字数および文字種で設定される可能性のある組合せのすべてを試すことで不正ログインを試みる攻撃手法。総当り攻撃とも呼ばれる。
- ポートスキャン
- すべてのポートにパケットを送信しそれぞれの応答の有無を確認する行為。脆弱性のあるサービスの有無や、管理者のスキルを推定するために不正アクセスの準備として行われる。
Webサーバ上で稼働する「受注管理アプリケーションが想定していない操作をDBサーバに実行させて…」という記述からSQLインジェクション攻撃を示していることがわかります。
∴a＝イ：SQLインジェクション
〔bについて〕
表1の「Webページ内にスクリプトが埋め込まれ … 利用者IDとパスワードが奪取される可能性がある」という記述からクロスサイトスクリプティングを示していることがわかります。
∴b＝ウ：クロスサイトスクリプティング
設問3
表1中の下線①の対策として適切な答えを，解答群から選べ。
解答群
- ダウンロードしたいファイルを絶対パスで指定させ，該当ファイルが存在する場合には，ダウンロードの処理を行う。
- ダウンロードしたいファイルを相対パスで指定させ，該当ファイルが存在する場合には，ダウンロードの処理を行う。
- ダウンロードしたいファイルのファイル名だけを指定させ，取引先ごとに決められたフォルダ内に該当ファイルが存在する場合には，ダウンロードの処理を行う。
- 取引先PCのブラウザに，Webサーバ上の全てのフォルダ構成及びファイルを表示し，ダウンロードしたいファイルを指定させ，ダウンロードの処理を行う。
解答選択欄
- ウ
解説
表1では「取引先の担当者がWebサーバ上の任意のファイルをダウンロード可能である」という指摘がなされています。外部からWebサーバ上の任意のファイルにアクセス可能な状態というのは、不正アクセスを受ける原因になり非常に危険です。これを防ぐには取引先がアクセスできるファイルを業務上必要な範囲に限定し、その他のファイルにはアクセスできないようにする必要があります。
- 絶対パスで指定したファイルが存在すれば、Webサーバ上のどのファイルでもダウンロード可能なので不適切です。
- 「ア」と同様に、相対パスで指定したファイルが存在すれば、Webサーバ上のどのファイルでもダウンロード可能なので不適切です。
- 正しい。取引先ごとにアクセス可能なフォルダを限定することで、取引先の担当者がダウンロード可能なファイルの範囲を限定できます。
- Webサーバの構成や設定などさえも外部に公開し、ダウンロード可能にする行為で非常に危険です。
設問4
表1中の下線②の脆弱性から考えられるセキュリティ事故として適切な答えを，解答群の中から選べ。
解答群
- 取引先の担当者が誕生日をパスワードにしていると，誕生日を知っている者がログインできてしまう。
- パスワードの候補を自動で次々と入力するプログラムを利用することで，ログインできてしまう。
- パスワードを記載したメモを取引先の担当者が落とし，それを拾った者がログインできてしまう。
- ログイン操作を背後から盗み見て，パスワードを入手し，ログインできてしまう。
解答選択欄
- イ
解説
無制限にログイン失敗を許容してしまうと、プログラムによる総当り攻撃によって認証を突破され不正ログインを受ける脆弱性となります。一般なログイン処理には連続3～4回のログイン失敗があった場合には、アカウントの利用を一定時間停止する「ロックアウト処理」が組み込まれ、総当り攻撃に対する耐性が高められています。
- 総当り攻撃
- 特定の文字数および文字種で設定される可能性のある組合せのすべてを試すことで不正ログインを試みる攻撃手法。
広告