基本情報技術者試験　過去問（セキュリティ－セキュリティ技術評価・実装技術）　－情報処理シンプルまとめ

　情報処理技術者試験（今のところは基本情報技術者試験）の過去問（セキュリティ－セキュリティ技術評価・実装技術）を集めて，シンプルにまとめています。CSIRT（CSIRTマテリアル），ペネトレーションテスト，ファジング，プライバシーバイデザイン，セキュリティバイデザイン，アクセス権限の設定，SQLインジェクション攻撃対策，MACアドレスフィルタリング，RADIUS，IPsec，WPA3，SPF，ハニーポット，HTTPS，S/MIME，SMTP-AUTHについて，理解度を確認することができます。解けなかった問題や，完全に理解できていない問題については，【参考】にあるリンク先ページを読んで，もう一度，解いてみてください。難しい問題もあると思いますが，繰り返し解くことにより，だんだんと身に付いてきますので，根気よく頑張りましょう。

平成30年度 基本情報技術者試験 秋期 午前 問40

問　組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。

ア　CSIRTマテリアル

イ　ISMSユーザーズガイド

ウ　証拠保全ガイドライン

エ　組織における内部不正防止ガイドライン

【参考】	「情報セキュリティ組織・機関，セキュリティ技術評価，その他－情報セキュリティ組織・機関－CSIRT（Computer Security Incident Response Team）　－情報処理シンプルまとめ」

平成29年度 基本情報技術者試験 秋期 午前 問42

問　CSIRTの説明として，適切なものはどれか。

ア　IPアドレスの割当て方針の決定，DNSルートサーバの運用監視，DNS管理に関する調整などを世界規模で行う組織である。

イ　インターネットに関する技術文書を作成し，標準化のための検討を行う組織である。

ウ　企業内・組織内や政府機関に設置され，情報セキュリティインシデントに関する報告を受け取り，調査し，対応活動を行う組織の総称である。

エ　情報技術を利用し，宗教的又は政治的な目標を達成するという目的をもつ者や組織の総称である。

【参考】	「情報セキュリティ組織・機関，セキュリティ技術評価，その他－情報セキュリティ組織・機関－CSIRT（Computer Security Incident Response Team）　－情報処理シンプルまとめ」

平成29年度 基本情報技術者試験 秋期 午前 問45

平成27年度 基本情報技術者試験 春期 午前 問46

平成24年度 基本情報技術者試験 秋期 午前 問44

問　コンピュータやネットワークのセキュリティ上の脆ぜい弱性を発見するために，システムを実際に攻撃して侵入を試みる手法はどれか。

ア　ウォークスルー	イ　ソフトウェアインスペクション
ウ　ペネトレーションテスト	エ　リグレッションテスト

【参考】	「ソフトウェアのセキュリティ－脆弱性対策－ペネトレーションテスト（侵入テスト）　－情報処理シンプルまとめ」 「レビュー　－情報処理シンプルまとめ」 「システムの導入，受入れ支援，保守，廃棄－保守－リグレッションテスト（退行テスト，回帰テスト）　－情報処理シンプルまとめ」

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問34

問　ファジングに該当するものはどれか。

ア　サーバにFINパケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。

イ　サーバのOSやアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。

ウ　ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆ぜい弱性を見つけ出す。

エ　ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致するものを検出する。

【参考】	「ソフトウェアのセキュリティ－脆弱性対策－ファジング　－情報処理シンプルまとめ」

平成31年度 基本情報技術者試験 春期 午前 問45

問　ファジングで得られるセキュリティ上の効果はどれか。

ア　ソフトウェアの脆ぜい弱性を自動的に修正できる。

イ　ソフトウェアの脆弱性を検出できる。

ウ　複数のログデータを相関分析し，不正アクセスを検知できる。

エ　利用者IDを統合的に管理し，統一したパスワードポリシを適用できる。

【参考】	「ソフトウェアのセキュリティ－脆弱性対策－ファジング　－情報処理シンプルまとめ」

令和元年度 基本情報技術者試験 秋期 午前 問64

問　システム開発の上流工程において，システム稼働後に発生する可能性がある個人情報の漏えいや目的外利用などのリスクに対する予防的な機能を検討し，その機能をシステムに組み込むものはどれか。

ア　情報セキュリティ方針	イ　セキュリティレベル
ウ　プライバシーバイデザイン	エ　プライバシーマーク

【参考】

平成30年度 基本情報技術者試験 春期 午前 問42

問　セキュリティバイデザインの説明はどれか。

ア　開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆ぜい弱性診断を行い，システムの品質及びセキュリティを高めることである。

イ　開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。

ウ　システムの運用において，第三者による監査結果を基にシステムを改修することである。

エ　システムの企画・設計段階からセキュリティを確保する方策のことである。

【参考】

平成29年度 基本情報技術者試験 秋期 午前 問44

問　図のように，クライアント上のアプリケーションがデータベース接続プログラム経由でサーバ上のデータベースのデータにアクセスする。アプリケーションとデータベースとの間で送受信されるコマンドや実行結果の漏えいを防止する対策はどれか。

ア　サーバ側のデータベース接続プロムラムにアクセスできるクライアントのIPアドレスを必要なものだけに制限する。

イ　サーバ側のデータベース接続プログラムを起動・停止するときに必要なパスワードを設定する。

ウ　データベース接続プログラムが通信に使用するポート番号をデータベース管理システムでの初期値から変更する。

エ　データベース接続プログラム間の通信を暗号化する。

【参考】	「暗号化　－情報処理シンプルまとめ」

平成30年度 基本情報技術者試験 春期 午前 問43

平成25年度 基本情報技術者試験 秋期 午前 問44

平成21年度 基本情報技術者試験 秋期 午前 問43

問　利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。このアプリケーションがデータベースにアクセスするときに用いるアカウントに与えるデータベースへのアクセス権限として，情報セキュリティ管理上，適切なものはどれか。ここで，権限の名称と権限の範囲は次のとおりとする。

〔権限の名称と権限の範囲〕

参照権限：　レコードの参照が可能

更新権限：　レコードの登録，変更，削除が可能

管理者権限：テーブルの参照，登録，変更，削除が可能

ア　管理者権限	イ　更新権限
ウ　更新権限と参照権限	エ　参照権限

【参考】

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問36

平成30年度 基本情報技術者試験 春期 午前 問41

平成27年度 基本情報技術者試験 秋期 午前 問42

平成25年度 基本情報技術者試験 春期 午前 問40

問　SQLインジェクション攻撃による被害を防ぐ方法はどれか。

ア　入力された文字が，データベースへの問合せや操作において，特別な意味をもつ文字として解釈されないようにする。

イ　入力にHTMLタグが含まれていたら，HTMLタグとして解釈されない他の文字列に置き換える。

ウ　入力に上位ディレクトリを指定する文字列（../）が含まれているときは受け付けない。

エ　入力の全体の長さが制限を超えているときは受け付けない。

【参考】	「SQLインジェクション攻撃対策　－情報処理シンプルまとめ」

平成24年度 基本情報技術者試験 春期 午前 問44

問　通信を要求したPCに対し，ARPの仕組みを利用して実現できる通信可否の判定方法のうち，最も適切なものはどれか。

ア　PCにインストールされているソフトウェアを確認し，登録されているソフトウェアだけがインストールされている場合に通信を許可する。

イ　PCのMACアドレスを確認し，事前に登録されているMACアドレスである場合だけ通信を許可する。

ウ　PCのOSのパッチ適用状況を確認し，最新のパッチが適用されている場合だけ通信を許可する。

エ　PCのマルウェア対策ソフトの定義ファイルを確認し，最新になっている場合だけ通信を許可する。

【参考】	「ネットワークのセキュリティ－ネットワークのセキュリティ－無線LANのセキュリティ－MACアドレスフィルタリング　－情報処理シンプルまとめ」

平成21年度 基本情報技術者試験 秋期 午前 問40

問　無線LANやVPN接続などで利用され，利用者を認証するためのシステムはどれか。

ア　DES

イ　DNS

ウ　IDS

エ　RADIUS

【参考】	「RADIUS，IEEE802.1x／EAP　－情報処理シンプルまとめ」 「暗号化－暗号化－暗号方式の種類　－情報処理シンプルまとめ」 「DNS　－情報処理シンプルまとめ」 「侵入検知システム（IDS）と侵入防止システム（IPS）　－情報処理シンプルまとめ」

平成31年度 基本情報技術者試験 春期 午前 問43

問　OSI基本参照モデルのネットワーク層で動作し，“認証ヘッダ（AH）” と “暗号ペイロード（ESP）” の二つのプロトコルを含むものはどれか。

ア　IPsec

イ　S/MIME

ウ　SSH

エ　XML暗号

【参考】	「IPsec　－情報処理シンプルまとめ」 「電子メール－電子メールのセキュリティ　－情報処理シンプルまとめ」 「SSH　－情報処理シンプルまとめ」

令和元年度 基本情報技術者試験 秋期 午前 問37

問　WPA3はどれか。

ア　HTTP通信の暗号化規格

イ　TCP/IP通信の暗号化規格

ウ　Webサーバで使用するディジタル証明書の規格

エ　無線LANのセキュリティ企画

【参考】	「WEP，WPA，WPA2，WPA3　－情報処理シンプルまとめ」

平成30年度 基本情報技術者試験 春期 午前 問40

問　SPF（Sender Policy Framework）の仕組みはどれか。

ア　電子メールを受信するサーバが，電子メールに付与されているディジタル署名を使って，送信元ドメインの詐称がないことを確認する。

イ　電子メールを受信するサーバが，電子メールの送信元のドメイン情報と，電子メールを送信したサーバのIPアドレスから，ドメインの詐称がないことを確認する。

ウ　電子メールを送信するサーバが，送信する電子メールの送信者の上司からの承諾が得られるまで，一時的に電子メールの送信を保留する。

エ　電子メールを送信するサーバが，電子メールの宛先のドメインや送信者のメールアドレスを問わず，全ての電子メールをアーカイブする。

【参考】	「DNS　－情報処理シンプルまとめ」

平成31年度 基本情報技術者試験 春期 午前 問44

問　侵入者やマルウェアの挙動を調査するために，意図的に脆ぜい弱性をもたせたシステム又はネットワークはどれか。

ア　DMZ	イ　SIEM
ウ　ハニーポット	エ　ボットネット

【参考】	「ネットワークのセキュリティ－ネットワークのセキュリティ－アクセス制御－ハニーポット　－情報処理シンプルまとめ」 「ファイアウォール－ファイアウォール－DMZ（DeMilitarized Zone；非武装地帯）　－情報処理シンプルまとめ」 「ファイアウォール－ファイアウォール－ファイアウォールの管理－ログの管理－ログサーバ－SIEM（Security Information and Event Management）　－情報処理シンプルまとめ」 「情報セキュリティ－情報セキュリティ－攻撃者の種類－ボットハーダー　－情報処理シンプルまとめ」

平成26年度 基本情報技術者試験 秋期 午前 問43

問　HTTPS（HTTP over SSL/TLS）の機能を用いて実現できるものはどれか。

ア　SQLインジェクションによるWebサーバへの攻撃を防ぐ。

イ　TCPポート80番と443番以外の通信を遮断する。

ウ　Webサーバとブラウザの間の通信を暗号化する。

エ　Webサーバへの不正なアクセスをネットワーク層でのパケットフィルタリングによって制限する。

【参考】	「WWW－Webのセキュリティ－HTTPS（HTTP over SSL/TLS）　－情報処理シンプルまとめ」

平成25年度 基本情報技術者試験 春期 午前 問44

問　HTTPSを用いて実現できるものはどれか。

ア　Webサーバ上のファイルの改ざん検知

イ　クライアント上のウイルス検査

ウ　クライアントに対する侵入検知

エ　電子証明書によるサーバ認証

【参考】	「WWW－Webのセキュリティ－HTTPS（HTTP over SSL/TLS）　－情報処理シンプルまとめ」

平成25年度 基本情報技術者試験 春期 午前 問43

問　電子メールを暗号化するために使用される方式はどれか。

ア　BASE64

イ　GZIP

ウ　PNG

エ　S/MIME

【参考】	「電子メール－電子メールのセキュリティ　－情報処理シンプルまとめ」

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問37

令和元年度 基本情報技術者試験 秋期 午前 問44

平成29年度 基本情報技術者試験 春期 午前 問44

問　電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。

ア　APOP

イ　POP3S

ウ　S/MIME

エ　SMTP-AUTH

【参考】	「電子メール－電子メールのセキュリティ　－情報処理シンプルまとめ」

まとめ

　今回は，情報処理技術者試験の過去問（セキュリティ－セキュリティ技術評価・実装技術）を集めて，シンプルにまとめてみました。みなさん，どのくらい解けましたか？はじめは難しく感じると思いますが，繰り返し解くことにより，少しずつ理解できるようになると思います（8割以上（できれば9割以上）解けるようになるまで頑張りましょう）。また，解けるようになっても時間が経つと忘れることもありますので，たとえば，1週間後とか，1か月後とかに，また，やってみてください。