情報処理安全確保支援士の「情報セキュリティ」｜頻出用語・午前Ⅱ過去問対策

【ア】暗号化通信中にクライアントPCからサーバに送信するデータを操作して，強制的にサーバのデジタル証明書を失効させる。

【イ】暗号化通信中にサーバからクライアントPCに送信するデータを操作して，クライアントPCのWebブラウザを古いバージョンのものにする。

【ウ】暗号化通信を確立するとき，弱い暗号スイートの使用を強制することによって，解読しやすい暗号化通信を行わせる。

【エ】暗号化通信を盗聴する攻撃者が，暗号鍵候補を総当たりで試すことによって解読する。

【ア】Webサービスに関する情報を公開し，Webサービスが提供する機能などを検索可能にするための仕様

【イ】権限がない利用者による読取り，改ざんから電子メールを保護して送信するための仕様

【ウ】デジタル署名に使われる鍵情報を効率よく管理するためのWebサービスの仕様

【エ】認証情報に加え，属性情報と認可情報を異なるドメインに伝達するためのWebサービスの仕様

【ア】受信者が署名鍵を使って暗号文を元の平文に戻すことができるようにする。

【イ】送信者が固定文字列を付加した平文を署名鍵を使って暗号化し，受信者がメッセージの改ざん部位を特定できるようにする。

【ウ】送信者が署名鍵を使って署名を作成し，それを平文に付加することによって，受信者が送信者を確認できるようにする。

【エ】送信者が署名鍵を使って平文を暗号化し，平文の内容を関係者以外に分からないようにする。

【ア】攻撃対象であるNTPサーバに高頻度で時刻を問い合わせる。

【イ】攻撃対象であるNTPサーバの時刻情報を書き換える。

【ウ】送信元を偽って，NTPサーバにecho requestを送信する。

【エ】送信元を偽って，NTPサーバにレスポンスデータが大きくなる要求を送信する。

【ア】受信した暗号文を復号して，盗聴を検知する。

【イ】受信した暗号文を復号して，メッセージが改ざんされていないことと送信者が商取引相手として信頼できることを確認する。

【ウ】受信したメッセージのデジタル署名を検証して，メッセージが改ざんされていないこととメッセージの送信者に偽りのないことを確認する。

【エ】メッセージにデジタル署名を添付して，盗聴を防止する。

【ア】HTTPS通信でSecure属性がないCookieにセッションIDを格納するWebサイトにおいて，HTTP通信で送信されるセッションIDを悪意のある者が盗聴する。

【イ】URLパラメータにセッションIDを格納するWebサイトにおいて，Refererによってリンク先のWebサイトに送信されるセッションIDが含まれたURLを，悪意のある者が盗用する。

【ウ】悪意のある者が正規のWebサイトから取得したセッションIDを，利用者のWebブラウザに送り込み，利用者がそのセッションIDでログインして，セッションがログイン状態に変わった後，利用者になりすます。

【エ】推測が容易なセッションIDを生成するWebサイトにおいて，悪意のある者がセッションIDを推測し，ログインを試みる。

【ア】攻撃者が，OSの操作コマンドを利用するアプリケーションに対して，OSのディレクトリ作成コマンドを渡して実行する。

【イ】攻撃者が，SQL文のリテラル部分の生成処理に問題があるアプリケーションに対して，任意のSQL文を渡して実行する。

【ウ】攻撃者が，シングルサインオンを提供するディレクトリサービスに対して，不正に入手した認証情報を用いてログインし，複数のアプリケーションを不正使用する。

【エ】攻撃者が，ファイル名の入力を伴うアプリケーションに対して，上位のディレクトリを意味する文字列を使って，非公開のファイルにアクセスする。

【ア】SSLによって，クライアント側で固定パスワードを暗号化して送信する。

【イ】トークンという装置が表示する毎回異なったデータをパスワードとして送信する。

【ウ】任意長のデータを入力として固定長のハッシュ値を出力する。

【エ】利用者が入力したパスワードと，サーバから送られてきたランダムなデータとをクライアント側で演算し，その結果を確認用データに用いる。

【ア】暗号化と復号の処理において，出力は，入力されたブロックと鍵ストリームとの排他的論理和である。

【イ】暗号化の処理において，平文のデータ長がブロック長の倍数でないときにパディングが必要である。

【ウ】ビット誤りがある暗号文を復号すると，ビット誤りのあるブロック全体と次のブロックの対応するビットが平文ではビット誤りになる。

【エ】複数ブロックの暗号化の処理は並列に実行できないが，複数ブロックの復号の処理は並列に実行できる。

【ア】タイムスタンプを付与した時刻以降に，作成者が電子文書の内容をほかの電子文書へコピーして流用することを防止する。

【イ】タイムスタンプを付与した時刻以降に，第三者が電子文書の内容をほかの電子文書へコピーして流用することを防止する。

【ウ】電子文書が，タイムスタンプの時刻以前に存在したことを示すことによって，作成者が電子文書の作成を否認することを防止する。

【エ】電子文書が，タイムスタンプの時刻以前に存在したことを示すことによって，第三者が電子文書を改ざんすることを防止する。

【ア】暗号化通信に利用する共通鍵を生成し，認証局の公開鍵を使って暗号化する。

【イ】暗号化通信に利用する共通鍵を認証局の公開鍵を使って復号する。

【ウ】デジタル証明書の正当性を認証局の公開鍵を使って検証する。

【エ】利用者が入力して送付する秘匿データを認証局の公開鍵を使って暗号化する。

【ア】OSなどに不正に組み込んだツールの存在を隠す。

【イ】OSの中核であるカーネル部分の脆弱性を分析する。

【ウ】コンピュータがマルウェアに感染していないことをチェックする。

【エ】コンピュータやルータのアクセス可能な通信ポートを外部から調査する。

【ア】OIDの形式

【イ】SSIDの形式

【ウ】URIの形式

【エ】デジタル証明書のシリアル番号の形式

【ア】暗号化と復号の処理を，量子コンピュータを用いて瞬時に行うことができるので，従来のコンピュータでの処理に比べて大量のデータの秘匿を短時間で実現できる。

【イ】共通鍵暗号方式であり，従来の情報の取扱量の最小単位であるビットの代わりに量子ビットを用いることによって，瞬時のデータ送受信が実現できる。

【ウ】量子雑音を用いて疑似乱数を発生させて共通鍵を生成し，公開鍵暗号方式で共有することによって，解読が困難な秘匿通信が実現できる。

【エ】量子通信路を用いて安全に共有した乱数列を使い捨ての暗号鍵として用いることによって，原理的に第三者に解読されない秘匿通信が実現できる。

【ア】Accounting

【イ】Activation

【ウ】Audit

【エ】Augmented Reality

【ア】インターネット上で到達可能，かつ，未使用のIPアドレス空間

【イ】組織に割り当てられているIPアドレスのうち，コンピュータで使用されているIPアドレス空間

【ウ】通信事業者が他の通信事業者などに貸し出す光ファイバ設備

【エ】マルウェアに狙われた制御システムのネットワーク

【ア】パスワードのハッシュ値から導出された平文パスワードを使ってログインする。

【イ】パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

【ウ】パスワードを固定し，利用者IDの文字列のハッシュ化を繰り返しながら様々な利用者IDを試してログインする。

【エ】ハッシュ化されずに保存されている平文パスワードを使ってログインする。

【ア】クライアントは認証要求のたびに，サーバへシーケンス番号と種(Seed)からなるチャレンジデータを送信する。

【イ】サーバはクライアントから送られた使い捨てパスワードを演算し，サーバで記憶している前回の使い捨てパスワードと比較することによって，クライアントを認証する。

【ウ】時刻情報を基にパスワードを生成し，クライアント，サーバ間でパスワードを時刻で同期させる。

【エ】利用者が設定したパスフレーズは1回ごとに使い捨てる。

【ア】PCに不正アクセスし，そのPCのリソースを利用して，暗号資産のマイニングを行う攻撃

【イ】暗号資産取引所のWebサイトに不正ログインを繰り返し，取引所の暗号資産を盗む攻撃

【ウ】巧妙に細工した電子メールのやり取りによって，企業の担当者をだまし，攻撃者の用意した暗号資産口座に送金させる攻撃

【エ】マルウェア感染したPCに制限を掛けて利用できないようにし，その制限の解除と引換えに暗号資産を要求する攻撃

【ア】キーロガー

【イ】サイドチャネル攻撃

【ウ】スミッシング

【エ】中間者攻撃

【ア】PKIの利用者のWebブラウザは，認証局の公開鍵がWebブラウザに組み込まれていれば，CRLを参照しなくてもよい。

【イ】RFC 5280では，認証局は，発行したデジタル証明書のうち失効したものについては，シリアル番号を失効後1年間CRLに記載するよう義務付けている。

【ウ】認証局は，発行した全てのデジタル証明書の有効期限をCRLに記載する。

【エ】認証局は，有効期限内のデジタル証明書のシリアル番号をCRLに登録することがある。

【ア】セキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃する。

【イ】特定のサイトに対し，日時を決めて，複数台のPCから同時に攻撃する。

【ウ】特定のターゲットに対し，フィッシングメールを送信して不正サイトへ誘導する。

【エ】不正中継が可能なメールサーバを見つけた後，それを踏み台にチェーンメールを大量に送信する。

【ア】攻撃者が，インターネットに公開されていない社内ポータルサイトから，会社の組織図，従業員情報，メールアドレスなどを入手する。

【イ】攻撃者が，会社の役員が登録しているSNSサイトから，攻撃対象の人間関係，趣味などを推定する。

【ウ】攻撃者が，取引先になりすまして，標的とした会社にマルウェアを添付した攻撃メールを送付する。

【エ】攻撃者が，ボットに感染したPCを遠隔操作して社内ネットワーク上のPCを次々にマルウェア感染させて，利用者IDとパスワードを入手する。

【ア】1組の平文と暗号文が与えられたとき，全ての鍵候補を一つずつ試して鍵を見つけ出す。

【イ】平文と暗号文と鍵の関係を代数式に表して数学的に鍵を見つけ出す。

【ウ】平文の一部分の情報と暗号文の一部分の情報との間の統計的相関を手掛かりに鍵を見つけ出す。

【エ】平文を一定量変化させたときの暗号文の変化から鍵を見つけ出す。

【ア】公開サーバへのワームの侵入は，IDSでは検知できない。

【イ】未知のワームの侵入は，パターンマッチング方式で検知できる。

【ウ】ワームは，アプリケーションソフトの脆弱性を突いて侵入できる。

【エ】ワームは，仮想OS環境内のゲストOSに侵入できない。

【ア】SSL実装の脆弱性を用いて，通信経路に介在する攻撃者が弱い暗号化通信方式を強制することによって，暗号化通信の内容を解読して情報を得る。

【イ】SSLのハンドシェイクプロトコルの終了前で，使用暗号化アルゴリズムの変更メッセージを，通信経路に介在する攻撃者が削除することによって，通信者が暗号化なしでセッションを開始し，攻撃者がセッションの全通信を盗聴したり改ざんしたりする。

【ウ】SSLを実装した環境において，攻撃者が物理デバイスから得られた消費電流の情報などを利用して秘密情報を得る。

【エ】保守作業のミスや誤操作のときに回復できるようにバックアップしたSSLの旧バージョンのライブラリを，攻撃者が外部から破壊する。

【ア】A社ドメインの権威DNSサーバ

【イ】A社内の利用者PC

【ウ】攻撃者が詐称した送信元IPアドレスに該当する利用者PC

【エ】第三者のDNSキャッシュサーバ

【ア】鍵交換に使った秘密鍵が漏えいしたとしても，それより前の暗号文は解読されない。

【イ】時系列データをチェーンの形で結び，かつ，ネットワーク上の複数のノードで共有するので，データを改ざんできない。

【ウ】対となる二つの鍵の片方の鍵で暗号化したデータは，もう片方の鍵でだけ復号できる

【エ】データに非可逆処理をして生成される固定長のハッシュ値からは，元のデータを推測できない。

【ア】DNSサーバのソフトウェアのバージョン情報を入手して，DNSサーバのセキュリティホールを特定する。

【イ】PCが参照するDNSサーバに誤ったドメイン管理情報を注入して，偽装されたWebサーバにPCの利用者を誘導する。

【ウ】攻撃対象のサービスを妨害するために，攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。

【エ】内部情報を入手するために，DNSサーバが保存するゾーン情報をまとめて転送させる。

【ア】SHA-256の衝突発見困難性を示す，ハッシュ値が一致する二つの元のメッセージの発見に要する最大の計算量は，256の2乗である。

【イ】SHA-256の衝突発見困難性を示す，ハッシュ値の元のメッセージの発見に要する最大の計算量は，2の256乗である。

【ウ】衝突発見困難性とは，ハッシュ値が与えられたときに，元のメッセージの発見に要する計算量が大きいことによる，発見の困難性のことである。

【エ】衝突発見困難性とは，ハッシュ値が一致する二つの元のメッセージの発見に要する計算量が大きいことによる，発見の困難性のことである。

【ア】誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。

【イ】デジタル証明書から生成した鍵情報の交換がOCSPクライアントとOCSPレスポンダの間で失敗した際，認証状態を確認する。

【ウ】デジタル証明書の失効情報を問い合わせる。

【エ】有効期限が切れたデジタル証明書の更新処理の進捗状況を確認する。

【ア】攻撃対象とする利用者IDを一つ定め，辞書及び人名リストに掲載されている単語及び人名並びにそれらの組合せを順にパスワードとして入力して，ログインを試行する。

【イ】攻撃対象とする利用者IDを一つ定め，パスワードを総当たりして，ログインを試行する。

【ウ】攻撃の時刻と攻撃元IPアドレスとを変え，かつ，アカウントロックを回避しながらよく用いられるパスワードを複数の利用者IDに同時に試し，ログインを試行する。

【エ】不正に取得したある他のサイトの利用者IDとパスワードとの組みの一覧表を用いて，ログインを試行する。

正解：ウ

「選択肢」に戻り、どの条件が決め手か説明してみよう。

解説：少数のよく使われるパスワードを、複数の利用者IDに試す点に着目します。

正答の出典：IPA公式解答例・問6。

【ア】外国の輸出規制によって十分な強度をもつ暗号アルゴリズムを実装した製品が利用できなくなること

【イ】鍵の不適切な管理によって，鍵が漏えいする危険性が増すこと

【ウ】計算能力の向上などによって，鍵の推定が可能となり，暗号の安全性が低下すること

【エ】最高性能のコンピュータを用い，膨大な時間やコストを掛けて暗号強度をより確実なものとすること

【ア】有効期限切れになったデジタル証明書の公開鍵

【イ】有効期限切れになったデジタル証明書のシリアル番号

【ウ】有効期限内に失効したデジタル証明書の公開鍵

【エ】有効期限内に失効したデジタル証明書のシリアル番号

【ア】160ビットの出力データを生成し，改ざんの検出に利用するアルゴリズム

【イ】IPsecで使用される暗号化アルゴリズム

【ウ】公開鍵暗号方式において暗号化鍵を生成するアルゴリズム

【エ】データの暗号化が正常に完了したことの確認に利用するアルゴリズム

【ア】USBメモリにデジタル証明書を組み込み，認証デバイスとする場合は，そのUSBメモリを接続するPCのMACアドレスを組み込む必要がある。

【イ】成人の虹彩は，経年変化がなく，虹彩認証では，認証デバイスでのパターン更新がほとんど不要である

【ウ】静電容量方式の指紋認証デバイスは，LED照明を設置した室内では正常に認証できなくなる可能性が高くなる。

【エ】認証に利用する接触型ICカードは，カード内のコイルの誘導起電力を利用している。

【ア】IoT機器などで動作するWebサーバプログラムの脆弱性を悪用して感染を広げ，Webページを改ざんし，決められた日時に特定のIPアドレスに対してDDoS攻撃を行う。

【イ】Webサーバプログラムの脆弱性を悪用して企業のWebページに不正なJavaScriptを挿入し，当該Webページを閲覧した利用者を不正なWebサイトへと誘導する。

【ウ】ファイル共有ソフトを使っているPC内でマルウェアの実行ファイルを利用者が誤って実行すると，PC内の情報をインターネット上のWebサイトにアップロードして不特定多数の人に公開する。

【エ】ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに，C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。

【ア】TCP23番ポートはIoT機器の操作用プロトコルで使用されており，そのプロトコルを用いると，初期パスワードを使って不正ログインが容易に成功し，不正にIoT機器を操作できることが多いから

【イ】TCP23番ポートはIoT機器の操作用プロトコルで使用されており，そのプロトコルを用いると，マルウェアを添付した電子メールをIoT機器に送信するという攻撃ができることが多いから

【ウ】TCP23番ポートはIoT機器へのメール送信用プロトコルで使用されており，そのプロトコルを用いると，初期パスワードを使って不正ログインが容易に成功し，不正にIoT機器を操作できることが多いから

【エ】TCP23番ポートはIoT機器へのメール送信用プロトコルで使用されており，そのプロトコルを用いると，マルウェアを添付した電子メールをIoT機器に送信するという攻撃ができることが多いから

正解：ア

「選択肢」に戻り、どの条件が決め手か説明してみよう。

解説：TCP23番ポートの機器操作用プロトコルと、初期パスワードの悪用という組合せを読みます。

正答の出典：IPA公式解答例・問11。

【ア】DNSリフレクタ攻撃によってDNSサービスを停止させ，複数のPCでの名前解決を妨害する。

【イ】Webサイトに対して，SYN Flood攻撃とHTTP POST Flood攻撃を同時に行う。

【ウ】管理者用IDのパスワードを初期設定のままで利用している複数のIoT機器を感染させ，それらのIoT機器から，WebサイトにUDP Flood攻撃を行う。

【エ】ファイアウォールでのパケットの送信順序を不正に操作するパケットを複数送信することによって，ファイアウォールのCPUやメモリを枯渇させる。

【ア】IdP(Identity Provider)が利用者認証を行い，認証成功後に発行されるアサーションをSP(Service Provider)が検証し、問題がなければクライアントがSPにアクセスする。

【イ】Webサーバに導入されたエージェントが認証サーバと連携して利用者認証を行い，クライアントは認証成功後に利用者に発行されるcookieを使用してSPにアクセスする。

【ウ】認証サーバはKerberosプロトコルを使って利用者認証を行い，クライアントは認証成功後に発行されるチケットを使用してSPにアクセスする。

【エ】リバースプロキシで利用者認証が行われ，クライアントは認証成功後にリバースプロキシ経由でSPにアクセスする。

【ア】DKIM，DNSSEC，SPF

【イ】DNS，Memcached，NTP

【ウ】FTP，L2TP，Telnet

【エ】IPsec，SSL，TLS

【ア】Webサイトの運営団体の組織名

【イ】証明書の登録業務を行う機関(RA)の組織名

【ウ】証明書の発行業務を行う機関(CA)の組織名

【エ】ドメイン名の登録申請を受け付ける機関(レジストラ)の組織名

【ア】カード情報の取得を目的に，金融機関が利用しているクラウドサービスに侵入する攻撃

【イ】課金回避を目的に，同じハードウェア上に構築された別の仮想マシンに侵入し，課金機能を利用不可にする攻撃

【ウ】クラウド利用企業の経済的な損失を目的に，リソースを大量消費させる攻撃

【エ】パスワード解析を目的に，クラウド環境のリソースを悪用する攻撃

【ア】cookieを使ったシングルサインオンの場合，サーバごとの認証情報を含んだcookieをクライアントで生成し，各サーバ上で保存，管理する。

【イ】cookieを使ったシングルサインオンの場合，認証対象の各サーバを，異なるインターネットドメインに配置する必要がある。

【ウ】リバースプロキシを使ったシングルサインオンの場合，認証対象のWebサーバを，異なるインターネットドメインに配置する必要がある。

【エ】リバースプロキシを使ったシングルサインオンの場合，利用者認証においてパスワードの代わりにデジタル証明書を用いることができる。

【ア】可能性のある文字のあらゆる組合せのパスワードでログインを試みる。

【イ】コンピュータへのキー入力をすべて記録して外部に送信する。

【ウ】盗聴者が正当な利用者のログインシーケンスをそのまま記録してサーバに送信する。

【エ】認証が終了し，セッションを開始しているブラウザとWebサーバ間の通信で，クッキーなどのセッション情報を盗む。

【ア】DNSキャッシュサーバと権威DNSサーバとの計2台の冗長構成とすることによって，過負荷によるサーバダウンのリスクを大幅に低減させる。

【イ】SPF(Sender Policy Framework)を用いてDNSリソースレコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。

【ウ】問合せ時の送信元ポート番号をランダム化することによって，DNSキャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

【エ】プレースホルダを用いたエスケープ処理を行うことによって，不正なSQL構文によるDNSリソースレコードの書換えを防ぐ。

【ア】量子アニーリングマシンを用いて，回路サイズ，消費電力，処理速度を飛躍的に向上させた実装性能をもつ暗号方式

【イ】量子コンピュータを用いた攻撃に対しても，安全性を保つことができる暗号方式

【ウ】量子コンピュータを用いて効率的に素因数分解を行うアルゴリズムによって，暗号を解読する技術

【エ】量子通信路を用いた鍵配送システムを利用し，大容量のデータを高速に送受信する技術

【ア】SAML方式では，インターネット上の複数のWebサイトにおけるSSOを，IdP(Identity Provider)で自動生成されたURL形式の1人一つの利用者IDで実現する。

【イ】エージェント方式では，クライアントPCに導入したエージェントがSSOの対象システムのログイン画面を監視し，ログイン画面が表示されたら認証情報を代行入力する。

【ウ】代理認証方式では，SSOの対象サーバにSSOのモジュールを組み込む必要があり，システムの改修が必要となる。

【エ】リバースプロキシ方式では，SSOを利用する全てのトラフィックがリバースプロキシサーバに集中し，リバースプロキシサーバが単一障害点になり得る。

【ア】攻撃者はDoS攻撃及びDDoS攻撃を繰り返し組み合わせて，長期間にわたって特定組織の業務を妨害する。

【イ】攻撃者は興味本位で場当たり的に，公開されている攻撃ツールや脆弱性検査ツールを悪用した攻撃を繰り返す。

【ウ】攻撃者は特定の目的をもち，特定組織を標的に複数の手法を組み合わせて気付かれないよう執拗(よう)に攻撃を繰り返す。

【エ】攻撃者は不特定多数への感染を目的として，複数の攻撃を組み合わせたマルウェアを継続的にばらまく。

【ア】DNSリフレクタ攻撃

【イ】SQLインジェクション攻撃

【ウ】ディレクトリトラバーサル攻撃

【エ】パスワードリスト攻撃

【ア】CRLには，失効したデジタル証明書に対応する秘密鍵が登録される。

【イ】CRLには，有効期限内のデジタル証明書のうち失効したデジタル証明書と失効した日時の対応が提示される。

【ウ】CRLは，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。

【エ】有効期限切れで失効したデジタル証明書は，所有者が新たなデジタル証明書を取得するまでの間，CRLに登録される。

【ア】同じセキュリティ機能をもつ製品に乗り換える場合に，CSVなど他の製品に取り込むことができる形式でファイルを出力するプログラム

【イ】コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア

【ウ】セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法

【エ】ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

【ア】インターネットを介して，攻撃者がPCを遠隔操作する。

【イ】感染するごとにウイルスのコードを異なる鍵で暗号化し，同一のパターンで検知されないようにする。

【ウ】複数のOSで利用できるプログラム言語でウイルスを作成することによって，複数のOS上でウイルスが動作する。

【エ】ルートキットを利用してウイルスに感染していないように見せかけることによって，ウイルスを隠蔽する。

【ア】Web検索サイトの順位付けアルゴリズムを悪用して，キーワードで検索した結果の上位に，悪意のあるサイトを意図的に表示させる。

【イ】ウイルス検索エンジンのセキュリティ上の脆弱性を悪用して，システム権限で不正な実行を処理させる。

【ウ】車などで移動しながら，無線LANのアクセスポイントを探し出して，ネットワークに不正侵入する。

【エ】ネットワークを流れるパケットから，不正侵入のパターンに合致するものを検出して，管理者への通知や，検出した内容の記録を行う。

【ア】パスワードのハッシュ値から導出された平文パスワードを使ってログインする。

【イ】パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

【ウ】パスワードを固定し，利用者IDの文字列のハッシュ化を繰り返しながら様々な利用者IDを試してログインする。

【エ】ハッシュ化されずに保存されている平文パスワードを使ってログインする。

【ア】AES

【イ】IPsec

【ウ】MIME

【エ】S/MIME

【ア】Webアプリケーションの脆弱性を悪用し，Webサーバに不正なリクエストを送ってWebサーバからのレスポンスを二つに分割させることによって，利用者のブラウザのキャッシュを偽造する。

【イ】Webページのコンテンツ上に透明化した標的サイトのコンテンツを配置し，利用者が気づかないうちに標的サイト上で不正操作を実行させる。

【ウ】ブラウザのタブ表示機能を利用し，ブラウザの非活性なタブの中身を，利用者が気づかないうちに偽ログインページに書き換えて，それを操作させる。

【エ】利用者のブラウザの設定を変更することによって，利用者のWebページの閲覧履歴やパスワードなどの機密情報を盗み出す。

【ア】HTTPヘッダインジェクション(HTTP Response Splitting)

【イ】OSコマンドインジェクション

【ウ】SQLインジェクション

【エ】クロスサイトスクリプティング

【ア】暗号化関数を線形近似する式を導き，その線形近似式から秘密情報の取得を試みる。

【イ】機器が発する電磁波を測定することによって秘密情報の取得を試みる。

【ウ】二つの平文の差とそれぞれの暗号文の差の関係から，秘密情報の取得を試みる。

【エ】理論的にあり得る復号鍵の全てを機器に入力して秘密情報の取得を試みる。

【ア】ISPが管理するDNSキャッシュサーバに対して，送信元を攻撃対象のサーバのIPアドレスに詐称してランダムかつ大量に生成したサブドメイン名の問合せを送り，その応答が攻撃対象のサーバに送信されるようにする。

【イ】オープンリゾルバとなっているDNSキャッシュサーバに対して，攻撃対象のドメインのサブドメイン名をランダムかつ大量に生成して問い合わせ，攻撃対象の権威DNSサーバを過負荷にさせる。

【ウ】攻撃対象のDNSサーバに対して，攻撃者が管理するドメインのサブドメイン名をランダムかつ大量に生成してキャッシュさせ，正規のDNSリソースレコードを強制的に上書きする。

【エ】攻撃対象のWebサイトに対して，当該ドメインのサブドメイン名をランダムかつ大量に生成してアクセスし，非公開のWebページの参照を試みる。

【ア】Adaptively Chosen Message攻撃

【イ】Adversarial Examples攻撃

【ウ】Distributed Reflection Denial of Service攻撃

【エ】Model Inversion攻撃

【ア】暗号化装置における暗号化処理時の消費電力などの測定や統計処理によって，当該装置内部の秘密情報を推定する攻撃

【イ】攻撃者が任意に選択した平文とその平文に対応した暗号文から数学的手法を用いて暗号鍵を推測し，同じ暗号鍵を用いて作成された暗号文を解読する攻撃

【ウ】操作中の人の横から，入力操作の内容を観察することによって，利用者IDとパスワードを盗み取る攻撃

【エ】無線LANのアクセスポイントを不正に設置し，チャネル間の干渉を発生させることによって，通信を妨害する攻撃

【ア】インターネットからの全てのアクセスに対し，トークンで生成されたワンタイムパスワードで認証する。

【イ】インターネットバンキングでの連続する取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。

【ウ】利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。

【エ】利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。

【ア】Exploit Kit

【イ】iLogScanner

【ウ】MyJVN

【エ】Remote Access Tool

【ア】ARPスプーフィング攻撃

【イ】DNSキャッシュポイズニング攻撃

【ウ】URLエンコーディング攻撃

【エ】バッファオーバーフロー攻撃

【ア】128ビット，192ビット，256ビットから選択する。

【イ】256ビット未満で任意に指定する。

【ウ】暗号化処理単位のブロック長よりも32ビット長くする。

【エ】暗号化処理単位のブロック長よりも32ビット短くする。

【ア】XML文書中の任意のエレメントに対してデタッチ署名(Detached Signature)を作成し，同じXML文書に含めることができる。

【イ】エンベローピング署名(Enveloping Signature)では一つの署名対象に複数の署名を付与する。

【ウ】署名の書式として，CMS(Cryptographic Message Syntax)を用いる。

【エ】デジタル署名では，署名対象と署名アルゴリズムをASN.1によって記述する。

【ア】MACは，送信者がメッセージと共通鍵を用いて生成する。MACを用いると，受信者がメッセージの完全性を確認できる。

【イ】MACは，送信者がメッセージと共通鍵を用いて生成する。MACを用いると，第三者が送信者の真正性を確認できる。

【ウ】MACは，送信者がメッセージと受信者の公開鍵を用いて生成する。MACを用いると，第三者がメッセージの完全性を確認できる。

【エ】MACは，送信者がメッセージと送信者の公開鍵を用いて生成する。MACを用いると，受信者が送信者の真正性を確認できる。

【ア】SAML

【イ】SOAP

【ウ】XKMS

【エ】XML Signature

【ア】攻撃コードとも呼ばれ，ソフトウェアの脆弱性を悪用するコードのことであり，使い方によっては脆弱性の検証に役立つこともある。

【イ】マルウェア定義ファイルとも呼ばれ，マルウェアを特定するための特徴的なコードのことであり，マルウェア対策ソフトによるマルウェアの検知に用いられる。

【ウ】メッセージとシークレットデータから計算されるハッシュコードのことであり，メッセージの改ざん検知に用いられる。

【エ】ログインのたびに変化する認証コードのことであり，窃取されても再利用できないので不正アクセスを防ぐ。

【ア】“機会”とは，情報システムなどの技術や物理的な環境及び組織のルールなど，内部者による不正行為の実行を可能，又は容易にする環境の存在である。

【イ】“情報と伝達”とは，必要な情報が識別，把握及び処理され，組織内外及び関係者相互に正しく伝えられるようにすることである。

【ウ】“正当化”とは，ノルマによるプレッシャーなどのことである。

【エ】“動機”とは，良心のかしゃくを乗り越える都合の良い解釈や他人への責任転嫁など，内部者が不正行為を自ら納得させるための自分勝手な理由付けである。

【ア】攻撃対象のWebサーバ1台に対して，多数のPCから一斉にリクエストを送ってサーバのリソースを枯渇させる攻撃と，大量のDNS通信によってネットワークの帯域を消費させる攻撃を同時に行う。

【イ】攻撃対象のWebサイトのログインパスワードを解読するために，ブルートフォースによるログイン試行を，多数のスマートフォンやIoT機器などの踏み台から成るボットネットから一斉に行う。

【ウ】攻撃対象のサーバに大量のレスポンスが同時に送り付けられるようにするために，多数のオープンリゾルバに対して，送信元IPアドレスを攻撃対象のサーバのIPアドレスに偽装した名前解決のリクエストを一斉に送信する。

【エ】攻撃対象の組織内の多数の端末をマルウェアに感染させ，当該マルウェアを遠隔操作することによってデータの改ざんやファイルの消去を一斉に行う。

【ア】AESは公開鍵暗号方式，RSAは共通鍵暗号方式の一種である。

【イ】共通鍵暗号方式では，暗号化及び復号に使用する鍵が同一である。

【ウ】公開鍵暗号方式を通信内容の秘匿に使用する場合は，暗号化鍵を秘密にして，復号鍵を公開する。

【エ】デジタル署名に公開鍵暗号方式が使用されることはなく，共通鍵暗号方式が使用される。

【ア】Webサーバにある利用者のリソースに，Webサーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル

【イ】異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XMLをベースにした標準規格

【ウ】利用者IDとしてURL又はXRI(Extensible Resource Identifier)だけを使用することができ，一つの利用者IDで様々なWebサイトにログインできる仕組み

【エ】利用者が文書やデータの属性情報や論理構造を定義する言語であるSGMLを，インターネット用に最適化したもの

【ア】TCP接続要求であるSYNパケットを攻撃対象に大量に送り付ける。

【イ】偽装したICMPの要求パケットを送って，大量の応答パケットが攻撃対象に送られるようにする。

【ウ】サイズの大きいUDPパケットを攻撃対象に大量に送り付ける。

【エ】サイズの大きい電子メールや大量の電子メールを攻撃対象に送り付ける。

【ア】DNSサーバのハードディスク上のファイルに定義されたDNSサーバ名が書き換わり，外部からの参照者が，DNSサーバに接続できなくなる。

【イ】DNSサーバのメモリ上にワームが常駐し，DNS参照元に対して不正プログラムを送り込む。

【ウ】社内の利用者が，インターネット上の特定のWebサーバを参照しようとすると，本来とは異なるWebサーバに誘導される。

【エ】社内の利用者間で送信された電子メールの宛先アドレスが書き換えられ，正常な送受信ができなくなる。

【ア】“コンピュータウイルスに感染している”といった偽の警告を出して利用者を脅し，ウイルス対策ソフトの購入などを迫る。

【イ】脆弱性があるホストやシステムをあえて公開し，攻撃の内容を観察する。

【ウ】ネットワーク機器のMIB情報のうち監視項目の値の変化を感知し，セキュリティに関するイベントをSNMPマネージャに通知するように動作させる。

【エ】文字の表示順を変える制御文字を利用し，ファイル名の拡張子を偽装する。

【ア】属性証明書の発行を代行する。

【イ】デジタル証明書にデジタル署名を付与する。

【ウ】デジタル証明書の失効状態についての問合せに応答する。

【エ】本人確認を行い，デジタル証明書の発行を指示する。

【ア】S/MIMEやTLSで利用するデジタル証明書の規格は，ITU-T X.400で標準化されている。

【イ】TLSにおいて，デジタル証明書は，通信データの暗号化のための鍵交換や通信相手の認証に利用されている。

【ウ】認証局が発行するデジタル証明書は，申請者の秘密鍵に対して認証局がデジタル署名したものである。

【エ】ルート認証局は，下位の認証局の公開鍵にルート認証局の公開鍵でデジタル署名したデジタル証明書を発行する。

【ア】SaaS接続時の認証において，PINコードとトークンが表示したワンタイムパスワードとをPCから認証サーバに送信した。

【イ】SaaS接続時の認証において，スマートフォンで顔認証を行った後，スマートフォン内の秘密鍵でデジタル署名を生成して，そのデジタル署名を認証サーバに送信した。

【ウ】インターネットバンキング接続時の認証において，PCに接続されたカードリーダーを使って，利用者のキャッシュカードからクライアント証明書を読み取って，そのクライアント証明書を認証サーバに送信した。

【エ】インターネットバンキング接続時の認証において，スマートフォンを使い指紋情報を読み取って，その指紋情報を認証サーバに送信した。

【ア】SSL 3.0のサーバプログラムの脆弱性を突く攻撃であり，サーバのメモリに不正アクセスして秘密鍵を窃取できる。

【イ】SSL 3.0を使用した通信において，ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり，パディングを悪用して暗号化通信の内容を解読できる。

【ウ】TLS 1.2のプロトコル仕様の脆弱性を突く攻撃であり，TLSの旧バージョンにダウングレードして暗号化通信の内容を解読できる。

【エ】TLS 1.2を使用した通信において，Diffie-Hellman鍵交換アルゴリズムの脆弱性を突く攻撃であり，交換されたセッション鍵を窃取して暗号化通信の内容を解読できる。

【ア】HTTPヘッダインジェクション

【イ】OSコマンドインジェクション

【ウ】クロスサイトリクエストフォージェリ

【エ】セッションハイジャック

【ア】HTTP GETコマンドを繰り返し送ることによって，攻撃対象のサーバにコンテンツ送信の負荷を掛ける。

【イ】pingコマンドを用いて大量の要求パケットを発信することによって，攻撃対象のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。

【ウ】コネクション開始要求に当たるSYNパケットを大量に送ることによって，攻撃対象のサーバに，接続要求ごとに応答を返すための過大な負荷を掛ける。

【エ】大量のTCPコネクションを確立することによって，攻撃対象のサーバに接続を維持させ続けてリソースを枯渇させる。

【ア】受信者の公開鍵

【イ】受信者の秘密鍵

【ウ】発信者の公開鍵

【エ】発信者の秘密鍵

【ア】アクセスポイントがSSIDステルス機能を用いてビーコン信号を止めることによって，端末から利用可能なSSIDが分からなくなる問題

【イ】端末がアクセスポイントとは通信できるが，他の端末のキャリアを検出できない状況にあり，送信フレームが衝突を起こしやすくなる問題

【ウ】端末が別のアクセスポイントとアソシエーションを確立することによって，その端末が元のアクセスポイントからは見えなくなる問題

【エ】複数の端末が同時にフレームを送信したとき，送信した端末が送信フレームの衝突を検出できない問題

【ア】委託先の情報セキュリティリスクが委託元にも影響するという考え方を基にしたリスク分析のこと

【イ】攻撃者がクライアントとサーバとの間の通信を中継し，あたかもクライアントとサーバが直接通信しているかのように装うことによって情報を盗聴するサイバー攻撃手法のこと

【ウ】攻撃者の視点から，攻撃の手口を偵察から目的の実行までの段階に分けたもの

【エ】取引データを複数の取引ごとにまとめ，それらを時系列につなげたチェーンに保存することによって取引データの改ざんを検知可能にしたもの

【ア】擬似乱数

【イ】デジタル証明書

【ウ】ハッシュ値

【エ】メッセージ認証コード

【ア】鍵長によって，段数が決まる。

【イ】段数は，6回以内の範囲で選択できる。

【ウ】データの暗号化，復号，暗号化の順に3回繰り返す。

【エ】同一の公開鍵を用いて暗号化を3回繰り返す。

【ア】故意に暗号化演算を誤動作させ，正しい処理結果との差異を解析する。

【イ】処理時間の差異を計測して解析する。

【ウ】処理中に機器から放射される電磁波を観測して解析する。

【エ】チップ内の信号線などに探針を直接当て，処理中のデータを観測して解析する。

【ア】IPアドレスAを攻撃先とするサービス妨害攻撃

【イ】IPアドレスAを攻撃先とするパスワードリスト攻撃

【ウ】IPアドレスAを攻撃元とするサービス妨害攻撃

【エ】IPアドレスAを攻撃元とするパスワードリスト攻撃

【ア】Bluetoothを悪用してデバイスを不正に操作したり，情報を窃取したりする，複数の脆弱性の呼称

【イ】感染したPCの画面の背景を青1色に表示させた上，金銭の支払を要求するランサムウェアの一種

【ウ】攻撃側(Red Team)と防御側(Blue Team)に分かれて疑似的にサイバー攻撃を行う演習における，防御側の戦術の一種

【エ】ブルーレイディスクを経由して感染を拡大した，日本の政府機関や重要インフラ事業者を標的としたAPT攻撃の呼称

【ア】デジタル証明書にデジタル署名を付与する。

【イ】デジタル証明書に紐づけられた属性証明書を発行する。

【ウ】デジタル証明書の失効リストを管理し，デジタル証明書の有効性を確認する。

【エ】本人確認を行い，デジタル証明書の発行申請の承認又は却下を行う。

【ア】他人のPC又はサーバに侵入して計算資源を不正に利用し，台帳への追記の計算を行う。

【イ】他人のPC又はサーバに保存された顧客情報を不正に取得して，販売する。

【ウ】他人のPC又はサーバのキーボードからの入力値を不正に取得して，攻撃者のサーバに送信する。

【エ】他人のPC又はサーバのファイルを暗号化して利用できなくし，警告文を表示して報酬を要求する。

【ア】Man-in-the-middle攻撃

【イ】war driving

【ウ】トロイの木馬

【エ】ブルートフォース攻撃

【ア】アイコンを文書ファイルのものに偽装した上で，短いスクリプトを埋め込んだショートカットファイル(LNKファイル)を電子メールに添付して標的組織の従業員に送信する。

【イ】事務連絡などのやり取りを行うことで，標的組織の従業員の気を緩めさせ，信用させた後，攻撃コードを含む実行ファイルを電子メールに添付して送信する。

【ウ】標的組織の従業員が頻繁にアクセスするWebサイトに攻撃コードを埋め込み，標的組織の従業員がアクセスしたときだけ攻撃が行われるようにする。

【エ】ミニブログのメッセージにおいて，ドメイン名を短縮してリンク先のURLを分かりにくくすることによって，攻撃コードを埋め込んだWebサイトに標的組織の従業員を誘導する。