情報処理安全確保支援士10点UPメモ

フェールソフトの考え方

問「情報システムの設計のうち、フェールソフトの考え方を適用した例はどれか」

ア　UPS を設置することによって、停電時に手順どおりにシステムを停止できるようにする。

イ　制御プログラムの障害時に、システムの暴走を避け、安全に運転を停止できるようにする。

ウ　ハードウェアの障害時に、パフォーマンスは低下するが、構成を縮小して運転を続けられるようにする。

エ　利用者の誤操作や誤入力を未然に防ぐことによって、システムの誤動作を防止できるようにする

情報漏えいに対する2つの基本原則

・必要の原則 (need to know の原則): その情報を必要とする者だけに限定する。
・最小権限の原則 (least privilege の原則): 必要最小限の権限しか与えない。

User-Agent ヘッダフィールドとは

HTTP リクエストヘッダ内の「User-Agent フィールド」に、ブラウザの名称やバージョンなどを記載することができるフィールドのこと。User-Agent 値は、クライアント側で任意に設定することが可能。

IEEE802.11ヘッダは暗号化されない

問「WPA2を使用していても、無線LANの通信が傍受 (ぼうじゅ) されてしまうと、PC のMACアドレスを攻撃者が知ることができる理由を、30字以内で述べよ」

解答
「MACアドレスが平文の状態で送信されるから」

WPA2であっても、IEEE802.11ヘッダは、暗号化されないから”MACアドレスは暗号化の範囲に含まれない”ということが理由です。

サイバーキルチェーンの7ステップ

1.偵察　2.武器化　3.配送　4.攻撃　5.インストール　6.遠隔操作　7.目的の実行

私はこう覚えた。

1.偵察
2.マルウェアを作る
3.マルウェアを配送
4.マルウェアを相手のPCで実行させる
5.マルウェアをインストール
6.インストールしたソフトで、C&Cサーバと連携
7.本来の目的を実行

TCP Wrapper とは

Unix 系 OS のデーモン「tcpd」のこと。
/etc/hosts.allow と /etc/hosts.deny で接続元IPアドレスの接続許可・拒否を行う。

非機能要件とは

システム開発に必要な機能を”機能要件”とすると、”非機能要件”は、必要な機能面以外の全般を指す。

IPAの非機能要求グレード2018によると、「性能・拡張性」「セキュリティ」「運用・保守性」「移行性」「可用性」「システム環境・エコロジー」がそれに該当する。

EU の個人情報規則の略称

General Data Protection Regulation
一般データ保護規則

「GDPR」

リバースブルートフォース攻撃とは

パスワードを固定にして、ユーザー ID を変化させながらログイン試行する、ブルートフォース攻撃を応用した手法のこと。不正ログインを目的とする。

■ ブルートフォース攻撃
ID を固定にし、パスワードを総当たりする。対策は容易。

■ リバースブルートフォース攻撃
パスワードを固定にし、ID を総当たりする。対策は困難。

SLAAC とは

StateLess Address Auto Configuration の略で、IPv6アドレスを自動設定する技術の一つ。

ホストがルータに ”懇願MSG (RS)” を送り、ルータからの ”広報MSG (RA)” を受けとると、ホストはIPv6アドレスの前半64ビット (ネットワークプレフィックス) を知ることができる。

それを元にホスト自ら、自身のMACアドレスから生成した、インタフェースID (後半64ビット) を加え、128ビットのIPv6アドレスを生成する。

ホストとルータ間の通信には、ICMPv6プロトコルが使われるため、ICMP をセキュリティ都合で禁止すると、IPv6アドレスの自動設定ができなくなるので注意が必要だ。

3種類ある SSL/TLS サーバ証明書

SSL サーバー証明書は3種類ある。

Web サイト管理者のドメインが、第三者によってどのくらいのレベルまで調査されているかによって証明書の認証レベルが変化する。

どの認証レベルでも証明書の有効性は変わらず、基本的に利用者にとっては何も変化がないように見える。

ただし、証明書に埋め込まれている情報量が違う。

このことにより、そのドメインの信頼性も変化する。

DV (Domain Validated) ドメイン認証

認証レベル 低　★
ドメイン名が正しいかどうかを検証する

OV (Organization Validated) 企業実在認証

認証レベル 中　★★
ドメイン名検証に加え、会社名も証明する

EV (Extended Validation) 拡張認証

認証レベル 高　★★★
ドメイン名検証、会社名検証に加え、電話による実在確認や運用状況も確認する

中間者攻撃の例

中間者攻撃は、Man-in-the-Middle Attack とも呼ばれる。

ARP ポイズニング (ARP スプーフィング)

PC-Aから [ARP要求] をルータAに送信したが、攻撃者の連続したブロードキャストにより、攻撃者のPCから [偽ARP応答] を受け取ってしまう。

ポイズニング = 毒される
スプーフィング = 偽装

CAA リソースレコードとは

Certification Authority Authorization (CAA)

自社ドメインのサーバ証明書が、第三者CAから勝手に発行され、自社のサーバであることを偽るなど、不正に発行・利用されることを防止するために、証明書を発行できるCAのドメイン名を自社DNSサーバに登録しておくためのレコード。

ゼロトラストの主要コンポーネント

信頼されないネットワークからのアクセス要求元のことを「主体 (subject) 」と呼ぶ。

主体が企業内リソースへアクセスする際、仲介役となるのが “ポリシー実施ポイント” の「PEP (Policy Enforcement Point)」と “ポリシー決定ポイント” の「PDP (Policy Decision Point)」

構造やデータが解析されにくい性質のこと

問「TPM (Trusted Platform Module) の内部構造や内部データが解析されにくい性質のことをなんと呼ぶか」

耐タンパ性

ヒープ領域とは

メモリのヒープ領域は、自由な順序で確保・解放ができる領域のこと。
(ヒープ･･･山積み)

一方、メモリのスタック領域は、確保した順とは逆の順で解放される領域のこと。

ABCの順で確保した場合、CBAの順で解放される。
(スタック･･･積み重ね)

ヒープ領域は柔軟性があり、スタック領域は柔軟性がないといえる。

相反する領域である。

「柔軟性のある山積み領域 = ヒープ領域」

リトルエンディアンとは

英語表記: Little Endian

Little = 下位を意味する
Endian = バイトの並び順の種類を表す言葉

リトルエンディアンとは、データをメモリ格納する際の「バイトの並び順」の一つ。

2バイト以上のデータを、最下位バイト → 上位バイトの順に、1バイトずつ並べ替え格納する。

1バイトデータの場合

データ例) 0xAB

例えば、

16進数 (16進数を意味する “0x” が頭に付く) の 1バイトのデータ、

「0xAB」 があるとする。

このデータは、2バイトデータではないので、並べ替えはできない

2バイトデータの場合

データ例) 0xABCD

例えば、

16進数 (16進数を意味する “0x” が頭に付く) の 2バイトのデータ、

「0xABCD」 があるとする。

リトルエンディアンで並べ替えると

「CDAB」

ローカルブレイクアウトとは

ブレイクアウトは、インターネット通信は必ず本社のプロキシサーバ、ファイアウォールを通すという縛りからブレイクアウト (脱出) するという意味合いです。

ローカルブレイクアウトとは、各支社からの特定のクラウドサービスを、本社のプロキシサーバやファイアウォールを経由せず直接インターネットに通すようにするもの。

特定のクラウドサービスかどうかの判別は、各支社に置いたルータなどが通信内容をチェックし判別する。

ローカルブレイクアウトは、SD-WAN (Software-Defined Wide Area Network) という、”WAN を仮想的に構築し一元管理する機能”を使って実現する。

STRIDE脅威分析モデル

脅威分析モデルとは、セキュリティ問題を防止することを目的として、脅威を明確にし、脆弱性を洗い出し、対策を構築するために使われる手法のことです。

・Spoofing Identity
・Tampering with data
・Repudiation
・Information disclosure
・Denial of service
・Elevation of privilege

・スプーフィング
・改ざん
・否認
・情報漏えい
・サービス拒否
・特権の昇格

SMTPコマンド

• HELO … メールサーバと通信を開始する
• MAIL FROM … 差出人メールアドレスを指定
• RCPT TO … 宛先メールアドレスを指定
• DATA … メールデータ
• QUIT … メールサーバと通信を終了する

HTTPヘッダ情報 (の一部)

Authorization

Authorization は HTTP リクエストヘッダ情報の1つで、認証情報や認証方式を指定します。

User-Agent

User-Agent は HTTP リクエストヘッダ情報の1つで、利用者の OS やブラウザ名称・バージョンなどの情報です。

Host

Host は HTTP リクエストヘッダ情報の1つで、リクエスト先のサーバのドメイン名、ポート番号などを指定します。

Set-Cookie

Set-Cookie は HTTP レスポンスヘッダ情報の1つで、サーバからクライアントに対しセットするクッキー情報です。

Cookie

Cookie は HTTP リクエストヘッダ情報の1つで、過去にサーバからの Set-Cookie ヘッダによって受信し、クライアントで保管しているクッキー情報です。

Strict-Transport-Security

Strict-Transport-Security は HTTP レスポンスヘッダ情報の1つで、サーバからブラウザ (クライアント) に「HTTP」の代わりに「HTTPS」を用いて通信するよう強制するために利用されます。

Content-Type

Content-Type は HTTP リクエストおよびレスポンスヘッダ情報の1つで、クライアントまたはサーバから送信するファイルのメディアタイプを指定します。

X-Content-Type-Options

X-Content-Type-Options は HTTP レスポンスヘッダ情報の1つで、サーバが、ブラウザがファイルの内容からメディアタイプを選定する機能 (MIME スニッフィング) を無効化し、HTTP レスポンスヘッダの Content-Type を強制させるために利用されます。

X-Content-Type-Options は、つまるところ、ブラウザが誤ったメディアタイプを選定してしまうことを防ぐために、サーバが HTTP レスポンスヘッダ情報に X-Content-Type-Options: nosniff と指定することでブラウザの MIME スニッフィングを無効化させます。これによりブラウザは、サーバが Content-Type で指定したメディアタイプに従うようになります。

X-Forwarded-For

X-Forwarded-For は HTTP リクエストヘッダ情報の1つです。

通常、プロキシサーバやロードバランサなどを経由すると、送信元 IP アドレスがプロキシサーバやロードバランサなどの IP アドレスに置き換わってしまいますが、X-Forwarded-For に置き換わる前のクライアント IP アドレスをセットしておくことで、本来の送信元 IP アドレスをサーバに伝えることができます。

X-Frame-Options

X-Frame-Options は HTTP レスポンスヘッダ情報の1つで、ブラウザが frame や iframe (インラインフレーム) で表示することを許可するかどうかを指定するために用いられます。

Content-Security-Policy

Content-Security-Policy は HTTP レスポンスヘッダ情報の1つで、ブラウザが読み込むことができるリソースと、その参照先を制限するために用いられます。これによってクロスサイトスクリプティング攻撃を防ぐことができます。

MAC

”MACアドレス”とは関係がない。

メッセージ認証コード (Message Authentication Code)

通信データの完全性を保証するために、データと共有鍵 (もしくはハッシュ関数) から生成される固定長のコード。

受信者側でこのコードを検証することにより、受信したデータが改ざん等されていないことが分かる。

MAC には、CMAC (Cipher-based MAC) や HMAC (Hash-based MAC) などがある。

量子暗号の特徴

量子力学に基づく共通鍵暗号方式の一種。

共通鍵を量子通信路 (光ファイバー) を通じて光子 (光の粒子) で配送する。

理論的に第三者に解読が不可能とされている。

おすすめの参考書

▼ 説明が詳細で丁寧なので分かりやすい

▼ 解説が分かりやすく図解されているものもある