読者です 読者をやめる 読者になる 読者になる

にしのくえすと

情報処理技術者試験のお勉強ブログ


「にしのくえすと」とは?
・「情報処理技術者試験大好き」「ICT資格取りたい」な人のためのブログです。
・あいぱす、セキュマネ、基本、応用、セキュスペ(安全確保支援士)、ネスペ、デスペあたりの話題が中心です。
・申し述べる見解はあくまで私人としてのもので、勤務先とは一切関係ございません。
・資格試験に関する記事は、自己責任でご利用ください。


新刊のお知らせです!
20170310230011
・電子書籍第2弾!「セスペちゃん29」発売中!(Kindle版)
 午前対策+27春秋・28春秋午後解答ライブ収録!
 情報処理安全確保支援士対応!練習問題付き約150Pの攻略同人誌!

 
電子書籍発売中です!
20161022221039
・初の電子書籍!「ネスペちゃん28」発売中!(Kindle版)ver1.1

作者の日記系ブログ
みがまえるよりはやく  「にしの」私的なブログ不定期です。こちらもよろしくです。

今後のスケジュール
・ITパスポート本を製作中(6月予定)です。
・ネスペちゃんの改訂を行う予定です。(8月予定)

広告



セキュスペ27秋解いてみた 第4回午前1-1

広告

注意事項をお読みください:こちら
解答方針は:こちら


問2
( a )に当てはまる言葉ですが、こういう場合は空欄の前にヒン
トがあるんですけど、これは例外です。
「表2の攻撃コードの送信後」ってあるので、表2を探します。かつ、
表2の言葉を使わなければいけないと考えてください。
 WASのログを攻撃者に見えるようにして、それを改造して、シェ
ルを実行させるようにする攻撃です。ので、
「公開ディレクトリ」ないしは「公開ディレクトリ上」でいいと思い
ます。


問3(1)
cegには「遮断」しかなさそうですが。
問題はbdfでしょうか。

[検証対象]というワードは図2にありますので、bdfには
GET POST ANY COOKIE Multipart 以外の言葉は入りません。

GET POSTリクエストの中身を検証するので、GET POSTは除外しま
す。で、3つ入ることは分かるんですけど。順番は必要かなあと悩み
ました。でも、いらないと考えて埋めます。
b ANY  c 遮断  d COOKIE  e 遮断  f Multipart  g遮断 
(bdfは順不同でいいと思うんですが・・・)


問3(2)
パターンを読み解くと
「先頭がclassで後ろが.にマッチする」ってことなので
アはマッチせず イはマッチし ウはマッチし、エはマッチしません

よって「イ」「ウ」


問3(3)
フォールスポジティブと言います。
正しいものを誤ったものとしてしまうことです。
「エ」


問3(4)
WAFの動作権限は表1通りです。これは、権限を奪われると何でも
できちゃうのでダメですよね・・・。

じゃあ、どう書けばいいかというと
「現在の動作権限設定をWebアプリEを使用するのに必要最小限にする。」
でしょうけど、ちょっと長い。
「動作権限を必要最小限に設定する。」(16字)

問4
WAFで新ルールを設定したので、これがちゃんと動作するのかを検証
したいですよね。

「攻撃コードが遮断されること。」
「正しいリクエストが許可されること。」
この2点かと思います。

字数が足りないので。主語を足します。
「WAFで設定したルールで攻撃コードが遮断されること。」(25字)
「WAFで設定したルールで正しいリクエストが許可されること。」(30字)


問5
エピローグにあるとおり、本当はこれをやるべきなのに、緊急だから
しかたがなかったことが「遮断せず一定期間運用する利点」につなが
ります。

「WAFで設定したルールが本当にそれでいいかを確認できる。」
(38字)ことですね。

「本当にそれでいいか・・・」が気になります。書き直しましょう。


「WAFで設定したルールが正常な業務を阻害しないか確認できる点。」
(42字)でいかがでしょう。


にしのくえすと Presented by にしの 2017