いろいろあるけど、やれることをやるしかないっしょ！
情報安全確保支援士試験の平成３１年春 午前２問
題（全２５問）を解いていきます。問題の解き方や
考え方をわかりやすく、解説してみる連載です。
※問題の引用についてはIPAのルールを遵守しています。
問１０
クロスサイトリクエストフォージェリ攻撃の対策として、効果がない
ものはどれか。
ア Ｗｅｂサイトでの決済などの重要な操作の都度、利用者のパスワ
ードを入力させる。
イ Ｗｅｂサイトへのログイン後、毎回異なる値をＨＴＴＰレスポン
スに含め、Ｗｅｂブラウザからのリクエストごとに送付されるそ
の値を、Ｗｅｂサーバ側で照合する。
ウ Ｗｅｂブラウザからのリクエスト中のＲｅｆｅｒｅｒによって正
しいリンク元からの遷移であることを確認する。
エ ＷｅｂブラウザからのリクエストをＷｅｂサーバで受け付けた際
に、リクエストに含まれる”＜”や”＞”などの特殊文字を、タグと
して認識されない”＆ｌｔ；”や”＆ｇｔ；” などの文字列に置き換
える。
問１１
ＤＮＳキャッシュポイズニング攻撃に対して有効な対策はどれか。
ア ＤＮＳサーバにおいて、侵入したマルウェアをリアルタイムに隔
離する。
イ ＤＮＳ問合せに使用するＤＮＳヘッダ内のＩＤを固定せずにラン
ダムに変更する。
ウ ＤＮＳ問合せに使用する送信元ポート番号を５３番に固定する。
エ 外部からのＤＮＳ問合せに対しては、宛先ポート番号５３のもの
だけに応答する。
問１２
ＶＬＡＮ機能をもった１台のレイヤ３スイッチに複数のＰＣを接続し
ている。スイッチのポートをグループ化して複数のセグメントに分け
ると、スイッチのポートをセグメントを分けない場合に比べて、どの
ようなセキュリティ上の効果が得られるか。
ア スイッチが、ＰＣから送出されるＩＣＭＰパケットを全て遮断す
るので、ＰＣ間のマルウェア感染のリスクを低減できる。
イ スイッチが、ＰＣからのブロードキャストパケットの到達範囲を
制限するので、アドレス情報の不要な流出のリスクを低減できる。
ウ スイッチが、ＰＣのＭＡＣアドレスから接続可否を判別するので、
ＰＣの不正接続のリスクを低減できる。
エ スイッチが、物理ポートごとに、決まったＩＰアドレスをもつＰ
Ｃの接続だけを許可するので、ＰＣの不正接続のリスクを低減で
きる。
（解答と解説）
問１０
クロスサイトリクエストフォージェリはクライアントとサーバの信頼
関係を利用して、自分の代わりにいろいろなことをやらせてしまうと
いう攻撃です。
エ ＷｅｂブラウザからのリクエストをＷｅｂサーバで受け付けた際
に、リクエストに含まれる”＜”や”＞”などの特殊文字を、タグと
して認識されない”＆ｌｔ；”や”＆ｇｔ；” などの文字列に置き換
える。
これはＸＳＳ対策なので、効果がありません。
問１１
ＤＮＳキャッシュポイズニング攻撃は不正なＤＮＳレコードをＤＮＳ
に仕込んで、別のサイトに誘導する攻撃です。
イ ＤＮＳ問合せに使用するＤＮＳヘッダ内のＩＤを固定せずにラン
ダムに変更する。
マルウエアは関係ないですし、ポートは固定しちゃうと攻撃しやすく
なります。どの問い合わせかを照合するときに、IDを固定にするより
問い合わせごとにランダムにしたほうが、安全性が高くなります。
問１２
ア スイッチが、ＰＣから送出されるＩＣＭＰパケットを全て遮断す
るので、ＰＣ間のマルウェア感染のリスクを低減できる。
ＩＣＭＰはＩＰ層なので、遮断できません。
イ スイッチが、ＰＣからのブロードキャストパケットの到達範囲を
制限するので、アドレス情報の不要な流出のリスクを低減できる。
これが正解です。
ウ スイッチが、ＰＣのＭＡＣアドレスから接続可否を判別するので、
ＰＣの不正接続のリスクを低減できる。
アドレスＶＬＡＮならそうですけど。
エ スイッチが、物理ポートごとに、決まったＩＰアドレスをもつＰ
Ｃの接続だけを許可するので、ＰＣの不正接続のリスクを低減で
きる。
ＩＰアドレスではなく、MACアドレスですね。
