falseは関数なんかでは「偽」なんて表しますよね。
#KEEP LEARNING #STAY HOME
情報処理技術者試験 セキュリティマネジメント令和
元年春午前問題（全５０問）を解いていきます。
※レベルとしては応用情報のセキュリティくらいはあると
思います。結構難しいですよ。
問題の解き方や考え方をわかりやすく、解説してみる
連載です。
※問題の引用についてはIPAのルールを遵守しています。
問１３
インターネットバンキングでのＭＩＴＢ攻撃による不
正送金について、対策として用いられるトランザクシ
ョン署名の説明はどれか。
ア 携帯端末からの送金取引の場合、金融機関から携
帯端末の登録メールアドレスに送金用のワンタイ
ムパスワードを送信する。
イ 特定認証業務の認定を受けた認証局が署名したデ
ィジタル証明書をインターネットバンキングでの
利用者認証に用いることによって、ログインパス
ワードが漏えいした際の不正ログインを防止する。
ウ 利用者が送金取引時に、送金処理を行うＰＣとは
別のデバイスに振込先口座番号などの取引情報を
入力して表示された値をインターネットバンキン
グに送信する。
エ ログイン時に、送金処理を行うＰＣとは別のデバ
イスによって、一定時間だけ有効なログイン用の
ワンタイムパスワードを算出し、インターネット
バンキングに送信する。
問１４
ＷＡＦにおけるフォールスポジティブに該当するもの
はどれか。
ア ＨＴＭＬの特殊文字”＜”を検出したときに通信
を遮断するようにＷＡＦを設定した場合、”＜”
などの数式を含んだ正当なＨＴＴＰリクエストが
送信されたとき、ＷＡＦが攻撃として検知し、遮
断する。
イ ＨＴＴＰリクエストのうち、ＲＦＣなどに仕様が
明確に定義されておらず、Ｗｅｂアプリケーショ
ンソフトウェアの開発者が独自の仕様で追加した
フィールドについてはＷＡＦが検査しないという
仕様を悪用して、攻撃の命令を埋め込んだＨＴＴ
Ｐリクエストが送信されたとき、ＷＡＦが遮断し
ない。
ウ ＨＴＴＰリクエストのパラメタとして許可する文
字列以外を検出したときに通信を遮断するように
ＷＡＦを設定した場合、許可しない文字列を含ん
だ不正なＨＴＴＰリクエストが送信されたとき、
ＷＡＦが攻撃として検知し、遮断する。
エ 悪意のある通信を正常な通信と見せかけ、ＨＴＴ
Ｐリクエストを分割して送信されたとき、ＷＡＦ
が遮断しない。
問１５
ボットネットにおいてＣ＆Ｃサーバが担う役割はどれ
か。
ア 遠隔操作が可能なマルウェアに、情報収集及び攻
撃活動を指示する。
イ 攻撃の踏み台となった複数のサーバからの通信を
制御して遮断する。
ウ 電子商取引事業者などに、偽のディジタル証明書
の発行を命令する。
エ 不正なＷｅｂコンテンツのテキスト、画像及びレ
イアウト情報を一元的に管理する。
（解答と解説）
問１３
ＭＩＴＢ攻撃＝中間者ブラウザ攻撃ですね。
webブラウザの通信を盗聴するマルウエアなどによる
攻撃です。これを防止するには、ブラウザ以外の手段
で情報を送信します。
ウ 利用者が送金取引時に、送金処理を行うＰＣとは
別のデバイスに振込先口座番号などの取引情報を
入力して表示された値をインターネットバンキン
グに送信する。
問１４
フォールス（false 誤った）ポジティブ（検知）は正常
な通信を正常ではないと判断し、遮断することです。
ア ＨＴＭＬの特殊文字”＜”を検出したときに通信
を遮断するようにＷＡＦを設定した場合、”＜”
などの数式を含んだ正当なＨＴＴＰリクエストが
送信されたとき、ＷＡＦが攻撃として検知し、遮
断する。
問１５
Ｃ＆Ｃサーバはマルウエアのコントロールや情報収集
の役割があります。
ア 遠隔操作が可能なマルウェアに、情報収集及び攻
撃活動を指示する。
