情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

模範解答みて確信しましたが、おそらく落ちました。
来年も頑張ろうと思います。
みなさんはどうですか？？

この投稿は投稿者により削除されました。(2023.12.19 13:50)

問1問2を選んだのですが、なんとも言えないです

点数が55～69点の範囲内な気がします

採点基準次第って感じですかね

やっと解答出ましたね。
じたばたしてもしょうがないので、発表まで後2日を待ってみることにします。
しかし合格発表まで長いですね。

模範解答を見てみましたが、回答だけ見ると意外と素直な回答で
極端に難しい回答でなくて良かったんだな。という印象です。
ただ、試験の時は全く違う答えが頭に浮かんでしまいましたが、、(笑)

ダメだとは思って軽く勉強始めてましたが、本格的に始める必要が
ありそうですっ

いまだ自己採点やってない。あと2日楽しみに待ってます😊

もう答え見ても思い出せないくらい時間たちましたね。期待できませんが、静かに発表日を待ちます。

回答例を出してる会社さんでも、合ってない所幾つもありますね。
ある意味安心しました。

やはり緊張しますね

会社からの指示で初受験したのですが、別解というのはあるのでしょうか？
例えば問２において、
設問２＞（１）外部共有者のメールアドレスに自身の私用アドレスメールアドレスを指定する。
については「外部の共有者に似せたドメインのメールアドレスを用意し申請する」としました。
悪用としてはあり得ないから×ということはあるのでしょうか？他にも別解ありそうな気がしますが・・・

また、
設問３＞（４）EAP-TLSに必要な認証情報は、業務PCにしか格納できないから
とありますが、この回答である理由がいまいち理解できておりません。
「業務用PCを持ち出しても複製、解析できないため。」と回答しました。
私は、S氏は対タンパ性を確保できている観点から「④その格納方法であれば問題ないと思います」に繋がりしっくりくるような気がしますがこの答え方はダメなのでしょうか？

結論黙って明日を待て！なのですが、もう一問選択したのが問４であり、せめて問２は、と思い投稿してみました。

>あきさん

>会社からの指示で初受験したのですが、別解というのはあるのでしょうか？
IPAの試験で別解と呼ばれるものがあります。
それは、ごくまれにIPAの解答例に「・」(黒点）で複数解答が書いてあることが
あります。
これは当初1つだった解答が、採点を行っているうちに別解としてもよいと判断された
ものが現れ、それが「・」(黒点）で複数記載されると思われます。
裏を返せば、これ以外は別解とは認められないと思われます。

>私は、S氏は対タンパ性を確保できている観点から「④その格納方法であれば
>問題ないと思います」に繋がりしっくりくるような気がしますがこの答え方は
>ダメなのでしょうか？
対タンパ性についての解答ですが、④の直前にTPMと記述があるため、つられて
しまったものと思われます。

本段落タイトルは[方法1と方法2についての対応の検討]です。
④の解答には、このテーマを正確に反映する必要があります。

クライアント証明書と秘密鍵は、方法1への対策として議論されています。
方法1とは個人所有のPCのMACアドレスを変更し、業務PCへ偽装するという方法です。
④は、PCの偽装が起きても、安全である理由を解答することになります。
その点を踏まえるとIPAの解答である「EAP-TLSに必要な認証情報は、業務PCにしか
格納できないから」が最適です。

スレ主様の「業務用PCを持ち出しても複製、解析できないため。」は
業務PCが持ち出しや窃盗にあったことについて解答してしまっています。
業務PCの持ち出しや窃盗は、方法1のPC偽装についてとはかけ離れた別の話であり、
結果としてポイントを外していると考えられます。

私は今回受験していませんし解答例の話題でもありませんが、合否発表では自身の得点より先に「得点（評価ランク）分布」を確認して試験結果の全体を俯瞰しておきましょう。

合格率が数ポイント上がるとしても、旧午後Ⅰ・旧午後Ⅱ・AP午後とは全く違う得点観になると予想できますので、心理的ダメージを受ける前に状況を把握しておくべきです。

「対タンパ」じゃなくて、「耐タンパ」じゃないですかね？
ちなみにタイタンパだと、鉄道の保線作業用機械のことらしい。

それはさておき、公式解答以外の別解はあると思います。
公式解答に複数記載があるものは、おそらくIPAが公式解答に併記しておかないとまずいと判断したものではないでしょうか？

ネスペの掲示板では、公式解答は「権威サーバ」のみだけど「コンテンツサーバ」でも正解扱いだった（と考えられる）という投稿がありました。
投稿者の得点は92点だったけれど、コンテンツサーバが不正解なら92点に届かないはずということでした。それなりに説得力があると私は思いました。

合格率は21.9でしたので、若干軟化した感じでしょうか？
問２，３選択でしたので自己採点＋１点で想定通りでした。
問４選択の方々はどうだったんだろう・・・

ギリギリの６３点ですが、なんと合格していました。
応用の時からこちらのホームページには大変お世話になって、ここでの
コミュニティーも大変、励まされました。
本当にありがとうございます。

問４組ですが、正直答えを覚えていなくて何とも言えませんが、
少なくとも模範解答とは違った主旨で回答していました。
参考になるようなことは何も言えませんが、兎に角回答用紙を
完全に埋めたことは事実です。(笑)

本当にありがとうございました。

問2,4選択で79点でした、おそらく問4は7割くらい取れたのかな
回答例とは全く違うこと書きましたがそれなりに点貰えたようなので、かなり柔軟ですねー

橙色文書さん(No.12)

https://www.ipa.go.jp/shiken/reports/t6hhco0000001m3l-att/sc05a_bunpu.pdf
午後だけ
70点～79点 1,118 名 
60点～69点 1,873 名 
50点～59点 1,905 名 
40点～49点 1,317 名

参考：前回の
https://www.sc-siken.com/pdf/sc05h_bunpu.pdf
午後1、午後2の順
70点～79点 1,553 名 843 名 
60点～69点 1,883 名 1,219 名 
50点～59点 1,530 名 1,011 名 
40点～49点 970 名 540 名

当落ゾーンの得点観、あんまり変わらないような気がしますね。
70点台の減りはきつめな気がします

この投稿は投稿者により削除されました。(2023.12.21 17:32)

思ったより合格率が上がってないんですね
安直に合格者多数排出しないIPAのこと見直しました

この投稿は投稿者により削除されました。(2023.12.21 15:23)

この投稿は投稿者により削除されました。(2023.12.21 18:48)

問3,4とかいう最悪な組み合わせ選んで60ぴったりｗ
心臓止まるかと思った

誤記があったので再アップします。

ネットの情報ですが、
午前2通過率:69%
午後通過率:42%
合格率:21.9%
だったようです。

今回は
・午前2の難化
・IPAの合格率調整
が印象的だったと思います。

GinSanaさん
Terrapin AttackがTeraterm起因?って言っちゃうのは、普通に営業妨害な気が…
Terrpin=スッポンで、亀にもSSHにも"Shell"があるからこのネーミングになったらしいですよ

('ω'`)さん(No.24) 
そうなんですね。エクスプロイトの論文を見ると、tera termベースで記述されているので、そういう付け方なのかと思っていました。
※営業妨害臭くなるので、記述を削除した内容を以下に写しておきます

ちょっと話はそれちゃいますが、SSHプロトコルで発見された脆弱性「Terrapin Attack」（CVE-2023-48795）も、来年秋以降に題材になるかもしれないな、と昨日発表されたのを見てて思いました。tera term使ってるとこ、結構あるから現場の入れ替え指示はありそうですけども。
※特定の状況下で中間者がメッセージを挟むことでシーケンス番号を操作し、SSH通信路の完全性（Integrity）を破ることができるという攻撃手法
なお、「Terrapin Attack」の影響範囲はOpenSSHやAsyncSSH、LibSSH、PuTTY、Transmit 5、SUSEなどだそうなので、結構範囲がでかい。

合格率の調整がひどい...
午後試験の解答も採点者の解釈次第でどうとでもなりますね..

問題4、自分が解いた回答は公式解答と違うところはあったけど点数自体は悪くなかったから、必ずしも模範解答通り書かないと点がもらえないわけではないですね

R5秋の合格率は21.9%で史上最高値となり、春秋の総受験者数と総合格者数から算出したR5通年の合格率は20.9%になりました。
R4通年は20.2%であり、（おそらく経産省が）合格率の目標値を20%から21%に引き上げたと想像しています。

pix様(No.11)
今回無事午後66点にて合格しておりました。
分かりやすくご教示いただきありがとうございます。国語の問題でしたね。
ただ試験の雰囲気に飲み込まれた状況では、問題の意図に気付いたとしても「EAP-TLSに必要な認証情報は、業務PCにしか格納できないから」という言葉はでなさそうでした。勉強不足です。
正直採点、特に問4の例の箇所が気になります。
私は「SサービスのID、パスワードに対しブルートフォース攻撃」の意図を書きましたがそれに対してのレスポンスは欲しいところです。
成立するならなんでもいいのか、IPAの意図した回答以外は×なのか・・・・
試験を通じて様々な攻撃方法を聞き出すアンケート取られただけのようにしか思えません。採点講評が楽しみです。

>あきさん
合格おめでとうございます。

>正直採点、特に問4の例の箇所が気になります。
想像になりますが、問4 設問2は
・（あ）は的外れでなければ、なにを書いてもよかった
・（あ）に対して（い）～（か）は整合性が取れているかを採点された
です。

IPA側で事前に攻撃のパターンとそれに対してのリスクアセスメントの
パターンが用意されていたと考えております。

それを逆手にとって、攻略方法を考えるのであれば、
「被害の大きさ」、「発生頻度」、「総合評価」の3要素のブレがすくない
リスク源を記載するのが良い思います。

具体的には、この3要素が
被害の大きさ：大
発生頻度：高
総合評価：A
になるような重大なインシデントパターンをリスク源として（あ）に
記述できれば、安定して高得点がとれたと考えます。

ある意味論文形式と言えるかもね、問4は。