情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

お世話になっております。

過去15回分の2周目に突入し、
試験当日までにギリ3周を追えるペースで午後演習を進めています。

1周目は純粋に初めての問題文であったため、
自身の知識や経験部分で答えを導いている感覚がありました。
また、誤答部分は背景知識を纏めたり、
読解に変な癖がついてしまっている部分を矯正する為に復習をしておきました。

ですがそのせいか、2周目に入ってから、
誤答部分は憎しみと共に記憶している設問(背景知識や問題文の根拠)が多くなり、
記憶に残っている論点をヒントに解答出来てしまう状態になりました。

1周目で正答していた部分はすっかり忘れており、
再度読解を経て自身の力で回答を出せている感じがするのですが、
上記の通り一番重要な誤答部分をヒント込みで解けているのが、
本番の練習になっていない感覚があり不安が強いです。

タイトルは冗談交じりではありますが、
この状態は本番に取り組む上で害にはなりませんでしょうか。
本番まで｢新たな問題文に取り組む｣カンが鈍ってしまうような気がします。
かといって15回分既に取り組んでいるので、それより過去の物を解くと、
現在の傾向に則さない知識や読み方の癖がついてしまうようにも思います。

是非、過去問を複数周回して合格された先輩方にご回答をいただけますと幸いです。
答えの無い質問かもしれませんが...
よろしくお願いいたします。

こんにちは、人に教えるつもりで理解に落とし込むことに専念しました。
ゆーぽさんは、POSTとPUTの違いをスラスラと説明できますか？
私ののーとにはナビゲーションシステムで例えてメモしています。
POST: 新しい目的地をナビに登録しますが、どの順番で保存されるかはナビが決めます。何度も同じ場所を登録すると、ナビに新しい目的地が増え続けます。
PUT: すでに登録されている目的地の名前や情報を上書きして更新します。何度も変更しても、登録場所は1つだけで、毎回その場所が更新されます。
これで、ナビゲーションシステムを使ったPOSTとPUTの違いがイメージしやすくなったと思います！
令和4年秋午後1問1もこんな感じです。
このシナリオは、J社が開発したロボット掃除機「製品R」に関する話です。この掃除機には、インターネットに接続してさまざまな便利な機能が使える「WebアプリR」が搭載されています。この機能を開発しているFさんとG主任が、セキュリティ対策について話し合っているところです。
1. 製品Rの機能
製品Rは、掃除機能だけでなく、インターネットにつながり、スマートフォンやパソコンから「WebアプリR」を使って操作できます。これにより、掃除エリアを設定したり、掃除の履歴を確認したりできます。また、定期的にファームウェア（掃除機のソフトウェア）をアップデートして、新しい機能を追加したり、不具合を直したりします。
→名前解決:インターネットでも同じで、ドメイン名（名前）だけではコンピュータ同士は分かりません。そこで名前解決をして、コンピュータが理解できるIPアドレスに変換してあげるんです。
2. セキュリティの問題
Fさんは、ファームウェアアップデートの仕組みについて考えていました。ファームウェアをアップデートするときに、偽物のファームウェアをダウンロードしてしまうリスクがあることに気づきました。この偽ファームウェアは、攻撃者が悪いプログラムを掃除機に入れてしまうようなものです。
どうしてこんなことが起こるの？
攻撃者は、掃除機がインターネットを使ってアップデートをダウンロードする時に、DNSキャッシュポイズニングという攻撃を仕掛けることができます。これは、掃除機が「ファームウェアをダウンロードするサーバー（Wサーバ）」にアクセスしようとするときに、悪い人が偽のサーバーに誘導してしまう攻撃です。つまり、掃除機は本物のファームウェアではなく、偽物のファームウェアをダウンロードしてしまうかもしれません。
→DNSキャッシュポイズニング:ナビゲーションシステムで言えば、最新の地図データを使って、誰かが間違った情報を入れないように保護することが大切です。DNSでも同じで、最新のセキュリティ技術を使って、正しい情報がキャッシュされ、偽の情報が入り込まないようにする対策が必要です。
→TCP:インターネットでデータを送ったりするとき、データはTCPを使って送られています。例えばデータ通信中にインターネットが一瞬切れても、TCPがデータがなくなっていないか確認して、足りないデータがあればもう一度送ってくれるんです。
→攻撃者が送信したDNS応答が攻撃として成功する条件:「権威 DNS サーバからの応答よりも早く到達する。」
 3. HTTPSで安心？
しかし、Fさんは「掃除機とWサーバの通信はHTTPSという安全な通信方法を使っているので大丈夫」と考えました。HTTPSは、インターネットでデータを送受信する際に、暗号化して第三者が内容を見たり、改ざんできないようにする仕組みです。
 4. G主任のアドバイス
G主任は、HTTPSで通信が安全だとしても、攻撃者がWサーバ自体に侵入して、本物のファームウェアを偽物に差し替えてしまう可能性もあると指摘しました。つまり、サーバーが安全でないと、通信が安全でも偽ファームウェアをダウンロードするリスクがあるということです。
5. 「コードサイニング」で解決
そこで、G主任は「コードサイニング」を導入しようと提案しました。コードサイニングは、プログラムやファイルに「このファイルは正しいものですよ」というデジタル署名をつける仕組みです。具体的には、次のような手順を踏みます：
⓵ ファームウェアに署名をつける：J社は、自分のファームウェアに「これはJ社が作った本物です」というコードサイニング証明書をつけます。
② 掃除機が署名を確認する：掃除機（製品R）は、ダウンロードしたファームウェアが本物かどうか、この署名を確認します。もし署名がJ社のものでなければ、偽物だと判断してインストールしません。
という経験に近い感じで身に染みこませています。

こんな感じかなぁ様、ご回答いただきありがとうございます。

｢2周目以降は理解を深める｣という事をご教示いただけたかと思います。
問題文中で触れられた知識や用語に関しては、
一通りキッチリ理解を終えれたと思います。
(1周目は平均7-8割でしたが、2周目では凡そ10割を取れています。)

知識部分を詰めていくという演習の側面よりも、
新しい問題に挑んで適切な読み方をする為の練習という側面で、
2周目以降の表現しがたい不安感(いまこの解答は、俺が自力で出したのか？)が、
実際に試験本番で新たな問題に取り組む際に問題とならないか、
という部分をお伺い出来ればと思います。

ゆーぼさん  律儀に高速返答ありがとうございます。
・午前2の対応に追われるので、頭のなかで矛盾が発生する場合
先程の令和4年秋午後1問1の「DNSキャッシュポイズニング」だって、午前2で見かける「カミンスキーアタック」と書きたくなるでしょ。
・推理が必要になり、機械的に答案出来ない場合
令和2年午後2問1設問4や令和3年春午後1問1設問3など、特に後者は「人のハナシを聞かない人」と書きたくなります。
・支援士なんだから「OKだして」「手順書作って」など知識よりも「社内」を意識する場合
根拠よりも、周りを安心させるかのような意向だったりします。
など、午後だから意識してしまう案件なら、村山直紀さんの問題集でいかがでしょうか。
私はKaggleやTryHackMeなどで、他の人のハナシを読んだりもしましたが試験まで時間がありません。
最後に受験を志したのは素晴らしい決意です！支援士やゆーぼさんの知識は、ネット犯罪に対抗するための非常に強力な武器となります。その知識を活かして被害者を助けたいという思いは、とても貴重です。ゆーぼさんを始め皆さんのスキルと情熱が、多くの人を守り、ネット犯罪と戦う大きな力になるでしょう。新たな挑戦を心から応援しています。

こんな感じかなぁ様、ご回答いただきありがとうございます。
解法については、村山様の本を使って再度プロセスを確認して行きたいと思います。
ありがとうございます。