HOME»情報処理安全確保支援士令和5年春期»午後問題»午後Ⅰ 問3

情報処理安全確保支援士過去問題令和5年春期午後Ⅰ 問3

⇄問題PDFと解説を画面2分割で開く ⇱問題PDF

設問1

解答入力欄

- a：
- b：
- c：

解答例・解答の要点

a：ア
b：イ
c：ウ

送信元制限機能で，本社のUTMからのアクセスだけを許可しているから

解説

〔abcについて〕
SAML(Security Assertion Markup Language：サムエル)は、シングルサインオンの認証及び認可を実施する上で必要な情報を交換する際に用いられるXMLベースのマークアップ言語です。SAML認証には、SP-Initiated方式とIdP-Initiated方式の2つの方式があります。

【SP-Initiated方式（SPへのアクセスが起点）】
1. ユーザー（クライアント）がサービスプロバイダ（以下、SPという）にアクセスを行う
2. SPは、SAMLリクエストを付けてユーザーをIDプロバイダ（以下、IdPという）へリダイレクトする
3. IdPはユーザーに認証要求を行い、ユーザー認証が成功すると認証結果やユーザー情報（SAMLアサーション）を発行する
4. ユーザーのWebブラウザを介して、SAMLアサーションがSPに渡される
5. SPはSAMLアサーションをもとに、クライアントにサービスを提供する
【IdP-Initiated方式（IdPへのアクセスが起点）】
1. ユーザーは最初にIdPにアクセスしてユーザー認証を受ける
2. ユーザーはIdP上でサービスを利用したいSPを選択する
3. IdPは、SPがサービスを提供するために必要なSAMLアサーションを発行する
4. ユーザーのWebブラウザを介して、SAMLアサーションがSPに渡される
5. SPはSAMLアサーションをもとに、クライアントにサービスを提供する
図2はQ社のPCがSaaS-aにアクセスするときの「SP-Initiated方式」のSAML認証の流れを示しています。上述の手順に沿って考えると、"(1)サービス要求"は、サービスを利用したいクライアントからサービスを提供するSPに送られます。次に、SPが"(2)認証要求(リダイレクト指示)"をクライアントに送り、クライアントはリダイレクトの指示どおり"(3)認証要求"をIdPに送ります。

本問では、クライアントがQ社のPC、SPがSaaS-a、IdPがLサービスです。したがって、空欄aには「ア」、空欄bには「イ」、空欄cには「ウ」がそれぞれ当てはまります。

∴a＝ア：Lサービス
　b＝イ：Q社のPC
　c＝ウ：SaaS-a
同業他社のJ社は、SaaS-aの偽サイトに誘導された結果、SaaS-aに不正アクセスされるという被害を受けました。しかし、問題文には「Q社の設定では，仮に，同様のフィッシング詐欺のメールを受けてSaaS-aの偽サイトにLサービスの利用者IDとパスワードを入力してしまう従業員がいたとしても，①攻撃者がその利用者IDとパスワードを使って社外からLサービスを利用することはできない」と記載されています。この理由を答えます。

表1には、4つのSaaSのIDaaS連携機能を担うLサービスに関する機能が記載されており、Q社のLサービスの欄を見ると"送信元制限機能"が"有効"となっています。送信元制限機能は「契約した顧客が設定したIPアドレスからのアクセスだけを許可する。それ以外のアクセスの場合，拒否するか，Lサービスの多要素認証機能を動作させるかを選択できる」ものです。Q社の具体的な設定内容は、表1の注²⁾に「本社のUTMのグローバルIPアドレスを送信元IPアドレスとして設定している。設定しているIPアドレス以外からのアクセスは拒否する設定にしている」と記載されています。

Lサービスは設定されたIPアドレス以外からのアクセスを拒否します。そのため、攻撃者に利用者IDとパスワードを入手された場合でも、社外からのアクセス時には送信元制限機能が発動してアクセスが拒否されます。この送信元制限機能が攻撃者の不正アクセスを防ぐ効果を持っています。

したがって、解答としてはLサービスの送信元制限機能に注目した次のような文章が適切となります。
- 送信元制限機能で、本社のUTMからのアクセスだけを許可しているから
- 送信元制限機能で、社外からのアクセスは拒否されるから
- 社外からアクセスしても、本社のUTMのIPアドレス以外は拒否されるから
∴送信元制限機能で，本社のUTMからのアクセスだけを許可しているから

設問2

解答入力欄

- d：
- e：
- f：
- g：

解答例・解答の要点

d：ア
e：ウ
f：イ

g：イ

解説

〔defについて〕
空欄を含む一文は、「これを実現するために，dを発行するeを，fとして，PCにインストールする」となっています。

Pサービスは、R-PC、社内、クラウドサービスの間の通信を中継するP社のクラウドサービスです。それぞれの間に位置するため、従業員がクラウドサービスを利用する際の通信経路は次のようになります。

　R-PCまたは社内PC ⇒ Pサービス ⇒ クラウドサービス

マルウェアスキャン機能では、Pサービス上で通信内容を復号し、マルウェアスキャン後再暗号化して送信するとあるので、「R-PCまたは社内PC ⇒ Pサービス」および「Pサービス ⇒ クラウドサービス」という2つのTLS通信が確立することになります。このうち「R-PCまたは社内PC ⇒ Pサービス」の通信では、Pサービスのサーバ証明書を使用してHTTPS通信を行うため、Pサービスのサーバ証明書の検証でエラーが出ないようにあらかじめ設定しておく必要があります。

社内システムや特定のサービスでは、セキュリティ上の理由から公開CAを使わずに、自社の認証局を使う場合があります。このような場合、該当するシステムやサービスの認証局が発行する証明書を検証するために、そのサービスの独自のルート証明書をクライアントPCにインポートする必要があります。これが行われていないと、クライアント側でその証明書は信頼できないと判断され、警告の表示や通信の拒否といったエラーが発生します。

そのため、Pサービスのサーバ証明書を発行する認証局の証明書を、信頼されたルート証明書としてPCにインポート（インストール）するのが適切な設定作業です。したがって、空欄dには「ア」、空欄eには「ウ」、空欄fには「イ」がそれぞれ当てはまります。

∴d＝ア：Pサービスのサーバ証明書
　e＝ウ：認証局の証明書
　f＝イ：信頼されたルート証明書
〔gについて〕
それぞれの用語の意味は次のとおりです。
CAPTCHA
Webページにアクセスしているユーザーがコンピュータではなく、人間であるかを判断する技術
CASB
利用者とクラウドサービスプロバイダとの間に単一のコントロールポイントを設けて、クラウドサービス利用の「可視化」「コンプライアンス」「データセキュリティ」「脅威防御」を提供する仕組み
CHAP
チェレンジレスポンス認証のこと。サーバ側からクライアント側（ユーザ）にチャレンジコードを送信し、クライアントはパスワードとチャレンジコードを組み合わせたデータをハッシュ化し、サーバ側に算出されたハッシュ値を送信する
CVSS
情報システムの脆弱性を、基本評価基準、現状評価基準、環境評価基準の3つの基準で評価する手法
クラウドWAF
クラウドサービス経由で提供されるWAF
空欄gの前文に「クラウドサービスの可視化」とあるので、該当するのは「CASB」です。CASB(Cloud Access Security Broker：キャスビー)は、クラウドサービスを利用する際に発生する、データの流出や不正アクセス、シャドーITなどのリスクに対応するためのソリューションです。ユーザーとクラウドサービスプロバイダの間に介在し、クラウドサービスの可視化と制御機能を提供します。

∴g＝イ：CASB

設問3

情報処理安全確保支援士過去問題 令和5年春期 午後Ⅰ 問3

設問1

解答入力欄

解答例・解答の要点

解説

設問2

解答入力欄

解答例・解答の要点

解説

設問3

解答入力欄

解答例・解答の要点

解説

情報処理安全確保支援士過去問題令和5年春期午後Ⅰ 問3