SQLインジェクション対策とほかの攻撃対策の見分け方
SQLインジェクションは、入力値がSQL文の命令の一部として解釈されてしまうことで成り立つ攻撃です。
令和6年度 問10
セキュリティ
テクノロジ系 ／ 掲載 68問
セキュリティ実装技術
WPA3の用途は通信の対象からどう見分けるか
WPA3を見たら、まず対象を無線LANと捉えます。
令和元年度秋期 午前 問37
メール送信時の認証はどの仕組みで行うのか
認証が行われるのは送信時か受信時かを、まず確認します。
令和元年度秋期 午前 問44
ネットワーク層の通信保護は何で見分けるか
AHは通信相手の認証とデータの改ざん検出に関わります。
平成31年度春期 午前 問43
侵入者の挙動調査に使う仕組みはどう見分けるか
「調査のために攻撃を誘う」という目的が、名称を選ぶ決め手になります。
平成31年度春期 午前 問44
SQLインジェクション対策で入力値をどう扱うか
入力値の文字数と、その文字がSQLでどう解釈されるかは別の問題です。
平成30年度春期 午前 問41
データベースのアクセス権限はどう選ぶか
権限を選ぶ前に、アプリケーションが実際に行う操作を洗い出します。
平成30年度春期 午前 問43
データベース通信の盗聴対策はどう見分ける？
図の攻撃者は、クライアントとサーバを結ぶ通信経路を盗聴しています。
平成29年度秋期 午前 問44
パケットフィルタリングのポート番号はどう読むか
ポート番号は、送信元と宛先のどちらに指定されているかまで確認します。
平成29年度春期 午前 問42
メール送信時の利用者認証は何で見分ける？
メールの送信と受信では、問われる仕組みが異なります。
平成29年度春期 午前 問44
セキュリティ技術評価
情報セキュリティ
2要素認証の組合せとは、知識・所持・生体の種類で見分ける
認証要素は、知識（パスワードなど）、所持（トークン・証明書など）、生体（指紋・静脈など）の3種類に大別されます。
令和8年度 問9
暗号の危殆化とは何か、鍵の漏えいとの違いはどこか
危殆化とは、暗号技術の安全性が損なわれることを指します。
令和7年度 問9
DNSキャッシュの誤登録で誰が誤誘導されるか
DNSキャッシュの誤登録は、そのキャッシュを使って名前解決する利用者に影響します。
令和元年度秋期 午前 問35
RSA署名の検証鍵は誰の鍵を使うのか
鍵を選ぶときは、署名を作る側と確かめる側を先に区別します。
令和元年度秋期 午前 問38
バックドアとは何か？認証を経ない経路の見分け方
バックドアは、正規の認証を経ずにアクセスできる経路です。
令和元年度秋期 午前 問39
SHA－256のハッシュ値で改ざんをどう確かめるか
ハッシュ値の照合には、信頼できる比較対象の値が必要です。
令和元年度秋期 午前 問40
検索結果の上位表示を悪用する攻撃とは何か
攻撃名を選ぶときは、何を操作しているかを先に確かめます。
令和元年度秋期 午前 問41
CAPTCHAの目的はアクセス時に何を見分けるか
仕組みの目的を問われたら、何を判別・処理するのかに着目します。
平成31年度春期 午前 問36
パスワードリスト攻撃は何を使って見分ける？
判別するときは、利用者IDとパスワードのどちらを固定し、どちらを変えるかを確認します。
平成31年度春期 午前 問37
メッセージ認証符号は何を確かめるために使う？
MACの値は、受信側で計算し直して届いた値と照合します。
平成31年度春期 午前 問38
楕円曲線暗号の特徴は鍵長でどう見分けるか
楕円曲線暗号は公開鍵暗号方式です。
平成31年度春期 午前 問39
不正のトライアングルの三要素をどう見分けるか
「機会」は、不正を実行できる、または実行しやすい環境を指します。
平成31年度春期 午前 問42
ディジタル署名はソフトの何を確かめるのか
署名を検証する側は、署名者の公開鍵を用います。
平成30年度秋期 午前 問36
AES－256の鍵長から最大試行回数をどう数えるか
鍵長のビット数と、試すべき鍵の候補数は区別します。
平成30年度秋期 午前 問37
共通鍵暗号方式と公開鍵暗号方式は何が違うか
鍵を共有する必要があることと、その鍵を安全に渡せることは別に考えます。
平成30年度秋期 午前 問38
ボットネットのC＆Cサーバは何を指揮するか
ボットネットは、ボットに感染した複数のコンピュータからなります。
平成30年度秋期 午前 問41
ドライブバイダウンロード攻撃は何が起点になる？
攻撃名を判断するときは、攻撃の起点と、被害を受ける対象を確認します。
平成30年度春期 午前 問36
ポートスキャンは侵入前に何を調べるのか
ポートスキャンは、対象の通信ポートの応答を調べる行為です。
平成30年度春期 午前 問37
公開鍵暗号方式で復号できる人はどう決まる？
公開鍵と秘密鍵は対応する組として扱います。
平成30年度春期 午前 問38
セキュリティバイデザインはいつ考え始めるか
判断するときは、対策の内容に加えて、それを始める時点を確認します。
平成30年度春期 午前 問42
生体認証の判定基準はどう調整すべきか
FRRは、本人を誤って拒否する割合です。
平成30年度春期 午前 問45
C＆Cサーバの役割は指示先でどう見分けるか
ボットネットは、マルウェアに感染した端末の集まりです。
平成29年度秋期 午前 問36
DNSキャッシュポイズニングの見分け方
キャッシュポイズニングの判断では、DNSのキャッシュに偽情報を登録させる操作に注目します。
平成29年度秋期 午前 問37
公開鍵暗号方式で素因数分解が鍵となる理由
「公開鍵暗号方式」を問われたら、各方式の名前だけでなく用途を確認します。
平成29年度秋期 午前 問38
SQLインジェクションは何を手掛かりに見分けるか
SQLインジェクションは、入力を介して意図しないSQLを実行させる攻撃です。
平成29年度秋期 午前 問39
ディジタル署名の署名鍵は誰が使い何を確かめる？
署名鍵は送信者が管理する秘密鍵です。
平成29年度秋期 午前 問40
ワームとトロイの木馬は感染の広げ方でどう違う？
マルウェアの種類を見分けるときは、何をするかと、どう広がるかを分けて考えます。
平成29年度秋期 午前 問41
DNSキャッシュの改ざんで誘導されるのは誰か
DNSキャッシュの改ざんは、どのキャッシュサーバに記憶されたかを確認します。
平成29年度春期 午前 問36
ディレクトリトラバーサル攻撃は何で見分ける？
パス名を悪用した想定外のファイルへのアクセスが、ディレクトリトラバーサルです。
平成29年度春期 午前 問37
ブルートフォース攻撃は鍵候補をどう調べるか
4つの方法はいずれも鍵の発見を目指すため、目的ではなく調べ方で区別します。
平成29年度春期 午前 問38
公開鍵暗号方式は選択肢からどう見分けるか
公開鍵暗号方式を探すときは、公開鍵と秘密鍵の組を使うかに着目します。
平成29年度春期 午前 問40
タイムスタンプサービスは何を証明するのか
選択肢を比べるときは、日時そのものを扱うのか、電子データの証拠を扱うのかを見分けます。
平成29年度春期 午前 問41
情報セキュリティ対策
WAFとは何かをUTM・SIEM・WPA2と区別して見分ける
WAFはWeb Application Firewallの略で、Webアプリケーションを攻撃から守るための仕組みです。
令和7年度 問10
WAFの設置場所は通信のどこを見て判断する？
WAFでWebアプリケーションへの要求を調べるには、通信の内容を読める必要があります。
令和5年度 問10
マルウェアの動的解析は実行の有無でどう見分けるか
動的解析は、検体を実行して挙動を調べます。
令和元年度秋期 午前 問36
DMZと内部セグメントのサーバ配置はどう決めるか
公開Webサービスでは、外部からの要求を受けるサーバへの到達性を確保します。
令和元年度秋期 午前 問42
SIEMの機能は何を集めて何をするか
SIEMは、複数の機器やソフトウェアが出すログを扱います。
令和元年度秋期 午前 問43
侵入検知システムの機能はどう見分ける？
IDSは侵入検知システムのことです。
平成30年度秋期 午前 問42
セキュアブートは起動時に何を検証するのか
セキュアブートを見分ける手掛かりは、起動時のディジタル署名の検証です。
平成30年度秋期 午前 問43
公衆無線LANの安全対策は効果をどう見分ける
MACアドレスによる接続制限だけでは、アドレスを偽装した端末を識別できません。
平成30年度秋期 午前 問44
メールの第三者中継はログのどこで見分けるか
第三者中継を判別するときは、接続元だけでなく送信者と受信者の所属も確認します。
平成30年度秋期 午前 問45
SPFの仕組みは送信元をどう照合する？
SPFの検証を行うのは、メールを受信する側です。
平成30年度春期 午前 問40
静的パケットフィルタのSMTP通信は往復をどう通すか
通信を始めるPCと、待ち受けるSMTPサーバのどちらのポートかを先に区別します。
平成30年度春期 午前 問44
DMZと内部セグメントのサーバ配置をどう決めるか
DMZは外部と内部の間に設ける領域です。
平成29年度春期 午前 問43
ポートスキャナーは何を確認する検査か
ポートスキャナーは対象の通信ポートの応答を調べます。
平成29年度春期 午前 問45
情報セキュリティ管理
CSIRTとPSIRT・SOCの違いは対象と段階
CSIRTは、発生したセキュリティインシデントへの対応（調査・封じ込め・復旧・再発防止）を担う組織です。
令和8年度 問10
ドライブバイダウンロード攻撃は何がきっかけ？
攻撃の名前を判断するときは、感染後の被害だけでなく、感染に至る経路を確認します。
令和5年度 問9
リスクファイナンシングと資金投入はどう違うか
リスクファイナンシングは、損失が生じた際の金銭的負担に備える対応です。
平成31年度春期 午前 問40
リスクレベルの定義は何を表すものか
用語の定義を問われたら、対象そのものと、それを評価するための条件を分けて読みます。
平成31年度春期 午前 問41
真正性と信頼性の違いは定義のどこで見分ける？
組合せ問題では、各行の二つの対応をそれぞれ確かめます。
平成30年度秋期 午前 問39
インシデント対応体制を支える資料の見分け方
資料を識別するときは、作成者と目的を一組で確認します。
平成30年度秋期 午前 問40
情報セキュリティの特性は何で見分ける？
定義中の「主張するとおり」は、名乗っている主体や出所を見極める手掛かりです。
平成30年度春期 午前 問39
CSIRTの役割はどう見分ける？組織の活動に注目
組織の名称を判断するときは、対象とする出来事と具体的な活動を組み合わせて確認します。
平成29年度秋期 午前 問42
リスクアセスメントの三段階はどう見分ける？
「特定」は、何をリスクとして扱うかを明らかにする段階です。
平成29年度秋期 午前 問43
サイバーセキュリティ経営で確認すべき相手は
確認する範囲を考えるときは、自社の外にある関係先にも目を向けます。
平成29年度春期 午前 問39