宿題メールより 2022/11/14

[解説：技術系]応用・基本・セキマネ・ITパス向け

　内部ネットワークの PC からインターネット上の Web サイトを参照するとき
に，DMZ に設置した VDI (Virtual Desktop Infrastructure) サーバ上の Web
ブラウザを利用すると，未知のマルウェアが PC にダウンロードされるのを防ぐ
というセキュリ ティ上の効果が期待できる。この効果を生み出す VDI サーバの
動作の特徴はどれか。

　ア　Web サイトからの受信データのうち，実行ファイルを削除し，その他のデータ
をPCに送信する。

　イ　Web サイトからの受信データは，IPsecでカプセル化し，PC に送信する。

　ウ　Web サイトからの受信データは，受信処理ののち生成したデスクトップ画面
　　の画像データだけをPCに送信する。

　エ　Web サイトからの受信データは，不正なコード列が検知されない場合だけ
　　PC に送信する。

■キーワード■　VDI サーバ

■解答■
　　応用情報技術者午前令和０１年秋問４１

　ウ　Web サイトからの受信データは，受信処理ののち生成したデスクトップ画面
　　の画像データだけをPCに送信する。

> VDI(Virtual Desktop Infrastructure/デスクトップ仮想化)
> サーバ上にあるデスクトップ環境を遠隔地にある端末に転送して利用すること
> です。仮想化とは、ソフトウェアを用いてハードウェアを仮想環境で動作させる
>
> ことです。ハードウェアとは、サーバ・CPU・メモリ・HDD・SSDなどを指します。
> これがデスクトップになるとデスクトップ仮想化という概念になります。
> 端末で最小限の処理を行い、ほとんどの処理をサーバ側で行うシステム構成を
> シンクライアントといい、実現するのがVDIです。ちなみに、シンクライアント
> の実行方法はネットワークブート型と画像転送型があり、VDIは画像転送型の
> 一種です。利用者の作業は、自身の端末ではなくサーバ上で実行され、
> データもサーバに保存されます。そのため、利用者の端末には、データが保存
> されないため情報漏えいのリスクがありません。
> https://it-trend.jp/desktop-
> virtualization/article/beginner_desktop_virtualization

　どうもありがとうございます。

> VDI(Virtual Desktop Infrastructure)サーバとは
> https://atmarkit.itmedia.co.jp/ait/articles/0906/22/news104.html
> 上記より、VDI サーバで生成したデスクトップ画面の画像データだけを
> PC に送信するが該当します。
> よって、解答はウです。
> 参考
> https://www.mobi-connect.net/blog/virtual-desktop-infrastructure/

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_haru/q44.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　PC からサーバに対し，IPv6 を利用した通信を行う場合，ネットワーク層で
暗号化を行うときに利用するものはどれか。

　ア　IPsec

　イ　PPP

　ウ　SSH
　
　エ　TLS

■キーワード■　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問１３

　ア　IPsec

> IPSecは、ネットワーク層のセキュリティ技術。
> https://atmarkit.itmedia.co.jp/ait/articles/0110/26/news002.html
>
> ・PPP　データリンク層
> ・SSH　アプリケーション層
> ・TLS　アプリケーション層とトランスポート層

　どうもありがとうございます。

> IPsec(Security Architecture for Internet Protocol)
> 暗号化によってパケットの秘匿や改ざん検知を実現するプロトコルです。
> 主にインターネットを介して拠点間を接続する、インターネットVPNを実現する
> ためのプロトコルとして広く利用されています。IPsecを使って通信する際に
> 利用する論理的な通信路(コネクション)はSA(Security Association)と呼ばれ
> ます。このSAを確立する際、暗号化のための鍵を交換するためのプロトコルが
> IKE(Internet Key Exchange protocol)です。またIPsecには、認証と改ざん防止
> のみを行うAH(Authentication Header)と、データの暗号化を行う
> ESP(Encapsulated Security Payload)の2つのプロトコルがあるほか、
> データ部分のみを暗号化するトランスポートモードと、ヘッダとデータの両方を
> 暗号化するトンネルモードがあります。IPsecを用いたインターネットVPN
> によって拠点間を接続する場合には、トランスポートモードを利用します。
> https://www.ntt.com/bizon/glossary/e-i/ipsec.html

　どうもありがとうございます。

> IPv6の概要
> https://www.jstage.jst.go.jp/article/koshientb/2/0/2_44/_pdf
> 上記より、解答はアのIPsecです。
> 参考
> IPsecとは
> https://www.cloudflare.com/ja-jp/learning/network-layer/what-is-ipsec/

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/02_aki/q37.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　Q 27001:2014 (情報セキュリティマネジメントシステム-要求事項)に基づい
て ISMS 内部監査を行った結果として判明した状況のうち，監査人が，指摘事項とし
て監査報告書に記載すべきものはどれか。

　ア　USB メモリの使用を，定められた手順に従って許可していた。 　

　イ　個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。

　ウ　マルウェアスキャンでスパイウェアが検知され，駆除されていた。

　エ　リスクアセスメントを実施した後に，リスク受容基準を決めていた。

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問５８

> JIS Q 27001：2014(ISO/IEC 27001：2013)
> 6.1.2 情報セキュリティリスクアセスメント
> 組織は，次の事項を行う情報セキュリティリスクアセスメントのプロセスを
> 定め，適用しなければならない。
> a) 次を含む情報セキュリティのリスク基準を確立し，維持する。
> 1) リスク受容基準
> 2) 情報セキュリティリスクアセスメントを実施するための基準
> 6.1.3 情報セキュリティリスク対応
> 組織は，次の事項を行うために，情報セキュリティリスク対応のプロセスを
> 定め，適用しなければならない。
> a) リスクアセスメントの結果を考慮して，適切な情報セキュリティリスク対応
> の選択肢を選定する。
> https://kikakurui.com/q/Q27001-2014-01.html
> ⇒ 「リスク受容基準」は「リスクアセスメント」を実施する前に
> 　　決められていなければならない。

　どうもありがとうございます。

> JIS Q 27001:2014 (情報セキュリティマネジメントシステム－要求事項)
> 6.1.2 情報セキュリティリスクアセスメント
> 組織は，次の事項を行う情報セキュリティリスクアセスメントの
> プロセスを定め，適用しなければならない。
> https://kikakurui.com/q/Q27001-2014-01.html
> 上記より、リスクアセスメントを実施した後にから解答はエです。
> 参考
> https://www.fe-siken.com/kakomon/30_aki/q58.html

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q58.html

　どうもありがとうございます。

宿題メールより 2022/11/11

[解説：技術系]応用・基本・セキマネ・ITパス向け

　エクスプロイトキットの説明はどれか。

　ア　JPEG データを読み込んで表示する機能をもつ製品に対して，セキュリティ上
　　の問題を発生させる可能性のある値を含んだ JPEG データを読み込ませるこ
　　とによって，脆弱性がないかをテストするツール 　

　イ　JVN などに掲載された脆弱性情報の中に，利用者自身が PC 又はサーバに
　　インストールした製品に関する情報が含まれているかどうかを確認するツール

　ウ　OS やアプリケーションソフトウェアの脆弱性を悪用して攻撃するツール

　エ　Web サイトのアクセスログから，Web サイトの脆弱性を悪用した攻撃を
　　検出するツール

■キーワード■

■解答■
　　応用情報技術者午前令和０１年秋問４２

　ウ　OS やアプリケーションソフトウェアの脆弱性を悪用して攻撃するツール

> エクスプロイトキット(Exploit Kit)
> エクスプロイトキットとは、複数のエクスプロイトコード(エクスプロイト)を
> パッケージ化して、様々な脆弱性攻撃に対応できるようにしたプログラムのこと
> である。エクスプロイトコードは、セキュリティ上の脆弱性を攻撃するための
> プログラムを指す用語である。従来のエクスプロイトに対して、新しく発見
> された脆弱性への攻撃プログラムなどが随時追加されていくことで、さまざまな
> 場面に対して攻撃を仕掛けることが可能となっている。
> https://www.sophia-it.com/content/%E3%82%A8%E3%82%AF%E3%82%B9%E3%83%97%E3%83%AD%E3%82%A4%E3%83%88%E3%82%AD%E3%83%83%E3%83%88

　どうもありがとうございます。

> エクスプロイトキットとは、サイバー攻撃者がパソコンやモバイルデバイスの
> 脆弱性を利用する際に用いるクラッキングツール。
> https://eset-info.canon-its.jp/malware_info/term/detail/00129.html
> 上記より、解答はウです。
> 参考
> https://e-words.jp/w/%E3%82%A8%E3%82%AF%E3%82%B9%E3%83%97%E3%83%AD%E3%82%A4%E3%83%88%E3%82%AD%E3%83%83%E3%83%88.html

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/01_aki/q42.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　パスワードスプレー攻撃に該当するものはどれか。

　ア　攻撃対象とする利用者 ID を一つ定め，辞書及び人名リストに掲載されて
　　いる単語及び人名並びにそれらの組合せを順にパスワードとして入力して，
　　ログインを試行する。

　イ　攻撃対象とする利用者 ID を一つ定め，パスワードを総当たりして，ログイン
　　を試行する。

　ウ　攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避
　　しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログイン
　　を試行する。
　
　エ　不正に取得したある他のサイトの利用者 ID とパスワードとの組みの一覧表
　　を用いて，ログインを試行する。

■キーワード■　パスワードスプレー攻撃　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問６

　ウ　攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避
　　しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログイ
　　ンを試行する。

> 昨日と同じ問題です。

　すいませんでした。

> パスワードスプレー攻撃(Password spray attack)
> 同じパスワードを複数のユーザーアカウントログインで同時に試すことです。
> ログインの際に一定の回数パスワードを間違えると、アカウントロックが
> かかる場合がありますよね？パスワードスプレー攻撃の場合、
> ロックがかかっても解除されるまで他のアカウントでログインを試せば
> いいため、あまり意味がありません。また一度に複数のユーザーへログインが
> 試せるので、犯人にとっては効率がいい方法です。
> https://office110.jp/security/knowledge/cyber-attack/password-spray

　どうもありがとうございます。

> パスワードスプレー攻撃とはIDやパスワードを組み合わせて連続的に
> 攻撃するブルートフォース攻撃の一種です。
> https://cybersecurity-jp.com/column/30629#i
> 上記より、解答はウです。
> 参考
> https://www.sc-siken.com/kakomon/04_aki/am2_6.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　システム監査における "監査手続" として，最も適切なものはどれか。

　ア　監査計画の立案や監査業務の進捗管理を行うための手順

　イ　監査結果を受けて，監査報告書に監査人の結論や指摘事項を記述する手順

　ウ　監査項目について，十分かつ適切な証拠を入手するための手順

　エ　監査テーマに合わせて，監査チームを編成する手順

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問５９

　ウ　監査項目について，十分かつ適切な証拠を入手するための手順

> IV．システム監査実施に係る基準
>
> 【基準８】 監査証拠の入手と評価
> ＜解釈指針＞
> １．システム監査において、システム監査人は、個別監査計画に基づいて、
> 　　監査手続を実施することによって、監査証拠を入手する。
> ２．監査手続は、監査対象の実態を把握するための予備調査(事前調査とも
> いう。)、及び予備調査で得た情報を踏まえて、十分かつ適切な監査証拠
> 　　を入手するための本調査に分けて実施される。
> https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kansa_h30.pdf

　どうもありがとうございます。

> 監査手続とは、監査人が監査意見を形成するに足る基礎を得るための
> 監査証拠を入手するために実施する手続をいい、実施する目的により、
> リスク評価手続とリスク対応手続（運用評価手続又は実証手続）に
> 分けられる。
> https://www2.deloitte.com/jp/ja/pages/audit/articles/aa/glossary/au-017.html
> 上記より、解答はウです。
> 参考
> https://www2.deloitte.com/jp/ja/pages/risk/articles/rm/substantive-test.html

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q59.html

　どうもありがとうございます。

宿題メールより 2022/11/10

[解説：技術系]応用・基本・セキマネ・ITパス向け

　ダークネットは，インターネット上で到達可能であるが，使われていない
IP アドレス空間を示す。このダークネットにおいて観測されるものはどれか。

　ア　インターネット上で公開されている Web サイトに対して Web ブラウザか
　　ら送信するパケット

　イ　インターネットにつながっており，実在する IoT 機器から実在するサーバ
　　に送信されるパケット

　ウ　マルウェアが IoT機器やサーバなどの攻撃対象を探すために送信するパケット

　エ　有効な電子メールアドレスに対して攻撃者が標的型攻撃メールを送信する

■キーワード■　ダークネット

■解答■
　　応用情報技術者午前令和０１年秋問４３

　ウ　マルウェアが IoT機器やサーバなどの攻撃対象を探すために送信するパケット

> ダークネット(darknet)
> ダークネットとは、インターネット上で到達可能なIPアドレスのうち、
> 特定のホストコンピュータが割り当てられていないアドレス空間のことである。
> ダークネットは未使用のIPアドレスであり、通常はダークネットに対して
> パケットが送信されることはほとんどない。しかし実際には、ダークネット上で
> 相当数のパケットが観測されるという。ダークネット上を流れるパケットの
> 多くは、不正な行為・活動に起因するものと言われている。情報通信研究機構
>
> (IPA)は、ダークネット上を流れるパケットの主な種類として、
> 「マルウェアが感染対象を探査するためのスキャン」、
> 「マルウェアが感染対象の脆弱性を攻撃するためのエクスプロイトコード」、
> 「送信元IPアドレスが詐称されたDDoS攻撃を被っているサーバからの応答」
> を挙げている。
> https://www.sophia-it.com/content/%E3%83%80%E3%83%BC%E3%82%AF%E3%83%8D%E3%83%83%E3%83%88

　どうもありがとうございます。

> ダークネットとは
> https://e-words.jp/w/%E3%83%80%E3%83%BC%E3%82%AF%E3%83%8D%E3%83%83%E3%83%88.html
> 上記より、攻撃対象を探すために送信するパケットだと思います。
> よって、解答はウです。
> ダークネットは、悪いイメージです。

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/01_aki/q43.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　パスワードスプレー攻撃に該当するものはどれか。

　ア　攻撃対象とする利用者 ID を一つ定め，辞書及び人名リストに掲載されて
　　いる単語及び人名並びにそれらの組合せを順にパスワードとして入力して，
　　ログインを試行する。

　イ　攻撃対象とする利用者 ID を一つ定め，パスワードを総当たりして，ログイン
　　を試行する。

　ウ　攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避
　　しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログイン
　　を試行する。
　
　エ　不正に取得したある他のサイトの利用者 ID とパスワードとの組みの一覧表
　　を用いて，ログインを試行する。

■キーワード■　パスワードスプレー攻撃　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問６

　ウ　攻撃の時刻と攻撃元 IP アドレスとを変え，かつ，アカウントロックを回避
　　しながらよく用いられるパスワードを複数の利用者 ID に同時に試し，ログイ
　　ンを試行する。

> パスワードスプレー攻撃(Password spray attack)
> 同じパスワードを複数のユーザーアカウントログインで同時に試すことです。
> ログインの際に一定の回数パスワードを間違えると、アカウントロックが
> かかる場合がありますよね？パスワードスプレー攻撃の場合、
> ロックがかかっても解除されるまで他のアカウントでログインを試せば
> いいため、あまり意味がありません。また一度に複数のユーザーへログインが
> 試せるので、犯人にとっては効率がいい方法です。
> https://office110.jp/security/knowledge/cyber-attack/password-spray

　どうもありがとうございます。

> パスワードスプレー攻撃
> 膨大な数のユーザー名とよく使われるパスワードを試みる攻撃。
> ログインの試行回数が少ないため、ロックがかからない。
> https://www.manageengine.jp/products/ADSelfService_Plus/solution-idm_Password-spray_WP_LP.html

　どうもありがとうございます。

> パスワードスプレー攻撃とはIDやパスワードを組み合わせて連続的に
> 攻撃するブルートフォース攻撃の一種です。
> https://cybersecurity-jp.com/column/30629#i
> 上記より、解答はウです。

　どうもありがとうございます。

> https://www.sc-siken.com/kakomon/04_aki/am2_6.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　システム監査基準の意義はどれか。

　ア　システム監査業務の品質を確保し，有効かつ効率的な監査を実現するための
　　システム監査人の行為規範となるもの

　イ　システム監査の信頼性を保つために，システム監査人が保持すべき情報システム
　　及びシステム監査に関する専門的知識・技能の水準を定めたもの

　ウ　情報システムのガバナンス，マネジメント，コントロールを点検・評価・検証す
　　る際の判断の尺度となるもの

　エ　どのような組織体においても情報システムの管理において共通して留意すべき
　　基本事項を体系化・一般化したもの

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問６０

　ア　システム監査業務の品質を確保し，有効かつ効率的な監査を実現するための
　　システム監査人の行為規範となるもの

> システム監査基準(system audit standards)
> 情報システムのガバナンス、マネジメントまたはコントロールを点検・評価・
> 検証する業務(システム監査業務)の品質を確保し、有効かつ効率的な監査を
> 実現するためのシステム監査人の行為規範である。システム監査の体制整備、
> 監査人の独立性、監査計画、監査実施、監査報告からフォローアップまで、
> 全12つの基準で構成されている。
> https://www.itpassportsiken.com/word/%E3%82%B7%E3%82%B9%E3%83%86%E3%83%A0%E7%9B%A3%E6%9F%BB%E5%9F%BA%E6%BA%96.html

　どうもありがとうございます。

> [１] システム監査の意義と目的
> https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kansa_h30.pdf
> 上記より、解答はアです。

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q60.html

　どうもありがとうございます。

宿題メールより 2022/11/09

[解説：技術系]応用・基本・セキマネ・ITパス向け

　ファジングに該当するものはどれか

　ア　サーバに FIN パケットを送信し，サーバからの応答を観測して，稼働して
　　いるサービスを見つけ出す。

　イ　サーバの OS やアプリケーションソフトウェアが生成したログやコマンド履歴
　　などを解析して，ファイルサーバに保存されているファイルの改ざんを検知
　　する。

　ウ　ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を
　　監視して，脆弱性を見つけ出す。

　エ　ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロード
　　を解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセス
　　と判断する。

■キーワード■　ファジング (fuzzing)

■解答■
　　応用情報技術者午前令和０１年秋問４３

　ウ　ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を
　　監視して，脆弱性を見つけ出す。

> ファジング(fuzzing)
> ファジングとは、ソフトウェアのバグや脆弱性を検証するためのテスト手法の
> 一種で、エラー成分が含まれた様々な命令パターンをあらかじめ実行させて見て
> エラーの発生を調べることである。ファジングでは、「ファズ」(fuzz)と
> 呼ばれるエラー入りの命令が様々なパターンで自動的に生成され、プログラムに
> よって無作為に入力される。ファズが無作為に入力されることで、人為的な
> 事前予測では思いも寄らないケースで生じるエラーが発見できる。
> https://www.sophia-it.com/content/%E3%83%95%E3%82%A1%E3%82%B8%E3%83%B3%E3%82%B0

　どうもありがとうございます。

> ファジングとは
> https://www.veriserve.co.jp/service/detail/fuzzing.html
> 上記より、解答はウです。
> 参考
> https://www.ipa.go.jp/security/vuln/fuzzing.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　送信元 IP アドレスが A，送信元ポート番号が 80/tcp，宛先 IP アドレスが
未使用の IP アドレス空間内の IP アドレスである SYN/ACK パケットを大量に
観測した場合，推定できる攻撃はどれか。

　ア　IP アドレス A を攻撃先とするサービス妨害攻撃

　イ　IP アドレス A を攻撃先とするパスワードリスト攻撃

　ウ　IP アドレス A を攻撃元とするサービス妨害攻撃

　エ　IP アドレス A を攻撃元とするパスワードリスト攻撃

■キーワード■　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問５

　ア　IP アドレス A を攻撃先とするサービス妨害攻撃

> SYNフラッド攻撃
> サービス拒否(DDoS)攻撃の一種。
> 利用可能なサーバーリソースの消費により、正当なトラフィックがサーバーを
> 利用できない。
> https://www.cloudflare.com/ja-jp/learning/ddos/syn-flood-ddos-attack/

　どうもありがとうございます。

> SYNフラッド攻撃(SYN flooding attack)
> SYNフラッド攻撃は、悪意のある第三者が上記のプロセス上で
> 「1.クライアント(ユーザー)からSYNパケットを送信」でサーバに大量の
> SYNパケットを送信した後、「2.サーバは、SYN/ACKパケットをクライアント
> (ユーザー)に返す」でサーバから返された SYN/ACKパケットを無視し、
> そのまま放置することでサーバ側を待機状態にさせてシステムのリソースを
> 奪い新しく接続ができないようにします。最悪の場合、システムが壊れてしまう
> こともあります。SYNフラッド攻撃は送信元の偽装が容易であり、存在しない
> 送信元を指定することもできます。SYNフラッド攻撃の最も恐ろしい点として、
> パケットを送信しているクライアント・ユーザー側に悪意があるかどうかの
> 判断が難しいことがあります。複数の送信元からのアクセスがあることを
> 一概に攻撃と判断するのは難しいでしょう。
> https://www.shadan-kun.com/blog/measure/2664/

　どうもありがとうございます。

> SYN/ACK パケットとは
> https://e-words.jp/w/SYN%E3%83%91%E3%82%B1%E3%83%83%E3%83%88.html
> 上記より、大量に観測したからサービス妨害攻撃が該当すると
> 考えます。また、SYN/ACK パケットを使用するため、
> IP アドレス A が攻撃先となります。
> よって、解答はアです。
> 参考
> TCP SYN/ACK リフレクション攻撃とは
> https://www.scutum.jp/information/waf_tech_blog/2020/04/waf-blog-066.html
> https://scan.netsecurity.ne.jp/article/2018/12/04/41686.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　予測手法の一つであるデルファイ法の説明はどれか。

　ア　現状の指標の中に将来の動向を示す指標があることに着目して予測する。

　イ　将来予測のためのモデル化した連立方程式を解いて予測する。

　ウ　同時点における複数の観測データの統計比較分析によって将来を予測する。

　エ　複数の専門家へのアンケートの繰返しによる回答の収束によって将来を予測する。

■キーワード■　デルファイ法 (delphi method)

■解答■
　　応用情報技術者午前令和０４年秋問７５

　エ　複数の専門家へのアンケートの繰返しによる回答の収束によって将来を予測する。

> デルファイ法(delphi method)
> 専門家グループなどが持つ直観的意見や経験的判断を反復型アンケートを
> 使って、組織的に集約・洗練する意見収束技法。技術革新や社会変動などに
> 関する未来予測を行う定性調査によく用いられる。
> デルファイ法ではまず、予測したいテーマについて詳しい専門家や有識者を
> 選んで意見を求める。得られた回答は統計的に集約して意見を取りまとめ、
> これを添えて同じ質問を各専門家に対して行い、意見の再検討を求める。
> この質問とフィードバック、意見の再考という過程を数回、繰り返すと
> グループの意見が一定の範囲に収束してくる。この意見集約によって、
> 確度の高い予測を得ようというわけである。
> https://www.itmedia.co.jp/im/articles/0805/26/news130.html

　どうもありがとうございます。

> デルファイ法とは
> https://e-words.jp/w/%E3%83%87%E3%83%AB%E3%83%95%E3%82%A1%E3%82%A4%E6%B3%95.html
> 上記より、解答はエです。
> 参考
> https://ssaits.jp/promapedia/method/delphi-method.html

　どうもありがとうございます。

宿題メールより 2022/11/08

[解説：技術系]応用・基本・セキマネ・ITパス向け

　虹彩認証に関する記述のうち，最も適切なものはどれか。

　ア　経年変化による認証精度の低下を防止するために，利用者の虹彩情報を
　　定期的に登録し直さなければならない。

　イ　赤外線カメラを用いると，照度を高くするほど，目に負担を掛けることな
　　く認証精度を向上させることができる。

　ウ　他人受入率を顔認証と比べて低くすることが可能である。

　エ　本人が装置に接触したあとに残された遺留物を採取し，それを加工するこ
　　とによって認証データを偽造し，本人になりすますことが可能である。

■キーワード■　虹彩認証

■解答■
　　応用情報技術者午前令和０１年秋問４５

　ウ　他人受入率を顔認証と比べて低くすることが可能である。

> 虹彩認証(iris recognition)
> 虹彩認証は、人間の「虹彩」を用いて本人認証を行う技術です。
> 一部のスマートフォン(スマホ)に搭載されているものの、日本国内ではまだ
> ほとんど普及していない次世代の本人認証技術で、他の生体認証と比較して
> 高精度であること、顔認証よりも抵抗が少ないといったメリットから、
> 実用化ニーズの高い先端技術の一つです。
> https://iris.pas-ta.io/about/

　どうもありがとうございます。

> 虹彩認証とは
> https://iris.pas-ta.io/about/
> 上記より、他人受入率を顔認証と比べて低くすることが可能となります。
> よて、解答はウです。

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/01_aki/q45.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　DoS 攻撃の一つである Smurf 攻撃はどれか。

　ア　TCP 接続要求である SYN パケットを攻撃対象に大量に送り付ける

　イ　偽装した ICMP の要求パケットを送って，大量の応答パケットが攻撃
　　対象に送られるようにする。

　ウ　サイズが大きい UDP パケットを攻撃対象に大量に送り付ける。

　エ　サイズが大きい電子メールや大量の電子メールを攻撃対象に送り付ける。

■キーワード■　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問４

　イ　偽装した ICMP の要求パケットを送って，大量の応答パケットが攻撃
　　対象に送られるようにする。

> sumrf攻撃
> 送信元のIPアドレスを偽装し、あるネットワークアドレスに対し、一斉にPINGを
> 大量に送付。被害者のコンピュータやネットワークに負荷がかかる。
>
> https://securitychecklist.net/security/cyber-attack/SMURF-ATTACK.html

　どうもありがとうございます。

> Smurf攻撃(Smurf attack)
> DoS攻撃の一種。コンピュータ間の接続を確認するために用いる「pingコマンド」
> の送信元を偽装し、標的に大量のパケットを送り付けることで、サーバや
> システムなどを機能停止させるサイバー攻撃のこと。
> ファイアウォールのパケットフィルタリング機能などで対策することができる。
> https://enterprisezine.jp/securityonline/word/detail/Smurf%E6%94%BB%E6%92%83

　どうもありがとうございます。

> Smurf攻撃とは、特定のコンピュータに繋がるかどうか確認する
> 「ping」コマンドで使われるパケットの送信元を偽装し、
> 標的に向けて大量のパケットを送りつける攻撃手法。
> pingコマンドの仕様では、ICMP（Internet Control Message Protocol）
> というプロトコルを用いて疎通確認したい相手に
> 「エコーリクエスト」（echo request）というパケットを送り、
> 相手は「エコーリプライ」（echo reply）パケットを送り返す。
> https://e-words.jp/w/Smurf%E6%94%BB%E6%92%83.html
> 上記より、解答はイです。
> 参考
> https://www.sc-siken.com/kakomon/23_aki/am2_9.html

　どうもありがとうございます。

> https://www.sc-siken.com/kakomon/04_aki/am2_4.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　引き出された多くの事実やアイディアを，類似するものでグルーピングしていく
収束技法はどれか。

　ア　NM法

　イ　ゴードン法

　ウ　親和図法

　エ　ブレーンストーミング

■キーワード■　親和図法 (affinity diagram)

■解答■
　　応用情報技術者午前令和０４年秋問７６

　ウ　親和図法

> 親和図法(affinity diagram)
> 親和図法とは、ある課題に対する事実・意見・発想を言語データに変換し、
> 言語データ同士の「親和性」を見つけて統合図を作っていく手法です。
> 別名「KJ法(川喜田二郎法)」とも呼ばれます。文化人類学者の故川喜田二郎氏
> が、フィールドワークで得たデータを新たな発想に変換するため1967年に
> 考案した研究法が由来です。現在の親和図法は、品質管理分野における
> 「新QC7つ道具」のひとつとして、将来の漠然とした課題や未知の課題の解決策を
> 導き出すためによく活用されます。
> https://www.robot-befriend.com/blog/shinwazuhou/

　どうもありがとうございます。

> ア　NM法とは
> https://www.recruit-ms.co.jp/glossary/dtl/0000000086/
> イ　ゴードン法とは
> https://word.place/w/%E3%82%B4%E3%83%BC%E3%83%89%E3%83%B3%E6%B3%95.html
> ウ　親和図法とは
> https://www.itpassportsiken.com/word/%E8%A6%AA%E5%92%8C%E5%9B%B3%E6%B3%95.html
> エ　ブレーンストーミングとは
> https://www.lucidchart.com/pages/ja/brainstorming
> 上記より、解答はウです。

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q76.html

　どうもありがとうございます。

宿題メールより 2022/11/07

[解説：技術系]応用・基本・セキマネ・ITパス向け

　a を正の整数とし，b = a**2 とする。a を2進数で表現すると n ビットであるとき，
b を 2 進数で表現すると最大で何ビットになるか。

　ア　n + 1

　イ　2*n

　ウ　n**2

　エ　2**n

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問０１

　イ　2*n

> b = a^2　
> a = 2^n　
> b = a^2 = (2^n)^2 = 2^2n -----(イ)

　どうもありがとうございます。

> 問題分中の「高々」とは、「多くとも」の意味である。
> 1 a=15(おおよそ16=2~4)とおくと15=(1111)2となり、
> aは4ビットで表現できると分かる。
> 2 Nビット居ないで表現できる2進数の数値aは
> おおよそ2n以内(正確には2~ N - 1 )の範囲の値となる。
> 3 aの2状の値は(2~ N)2となり、高々2Nビット以内で表現できる
> 数値となる。
> したがって、イが正解である。
> 引用
> https://kanauka.com/kakomon/ap/h25h/01_05a.html#answer01

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q1.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　シングルサインオン(SSO)に関する記述のうち，適切なものはどれか。

　ア　SAML 方式では，インターネット上の複数の Web サイトにおける SSO を，
　　IdP (Identity Provider) で自動生成された URL 形式の1人一つの利用者 ID
　　で実現する。

　イ　エージェント方式では，クライアント PC に導入したエージェントが SSO の
　　対象システムのログイン画面を監視し，ログイン画面が表示されたら認証情報を
　　代行入力する。 　

　ウ　代理認証方式では，SSO の対象サーバに SSO のモジュールを組み込む必要があり，
　　システムの改修が必要となる。

　エ　リバースプロキシ方式では，SSO を利用する全てのトラフィックが
　　リバースプロキシサーバに集中し，リバースプロキシサーバが単一障害点になり得る。

■キーワード■　SSO (シングルサインオン)

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問０７

　エ　リバースプロキシ方式では，SSO を利用する全てのトラフィックが
　　リバースプロキシサーバに集中し，リバースプロキシサーバが単一障害点になり得る。

> SSO(シングルサインオン)
> ア．SAML方式　URL形式ではなく、XML形式
> イ．発行された認証済Cookieをエージェントが確認する。
> ウ．代理認証方式　アプリケーションのサーバの改修は不要
> エ．〇
>
> https://solution.kamome-e.com/blog/blog-sso-idm-20211125/

　どうもありがとうございます。

> シングルサインオン(Single Sign On/SSO)の
> リバースプロキシ方式(reverse proxy)
> リバースプロキシ方式は端末とWebシステムの間にリバースプロキシサーバを
> 設置する方法です。このリバースプロキシサーバに専用のエージェントソフトを
> 導入します。認証をリバースプロキシサーバが行うことでログインが可能。
> リバースプロキシを経由するため、Webシステムにエージェントを
> 導入できなくても問題ありません。また、エージェントの導入が不要なだけ
> でなく、複数のWebシステムがある場合でも展開しやすいことが特徴です。
> リバースプロキシ方式のメリットとデメリットは以下のとおりです。
> 【メリット】
> ・プラットフォームに依存することなくシングルサインオンの実現が可能
> ・Webシステムへエージェントソフトの導入が難しい場合にも対応可能
> ・Webシステムサーバの存在を隠せるので安全性を高められる
> 【デメリット】
> ・リバースプロキシが対応できるようにネットワークの構成を変更する必要が
> 　ある
> ・Webシステムが代理認証に対応していないことがある
> ・リバースプロキシの負荷分散のためロードバランサ導入の検討も必要である
> https://it-trend.jp/single_sign_on/article/75-0029

　どうもありがとうございます。

> シングルサインオン(SSO)とは
> https://www.ashisuto.co.jp/product/theme/security/sso.html
> 上記を踏まえて
> ア　誤　SAML 方式では、URL 形式の1人一つの利用者 IDではありません。
> SAML 方式とは
> https://www.ashisuto.co.jp/product/theme/security/sso.html
> イ　誤　エージェント方式では、認証情報を代行入力しません。
> エージェント方式とは
> https://www.ashisuto.co.jp/product/theme/security/sso.html
> ウ　誤　SSO のモジュールの組込身は不要です。
> 代理認証方式とは
> https://www.ashisuto.co.jp/product/theme/security/sso.html
> エ　正　
> リバースプロキシ方式とは
> https://www.ashisuto.co.jp/product/theme/security/sso.html
> 上記より、解答はエです。
> 参考
> https://www.sc-siken.com/kakomon/30_haru/am2_5.html

　どうもありがとうございます。

> https://www.sc-siken.com/kakomon/04_aki/am2_7.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　A 社は顧客管理システムの開発を，情報システム子会社である B 社に委託し，
B 社は要件定義を行った上で，ソフトウェア設計・プログラミング・ソフトウェアテスト
までを，協力会社である C社に委託した。C社では自社の社員 D にその作業を担当させた。
このとき，開発したプログラムの著作権はどこに帰属するか。ここで，関係者の間には，
著作権の帰属に関する特段の取決めはないものとする。

　ア　A 社

　イ　B 社

　ウ　C 社

　エ　社員 D

■キーワード■　著作権

■解答■
　　応用情報技術者午前令和０４年秋問７８

　ウ　C 社

> ソフトウェアの著作権
> 基本的にシステム開発における成果物(ソースコードなど)は基本的にシステムを
> 開発した受注側の企業に帰属します。というのも、著作権の仕様として
> 「成果物を作成した人もしくは組織に帰属する権利」という仕様があるから
> です。そのため、いくら発注者側がお金を払ったとしても、契約書を作る段階で
> 自社に著作権が譲渡される旨が書かれていないと著作権は譲渡されません。
> そのため他社や競合企業などに自社のシステムを利用されたくない場合は、
> 必ず早い段階で受注者側に主張する必要があります。
> https://rekaizen.com/article/detail/business-system/1022

　どうもありがとうございます。

> プログラムの著作権－知的財産権の基礎講座
> (1)著作者について
> 　一般的な著作物は、従業員等が職務として創作し、かつ、会社名義で
> 公表された場合には、会社が著作者となります。
> http://www.furutani.co.jp/kiso/tyosaku2.html
> 上記より、C社では自社の社員 D にその作業を担当させたから
> 回答はウのC 社です。
> 参考
> https://www.ap-siken.com/kakomon/25_haru/q78.html
> 作成者が著作権を保持します。
(引用先の丸数字は、(1) としました。)

　どうもありがとうございます。

宿題メールより 2022/11/04

[解説：技術系]応用・基本・セキマネ・ITパス向け

　製品 100 個を 1 ロットとして生産する。一つのロットからサンプルを 3 個抽出して
検査し，3 個とも良品であればロット全体を合格とする。100 個中に 10 個の不良品を
含むロットが合格と判定される確率は幾らか。

　ア　178/245

　イ　405/539

　ウ　89/110

　エ　87/97

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問０３

　ア　178/245

> https://www.ap-siken.com/kakomon/04_aki/q3.html
> 90/100×89/99×88/98

　どうもありがとうございます。

>90*89*88 ÷ 100*99*98

　どうもありがとうございます。

> 90C3/100C3 = (90*89*88/(3*2*1))/(100*99*98/3*2*1)
> = (90*89*88/(100*99*98)) = (9*89*44/(10*99*49))
> = (89*22/(5*11*49)) = (89*2/(5*49)) = 178/245 -----(イ)

　どうもありがとうございます。

> 1 最初の1個が良品である確率を計算する
> (100-10) / 100 = 90 / 100 = 9 / 10
> 2 1個目が良品でかつ2個目も良品である確率を計算する
> 9 / 10 * (90-1)/(100-1) = (9 / 10) * (89 / 99)
> 1個目,2個目が良品で3個目も良品である確率は式を約分した後に計算し、
> 9 / 10 * 89 / 99 * (89-1) / (99-1) = (9 / 10) * (89 / 99) * (88/ 98)
> = 178 /245
> となる。
> したがって、アが正解である。
> 引用
> https://kanauka.com/kakomon/ap/h27h/003.html

　どうもありがとうございます。

> 解らないので山勘

　これは難しかったですね。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：セキュリティ系]

　前方秘匿性 (Forward Secrecy) の説明として，適切なものはどれか。

　ア　鍵交換に使った秘密鍵が漏えいしたとしても，それより前の暗号文は解読されな
　　い。

　イ　時系列データをチェーンの形で結び，かつ，ネットワーク上の複数のノードで共
　　有するので，データを改ざんできない。

　ウ　対となる二つの鍵の片方の鍵で暗号化したデータは，もう片方の鍵でだけ復号で
　　きる。 　

　エ　データに非可逆処理をして生成される固定長のハッシュ値からは，元のデータを
　　推測できない。

■キーワード■　前方秘匿性 (Forward Secrecy)

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問０８

　ア　鍵交換に使った秘密鍵が漏えいしたとしても，それより前の暗号文は解読されな
　　い。

> 前方秘匿性は、第三者に傍受される前のものは、漏えいしない。
> https://blog.kaspersky.co.jp/33c3-private-messenger-basics/13611/

　どうもありがとうございます。

> 前方秘匿性(Forward Secrecy)
> ・前方秘匿性とは、鍵交換プロトコルに要求される性質の一つで、鍵交換に
>　 使った秘密鍵が漏えいしたとしても、過去の暗号文は解読されないという
>　 性質のこと
> ・暗号通信においては、過去に同じ鍵ペアを使った場合、過去のデータの
>　 安全性が脅かされることになるため、鍵交換プロトコルには前方秘匿性が
>　 要求される
> ・具体的には、「データ暗号化の鍵から別の鍵を生成しない」
>　 「暗号鍵の基となる情報は使い捨てとする」などの性質がある
> https://aolaniengineer.com/archives/5033

　どうもありがとうございます。

> https://www.nw-siken.com/kakomon/03_haru/am2_18.html

　どうもありがとうございます。

• • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • • -

[解説：入門]ＩＴパス向け

　発注者と受注者との間でソフトウェア開発における請負契約を締結した。ただし，
発注者の事業所で作業を実施することになっている。この場合，指揮命令権と雇用契
約に関して，適切なものはどれか。

　ア　指揮命令権は発注者にあり，さらに，発注者の事業所での作業を実施可能にする
　　ために，受注者に所属する作業者は，新たな雇用契約を発注者と結ぶ。 　

　イ　指揮命令権は発注者にあり，受注者に所属する作業者は，新たな雇用契約を発注
　　者と結ぶことなく，発注者の事業所で作業を実施する。

　ウ　指揮命令権は発注者にないが，発注者の事業所での作業を実施可能にするために，
　　受注者に所属する作業者は，新たな雇用契約を発注者と結ぶ。

　エ　指揮命令権は発注者になく，受注者に所属する作業者は，新たな雇用契約を
　　発注者と結ぶことなく，発注者の事業所で作業を実施する。

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問７９

　エ　指揮命令権は発注者になく，受注者に所属する作業者は，新たな雇用契約を
　　発注者と結ぶことなく，発注者の事業所で作業を実施する。

> 請負契約(service contract)
> 請負とは、企業が業務をアウトソーシングする際の契約形態の一つです。
> 「請負契約」や「業務請負」などと呼ばれることもあります。
> 請負契約の特徴は、「成果物の完成」を約束する契約であり、契約書によって
> 定めた「期限までに」「仕事を完成し、成果物を納めてもらう」ことに対して
> 報酬を支払うという点です。
> また、請負の注文会社は完成までの工程や作業方法などについて、その業務を
> 請け負った会社および個人に指示が出せないことも特徴です。
> つまり、成果物によってのみ仕事の完成が判断され、その途中の工程や作業に
> ついては、原則として関与できないのです。ただし、実際に仕事を進める
> 個人が働く場所は問いません。そのため、請負会社で働く場合もあれば、
> 請負を委託した企業へ赴き、働く場合もあります。
> https://www.dodadsj.com/content/200904_contract/

　どうもありがとうございます。

> 請負契約・業務委託契約が「雇用契約」とならないようにするためのポイント
> https://www.businesslawyers.jp/practices/1412
> 上記より、指揮命令権は発注者にはありませんが、作業者は
> 新たな雇用契約を発注者と結ぶことなく，発注者の事業所で作業可能です。
> よって、解答はエです。
> 参考
> https://www.ap-siken.com/kakomon/25_haru/q80.html
> 弊社では、この契約が大半です。

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_aki/q79.html

　どうもありがとうございます。