宿題メールより　2022/11/14 - 七転び八起き　諦めないための学習記録

[解説：技術系]応用・基本・セキマネ・ITパス向け

　内部ネットワークの PC からインターネット上の Web サイトを参照するとき
に，DMZ に設置した VDI (Virtual Desktop Infrastructure) サーバ上の Web
ブラウザを利用すると，未知のマルウェアが PC にダウンロードされるのを防ぐ
というセキュリティ上の効果が期待できる。この効果を生み出す VDI サーバの
動作の特徴はどれか。

　ア　Web サイトからの受信データのうち，実行ファイルを削除し，その他のデータ
をPCに送信する。

　イ　Web サイトからの受信データは，IPsecでカプセル化し，PC に送信する。

　ウ　Web サイトからの受信データは，受信処理ののち生成したデスクトップ画面
　　の画像データだけをPCに送信する。

　エ　Web サイトからの受信データは，不正なコード列が検知されない場合だけ
　　PC に送信する。

■キーワード■　VDI サーバ

■解答■
　　応用情報技術者午前令和０１年秋問４１

　ウ　Web サイトからの受信データは，受信処理ののち生成したデスクトップ画面
　　の画像データだけをPCに送信する。

> VDI(Virtual Desktop Infrastructure/デスクトップ仮想化)
> サーバ上にあるデスクトップ環境を遠隔地にある端末に転送して利用すること
> です。仮想化とは、ソフトウェアを用いてハードウェアを仮想環境で動作させる
>
> ことです。ハードウェアとは、サーバ・CPU・メモリ・HDD・SSDなどを指します。
> これがデスクトップになるとデスクトップ仮想化という概念になります。
> 端末で最小限の処理を行い、ほとんどの処理をサーバ側で行うシステム構成を
> シンクライアントといい、実現するのがVDIです。ちなみに、シンクライアント
> の実行方法はネットワークブート型と画像転送型があり、VDIは画像転送型の
> 一種です。利用者の作業は、自身の端末ではなくサーバ上で実行され、
> データもサーバに保存されます。そのため、利用者の端末には、データが保存
> されないため情報漏えいのリスクがありません。
> https://it-trend.jp/desktop-
> virtualization/article/beginner_desktop_virtualization

　どうもありがとうございます。

> VDI(Virtual Desktop Infrastructure)サーバとは
> https://atmarkit.itmedia.co.jp/ait/articles/0906/22/news104.html
> 上記より、VDI サーバで生成したデスクトップ画面の画像データだけを
> PC に送信するが該当します。
> よって、解答はウです。
> 参考
> https://www.mobi-connect.net/blog/virtual-desktop-infrastructure/

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/04_haru/q44.html

　どうもありがとうございます。

- - - - -

[解説：セキュリティ系]

　PC からサーバに対し，IPv6 を利用した通信を行う場合，ネットワーク層で
暗号化を行うときに利用するものはどれか。

　ア　IPsec

　イ　PPP

　ウ　SSH
　
　エ　TLS

■キーワード■　

■解答■
　　情報処理安全確保支援士午前２令和０４年秋問１３

　ア　IPsec

> IPSecは、ネットワーク層のセキュリティ技術。
> https://atmarkit.itmedia.co.jp/ait/articles/0110/26/news002.html
>
> ・PPP　データリンク層
> ・SSH　アプリケーション層
> ・TLS　アプリケーション層とトランスポート層

　どうもありがとうございます。

> IPsec(Security Architecture for Internet Protocol)
> 暗号化によってパケットの秘匿や改ざん検知を実現するプロトコルです。
> 主にインターネットを介して拠点間を接続する、インターネットVPNを実現する
> ためのプロトコルとして広く利用されています。IPsecを使って通信する際に
> 利用する論理的な通信路(コネクション)はSA(Security Association)と呼ばれ
> ます。このSAを確立する際、暗号化のための鍵を交換するためのプロトコルが
> IKE(Internet Key Exchange protocol)です。またIPsecには、認証と改ざん防止
> のみを行うAH(Authentication Header)と、データの暗号化を行う
> ESP(Encapsulated Security Payload)の2つのプロトコルがあるほか、
> データ部分のみを暗号化するトランスポートモードと、ヘッダとデータの両方を
> 暗号化するトンネルモードがあります。IPsecを用いたインターネットVPN
> によって拠点間を接続する場合には、トランスポートモードを利用します。
> https://www.ntt.com/bizon/glossary/e-i/ipsec.html

　どうもありがとうございます。

> IPv6の概要
> https://www.jstage.jst.go.jp/article/koshientb/2/0/2_44/_pdf
> 上記より、解答はアのIPsecです。
> 参考
> IPsecとは
> https://www.cloudflare.com/ja-jp/learning/network-layer/what-is-ipsec/

　どうもありがとうございます。

> https://www.ap-siken.com/kakomon/02_aki/q37.html

　どうもありがとうございます。

- - - - -

[解説：入門]ＩＴパス向け

　Q 27001:2014 (情報セキュリティマネジメントシステム-要求事項)に基づい
て ISMS 内部監査を行った結果として判明した状況のうち，監査人が，指摘事項とし
て監査報告書に記載すべきものはどれか。

　ア　USB メモリの使用を，定められた手順に従って許可していた。　

　イ　個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。

　ウ　マルウェアスキャンでスパイウェアが検知され，駆除されていた。

　エ　リスクアセスメントを実施した後に，リスク受容基準を決めていた。

■キーワード■　

■解答■
　　応用情報技術者午前令和０４年秋問５８

> JIS Q 27001：2014(ISO/IEC 27001：2013)
> 6.1.2 情報セキュリティリスクアセスメント
> 組織は，次の事項を行う情報セキュリティリスクアセスメントのプロセスを
> 定め，適用しなければならない。
> a) 次を含む情報セキュリティのリスク基準を確立し，維持する。
> 1) リスク受容基準
> 2) 情報セキュリティリスクアセスメントを実施するための基準
> 6.1.3 情報セキュリティリスク対応
> 組織は，次の事項を行うために，情報セキュリティリスク対応のプロセスを
> 定め，適用しなければならない。
> a) リスクアセスメントの結果を考慮して，適切な情報セキュリティリスク対応
> の選択肢を選定する。
> https://kikakurui.com/q/Q27001-2014-01.html
> ⇒ 「リスク受容基準」は「リスクアセスメント」を実施する前に
> 　　決められていなければならない。