【セキュマネ】令和元年度秋午後問1の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」令和元年度秋科目B問1を解説します。

理解を一歩間違うと大失点につながる不安定な問題でしたね。設問1, 3(2)(3),4(1)(2)は芋づる失点、設問1(3), 4(2)は選択肢の組合せ。
逆に言えば、矛盾が起きてないか確認できれば確実に点数が稼げたとも言えますが…初見にはムズイですね💦

学びは設問2の「スクリーニング」。セキスペにも出た実績があるので、大きな学びになりました。＞【SC】令和2年秋午後1問1設問3(1)の解説Note

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)a

正答は、オ（認証情報のリストを入手して利用する）。

【空欄a】前「Jサイトから漏えいした～認証情報が利用されていると」には「考えられません」と断言しています。Jサイトを構成するサーバから情報漏えいはありません。

イとエは、消し易いですね。
イ：認証情報が洩れてないから「Jサイトの顧客の個人情報」も漏れてなさそう。また個人情報と認証情報は少し遠く、個人情報漏えい=ログインできるわけでもなし。
エ：「認証情報のリストに不正にアクセスして、改ざん」できるなら、情報漏えいだって起こるはず。改ざんしたなら不正ログインももっと成功するはず。

アも消せるかな
ア：「Jサイトの～管理者用アカウントの認証情報」も漏れてなさそう。仮に漏れたら、もっとヒドイ事態になるでしょう。管理者アカウントで利用者の認証情報を入手して、解読すればログインが全部成功します。

表1攻撃1「980件の不正ログインの試みのうち、90件が成功」なので、成功率10%以下なので、上記アエができるならもっと高いはずです。

ウ：「パスワード判定ロジックの脆弱性」なんて、問題文に一回も出てきてません。ナシ寄りの保留。

正答のオ。「認証情報のリストを入手」は、別サイトからの入手と拡大解釈します。ちょっとイジワルですよね。パスワードリスト攻撃は、いつも「他のサイトで」って言葉で修飾してくれてたので。＞【SC】試験に出た73種類の攻撃Note（パスワードリスト攻撃）

私はオ、次点イ、でした。一旦オ（パスワードリスト攻撃の類）で問題文を読み進めて、不都合が出れば考え直します。

設問1(2)b

正答は、ウ（攻撃対象のサイトの顧客が複数のオンラインサービスで認証情報を使い回している）。

前の設問で【空欄a】=オでパスワードリスト攻撃の類を選んだので、適切な選択肢があれば一安心です。

ウ。難しめに書いてますが、要は他サービスでも同じID, PWDで登録していること。パスワードリスト攻撃が成立するのでOK。

時間があれば、空欄aの選択肢との対応も見ます。

ア：「SQLインジェクション」の脆弱性。問題文に一度も出ていないし、仮にID,PWDを検索できるサービスがあって、SQLインジェクション攻撃が成立して認証情報を盗めたとしたら、ログイン成功率はもっと高いです。＞【SC】試験に出た73種類の攻撃Note（Webアプリ系）

イ：「WAF」や「IPS」の対応力の話。Webサーバへの攻撃的な通信を検知する話なので、強いていうなら空欄aのイ（DBの脆弱性）かなぁ。

エ：「単純で短いパスワード」はパスワードクラックの原因にはなります。しかし空欄aの選択肢に対応する手口がないので不適切。＞【SC】試験に出た73種類の攻撃Note（パスワードクラック）

オ：「サイトの問合せフォームの処理に脆弱性」は、XSS, CSRF, SQLインジェクションなど。空欄aに対応なし。＞【SC】試験に出た73種類の攻撃Note（Webアプリ系）

カ：「送信元IPアドレスによるアクセス制御機能がない」も空欄a選択肢に対応なし。アクセスを弾けなければ、あらゆる攻撃試行をずっと受けます。

設問1(3)c

正答は、キ（v, vii）。

v：ログインごとにメールで通知される認証用キーによる利用者認証
vii：顧客がメールアドレスを変更した際にJサイトにログインできなくなる

認証時の本人確認【c1】と、特有の課題【c2】の話。

【c1】の選択肢から「本人確認」だけを挙げます。
×（i）：複製保存は無関係。
○（ii）：生体認証は本人確認できます。
△（iii）：クライアント証明書で端末の特定ができます。使用者が本人とは限りませんが。
×（iv）：人間であれば本人でなくても通ります。
○（v）：予め登録したメールアドレスで、本人確認できます。攻撃でメアドが変更させられたらピンチですが。

【c2】の選択肢から、【c1】選択肢への対応を見ます。
×（vi）：対応なし。
○（vii）：（v）メールに対応
○（viii）：（iii）クライアント証明書に対応かな。クライアント証明書の再インストールなので、分からない社員さんもいるでしょう。
×（ix）：利用者がボットを使うわけない。「ボット」は「マルウェア」の一種です。攻撃者の指示で動く。＞【Iパス】マルウェア４：ボットのNote
×（x）：対応なし

まとめると
（ii）生体認証、対応なし
（iii）クライアント証明書、(viii)かな。
（v）メールで通知されるキー（vii）。

空欄c1前「利用者本人かどうかを確認」に最も適しているのは、メールによる追加認証。キ（v, vii）。

クライアント証明書（iii）（viii）も、ワンチャンあり得ますが、相対比較で負けました。また空欄c2後「多くの実績がある」ので、日常生活でよく見かけるメールによる追加認証を採用。

設問1(4)

正答は、ア（各サイトで異なるパスワードを利用する）。

下線①は、お客さんにお願いする対策。攻撃1は不正ログインでした。”パスワード変更のお願い”が一般的ですね。

更に空欄a, bのパスワードリスト攻撃も後押ししてくれてます。

ア：「各サイトで異なるパスワード」なので、パスワードリスト攻撃への対策。正解。

時間があるなら、他選択肢も考えます。

イ：公衆無線LANを使わないのは盗聴を危惧してます。パスワードクラックの対策には直結はしません。

ウ：「OSの脆弱性」はJサイトには無関係。また、OSへのログインとJサイトへのログインは直結はしません。パスワードは違えた方が良いですが。アが適切。

エ：アクセスポイントへのPWDと、Jサイトへの各人のログインPWDは無関係。

オ：本件はマルウェアとは現状無関係です。「スパイウェア」の「キーロガー」にPWD入力を特定される可能性はありますが。アが適切。＞【Iパス】マルウェア３：スパイウェアのNote

カ：お客さんのストレージにPWDが記録されているとは限らないので。また何か不具合が起こったら、問合せが来て大変です。自己責任/自己管理の領域なので、会社からお願いできません。

キ：ダメです。PWDは本人以外が知ってはダメ。Jサイトに保管された認証情報だって、PWDのハッシュ値だと考えられます。

ク：教育は良いことですが、不正ログインとは遠いです。また問題文にメールが発端だという記述もありませんでした。

設問2d

正答は、エ（特定の利用者IDが存在するかどうかの確認）。

選択肢を見ると色々当てはまりそうですね。

【空欄d】は、「アカウント新規登録画面へのアクセスのログを確認」して推測できたこと。

問題文に「新規登録」絡みがあるんですよ。

4頁頭「新規にアカウントを登録する際に、既に使われている利用者IDを指定すると、使用されている旨を画面に表示」する。

つまり攻撃者は存在するIDを特定できる。あとはパスワードクラックするだけ。

更に今回は、別サイトから不正入手したID, PWDのリストがあるので、IDで検索してPWDを導けます。顧客が同じPWDで登録してたら不正ログイン成功という話。

セキスペでも出てもいます。覚えてて損なし。＞【SC】令和2年秋午後1問1設問3(1)の解説Note

設問3(1)e

正答は、イ（ECサイトで要求しているパスワードの強度が低い）。

攻撃3も不正ログインの話。前の設問でIDは特定できてるので、パスワードクラックがメインです。模範解答イのパスワード強度は納得できます。

時間があれば他選択肢も考えます。

ア：2要素認証の実装は良い方向。空欄eは攻撃成立の方向を求めているので入りません。

ウ：ポートが開いていれば攻撃できる窓口が増えるし、管理者が見落としてる可能性はあります。しかし、不正ログインが成功するのとは無関係。

エ：FWの設定として正しく、でも不正ログイン成功の原因にはならないので不適切。

オ：サーバのOSを指しているならあり得るかも。利用者のOSなら無関係。

カ：「問合せフォーム」絡みなので、XSS, CSRF, SQLインジェクションの類。不正ログインとはかなり遠いです。むしろ無関係。

キ：「ファイル」が問題文に出てないので、何の話か分かりません。認証情報のファイルなら、そもそもロックアウトでも対策できません。

ク：パスワードリスト攻撃による不正ログインが成立します（下線①で解決済みですが）。しかし表1攻撃3「全てログイン失敗になっていた」ので、攻撃が成立していません。話に矛盾しているのでナシ。

設問3(2)f

正答は、イ（顧客が何回もパスワードを間違えてJサイトにログインできなくなる）。

【空欄e】からの話。
「連続ログイン失敗回数の上限を超えたアカウントをロックする」対策をすると、【空欄f】が多数発生して、問合せが殺到する話。イだと分かります。

一応、他選択肢も考えます。復習なので。本試験では時間を見ながら、今確認するか、後で見直しで考えるか判断して下さい。

ア：PWDが誤っているのは、毎回のログイン試行で分かります。

ウ：利用者が変更したIDでログインすれば良いです。自己責任。

エ：ロックアウトと生体認証は無関係。

オ：ボットか人間かの確認はロックアウトとは無関係。

設問3(3)

正答は、イ（顧客の連続ログイン失敗回数をログインログから算出し、その値に基づいて、連続ログイン失敗回数の上限を全顧客で一つ決定する）。

下線②は、ロックアウト導入による問合せの増加を防ぐ手立て。

模範解答イは理解できます。
ログイン試行上限1回だと、偶然入力ミスしただけで使えなくなりますし、100回だと攻撃者が成功するかもしれません。3回か5回か10回か利用者の状況を見て、セキュリティ的に許容できる回数にしたいですね。

ア：解説は後で。
ウ：不正ログインの回数（1000回が多すぎ）を参考にしちゃダメです。
エ：下線②前に「生体認証」の話題が出てません。話題になってればアリかな。
オ：解説は後で。
カ：下線②前に「ボット」の話題が出てません。話題になってればアリかな。

オのログイン試行5回は一般的です。個人的な経験では、お金など超重要なシステムなら3回もあった印象。ご年配の方が使うシステムは5回を超えてもロックされない印象もあり。

しかし、5回に設定することが問合せ件数を抑える効果、に直結しません。5回間違う人はいそうなので、10回にした方が問合せ確率は下がります（セキュリティはさておき）。

アの「問合せへの対応マニュアル」は、問合せがあったら対応がスムーズになるわけで、下線②問い合わせ件数を抑える効果はありません。ってのが、作問者の意図でしょう。

私はアを選びました。
「問い合わせの対応マニュアル」をQAA（よくある質問と回答）と読み違えてしまいました。問合せフォームに到達する前に、QAAを掲示しておくと、利用者が自己解決することもあるので、問合せ件数を少しは減らせます。

設問4(1)g

正答は、エ（問合せを投稿する際にボットかどうかを判別する仕組みがない）。

【空欄g】前に「自動で大量の」投稿より、プログラムの類だと推測できます。よってエのボット絡みは納得できます。

他選択肢も見ます。

ア：文字数や文字種の制限は、プログラムによる自動投稿の可否には無関係。文字種の制限は、スクリプトのインジェクション対策にはなります。<や>を拒否すれば<script>を拒否できるので。

イ：ログイン済みだけが投稿できるなら、不正ログインが成功しないと自動/大量投稿の攻撃はできないです。【空欄g】後ですが「誰でも投稿できるようにする必要があり」なので、話が合いません。むしろ、誰でも投稿できるから、自動/大量の投稿ができたのでしょう。

ウ：イと同じ考え。

設問4(2)h

正答は、カ（iv, ix）。

iv：問合せフォームへの入力後にCAPTCHAへの対応を求める
ix：ボットと認識されて問合せ投稿できない

模範解答の理解からしましょうか。

話の流れは【空欄g】前から。「問合せフォームに自動で大量の投稿」がされるんだけど、【空欄g】ボットが考えられる。顧客以外からも意見を頂きたいので、問合せはアカウント/ログイン不要のままにしたい。「利用者本人かどうか確認する代わりに」【空欄h】を実装してはどうか。

（iv）CAPTCHAで人間である確認ができるけど、（ix）利用者が操作/判断を間違うとボット判定されるから、注意は必要だよね（でも、ちょっと弾くぐらいは許容だよね）という話でした。

各選択肢と対応を考えます。

【空欄h1】の選択肢の可否から。（iv）しか候補がありません。

×（i）：個別の「通信パケット」を見ても、大量/自動投稿かは判別できません。
×（ii）：7頁末「誰でも投稿できるようにする必要があり」に矛盾。
×（iii）：（ii）と同じ。
○（iv）：CAPTCHAはボット対策（人間確認）の代表格。
×（v）：ボットの方が入力時間は短いでしょう。上限を設けて、人間がボット判定されるのは理不尽です。考えながら書くでしょうからね。

【空欄h2】選択肢と【h1】との対応。こちらも（ix）しか候補がありません。

×（vi）：PWDは投稿とは無関係。7頁末「誰でも投稿できるようにする必要があり」なので、ログインなしで投稿できるシステムは維持しますから。
×（vii）：（vi）と同じ。
×（viii）：（vi）と同じ。
○（ix）：（iv）CAPTCHAにミスればボット判定されます。
×（x）：メールは無関係。問合せフォームの話なので。

全選択肢を見ました、（iv）（ix）しか良さそうなのがありませんでした。選択肢カ（iv, ix）がなかったら逆にヤバかったですね。

設問5i

正答は、カ（複数の顧客用アカウントについて同一のIPアドレスから試行したログイン数）。

表1攻撃1より。海外の1つのIPアドレスから、980アカウントに1件ずつ不正ログイン試行。

カと表1主旨の対応を見ます。
カ「複数の顧客用アカウント」＝表1：980アカウント
カ「同一のIPアドレスから」=表1：海外の1つのIPアドレス
模範解答は理解できました。

一応、他選択肢にケチもつけます。
×ア：WAFが検知出来てなかったのでダメ。
×イ：電話問合せと不正ログイン試行は無関係
△ウ：「同一IPアドレス」はアリ。保留
×エ：「同一の顧客用アカウント」が矛盾。
×オ：「同一の顧客用アカウント」が矛盾。

設問5j

正答は、オ（同一の顧客用アカウントについて失敗したログイン数）。

表1攻撃3より。国内の複数のIPアドレスから、1アカウントに1回ずつ不正ログイン試行、1000アカウントに行った。

エとオが「同一の顧客用アカウント」なので候補。

エの「一定数以上のIPアドレスから試行」が考え所。
普通の使い方で、同じ時刻に複数のIPアドレスからログインはしないんですよね。人間なら、1回ログイン失敗したら、同じ端末/ネットワークから2回目のログインを試みるのが普通です。

同じIPアドレスからでも、10回も30回も試行されたら攻撃ですよ。個人的には5回でも攻撃と判断しそうです。

よってオを採用（送信元IPアドレスに関わらず、1つのアカウントに複数回の試行）。

設問5k

正答は、ウ（同一IPアドレスからの問合せフォームへのアクセス数）。

表1攻撃4より。海外の1つのIPアドレスから、50,000件の投稿。1,2件目はフォームからだが、3～50,000件目は直接送信。

攻撃4は問合せフォームを悪用した攻撃なので、ウ。唯一「問合せフォーム」の記載があるので。「同一IPアドレスから」の大量投稿なのも表1攻撃4の主旨と一致。

カも「同一のIPアドレスから」ですが、「ログイン」数であり「投稿」ではないでの不適切。

まとめ

お疲れ様でした！

設問1(1)パスワードリスト攻撃に決め打ちする勇気と、決め打ち後の問題文と解答でもツジツマが合うかの検証が必要な問題でした。

解答に”これだ！”という自信を持てないまま、もやっと進むので、浮足立ってゴチャゴチャして混乱するかもと思いました。

とはいえ、「ロックアウト」やDDoS攻撃などの基礎部分もあり、6割は切らないかな。ちょっとイジワルな感じ/問題品質が低い感はありますが、理不尽までとは行かなかったかなと。

学びは設問2d。初期登録で"そのIDは使われています"と表示すると、攻撃者に"そのIDあるんだね"と分かってしまう点。セキスペにも出てきたので、バッチリ覚えておきましょう。今後役に立ちますよ。「スクリーニング」と云います。＞【SC】令和2年秋午後1問1設問3(1)の解説Note

解いて復習してしまえば、"落ち着けば高得点も安定したかもね"と思えるレベルなら大丈夫です。

今後もSG科目Bの解説を作っていきますので、気が向いたら覗きに来て頂ければ嬉しいです。でわでわ。

＞全Noteへのリンク（SG）