今週の午後問題〔解答〕情報セキュリティ 情報セキュリティ事故と対策 2018 年度 秋期

このコーナーでは毎週月曜に午後の必須選択問題から 1 問ピックアップして出題し、 解答欄 を設け、読者の皆さまにも解答してもらっています！

今週の午後問題は「情報セキュリティ事故と対策」でしたが、皆さん、手応えはいかがでしょうか？

金曜になりましたので、出題の 解答 と 矢沢久雄さんによる 解説 に加えて、皆さんの正解率を公開します。

設問 1
正解 ウ

本文中の下線 looks_one にある「 SQL インジェクション攻撃」とは何か、という問題です。

ア

DNS （ Domain Name System ）の改ざん

は、 SQL インジェクション攻撃とは無関係です。

イ

DB サーバに不正ログイン

は、 SQL インジェクション攻撃とは直接関係しません。

ウ

データベース操作の命令文を入力して不正に操作

は、 SQL インジェクション攻撃に該当します。

エ

盗聴

は、 SQL インジェクション攻撃とは無関係です。

したがって、ウが正解です。

設問 2a

正解 エ

ア

ファイル名の直接指定

は、 SQL インジェクション攻撃とは無関係です。

イ

メモリの直接操作

も、 SQL インジェクション攻撃とは無関係です。

ウ

エスケープ処理は、 SQL インジェクション攻撃の対策の 1 つですが、

Webページに出力する要素に対して

という部分が不適切です。

エ

データベース操作の命令文で連結する文字列にエスケープ処理を施す

は、 SQL インジェクション攻撃の対策として適切です。

したがって、エが正解です。

設問 2b

正解 ア

ア

保存期間を過ぎた時点でデータベースから消去

は、情報流出リスクの低減になります。

イ

カタログ送付後に直ちにデータベースから消去

は、情報流出リスクの低減になりますが、利用者へのサービスが著しく低下してしまうので不適切です。

ウ

電子メールにディジタル署名を付ける

は、情報流出リスクの低減と無関係です。

エ

情報を定期的にバックアップ

も、情報流出リスクの低減と無関係です。

したがって、アが正解です。

設問 2c

正解 エ

ア

保守用PCを必要なときだけ起動

は、情報流出の原因と範囲の特定に無関係です。

イ

インストールするミドルウェアを必要最低限にする

も、情報流出の原因と範囲の特定に無関係です。

ウ

デフラグメンテーション（断片化を解消すること）

も、情報流出の原因と範囲の特定に無関係です。

エ

アクセスログ

は、情報流出の原因と範囲の特定に利用できる情報です。

したがって、エが正解です。

設問 3
正解 イ

ア

DB サーバを DMZ に設置する

は、危険が増すことになるので不適切です。

イ

WAF を導入する

は、 Web アプリの脆弱性の対策となるものです。

ウ

Web サーバの増設

は、 Web アプリの脆弱性の対策とは無関係です。

エ

ログインパスワードを複雑なものにする

は、 Web アプリの脆弱性の対策とは直接関係しません。

したがって、イが正解です。