全ドメインの試験です。
全部で100問、70%以上で合格になります。
回答時間100分です。
合格したらTwitterシェアが可能です。
#1. ヘルプデスクの対応量を減少させることができ、パスワードが侵害された場合に複数のリソースにアクセスが容易になるパスワード管理方法はどれでしょうか。
〇:別システム間でのパスワード同期
パスワード同期は、異なるシステムの異なるパスワードを維持する複雑さを軽減するように設計されています。 パスワード同期技術により、パスワードを他のシステムに対してリアルタイムに透過的に同期させることで、複数のシステム間で単一のパスワードを維持することができます。 これにより、ヘルプデスクの通話量が減ります。 しかし、このアプローチのデメリットの1つは、異なるリソースにアクセスするために1つのパスワードしか使用されていません。ハッカーはすべてのリソースへの不正アクセスを得るために1つの資格情報セットを把握すればよいことになります。よって正解は、「別システム間でのパスワード同期」になります。
×:管理者問い合わせによるパスワードのリセット
エンドユーザーから管理者に問い合わせる必要があるため、ヘルプデスク対応量を減らしているとは言えません。
×:セルフサービスによるエンドユーザー手動でのパスワードリセット
いわゆる、プロフィールページから自分自身でパスワードを変更するものです。ヘルプデスク対応量を減少させることができる最も現実的な方法ですが、パスワードが侵害された場合に複数のリソースにアクセスが容易になるという条件に合いません。
×:問い合わせによるパスワードリセット
エンドユーザーから管理者に問い合わせる必要があるため、ヘルプデスク対応量を減らしているとは言えません。管理者が付こうが付くまいが問い合わせは問い合わせです。
#2. 根本原因分析では、インシデントを発生させた根本的な弱点や脆弱性を明らかにします。根本原因分析を行わなければ、同じ問題に再び直面する可能性が高いです。どのフェーズで実行されるでしょうか?
インシデントの原因を理解し、後の復旧段階でシステムを確実にクリーンアップして運用状態に戻せるようにします。前フェーズのResponseとの違いは根本的な原因の解決になります。システムへの明白な侵入経路を取り除いたとしても、攻撃でインストールされたバックドアやその他のマルウェアを見逃している可能性もあります。
根本原因分析では、インシデントを発生させた根本的な弱点や脆弱性を明らかにします。根本原因分析を行わなければ、同じ問題に再び直面する可能性が高いです。影響を受けたシステムだけでなく、特定の脆弱性や一連の脆弱性を持つ組織内のあらゆるシステムの脆弱性を修正する必要があります。例えば、脆弱なパスワードポリシーや暗号化がシステム侵害の根本的な原因となっている場合、その脆弱性を取り除くために対策を講じることになります。
#3. トラフィックが常に同じパスを使用するようにするとき、どのネットワーク回線を使用しているでしょうか?
#4. セキュリティを維持するために監査が必要である。その中でもプロビジョニングが適切に行われていることを保証していきたい。プロビジョニングではないものはどれでしょうか。
〇:セキュリティドキュメントに対するレビューおよび評価すること。
プロビジョニングとは、アカウント情報の管理を指します。ドキュメントのレビューはプロビジョニングに含ません。よって正解は、「セキュリティドキュメントに対するレビューおよび評価すること。」になります。
×:従業員が会社を離れるとき、速やかにアカウントを無効にすること。
組織に所属しているユーザーとアカウント利用に関する適切なプロビジョニングです。
×:定期的な見直しを行い、最小権限の原則を守ること。
アカウントのアクセス権限に対する適切なプロビジョニングです。
×:不要になったアカウントは適宜削除すること。
必要最低限のアカウント情報の管理に対する適切なプロビジョニングです。
#5. ケルクホフスの原理によれば、漏洩していけないものはどれか。
ケルクホフスの原理とは、暗号は秘密鍵以外の全てが知られても安全であるべきという考え方です。データを暗号化するときには、秘密鍵とその秘密鍵を使ってどのように暗号化するかを決めます。アウグスト・ケルクホフスさんは、どのように暗号化されているかを知られたとしても、秘密鍵さえばれなければ解読されないようにしろと言うのです。暗号化は、人類の戦いの歴史とともにあります。敵にばれずに作戦を味方に伝えることが大きな目的です。戦いの中では、スパイによってその設計書や暗号化装置を盗まれたりすることもあるでしょう。そのため、仕組みがどれだけ分かったとしても、鍵がなければ解かれないような暗号をしなければならないのです。よって正解は、「秘密鍵」になります。
#6. フレッドは、開発中の新しいコンテンツ管理アプリケーションのコンポーネントをテストして、データ構造、ロジック、境界条件を検証する必要があると言われています。 彼はどのようなテストを行うべきですか?
〇:単体テスト
単体テストには、制御された環境で個々のコンポーネントをテストして、データ構造、ロジック、および境界条件を検証する必要があります。 プログラマーはコンポーネントを開発した後、いくつかの異なる入力値とさまざまな状況でテストされます。 単体テストは開発の初期段階から開始することができ、通常は開発段階全体を通じて継続されます。 単体テストのメリットの1つは、開発サイクルの早い段階で問題を発見することです。個々のユニットに変更を加える方が簡単でコストがかかりません。
×:受け入れテスト
コードが顧客の要求を満たしていることを確認するために受け入れテストが行われるため、正しくありません。 このテストは、アプリケーションの一部または全部に適用されますが、通常は個別のコンポーネントではありません。
×:回帰テスト
回帰テストは、その機能、性能、および保護を確実にするために変更が行われた後のシステムの再テストを意味するため、正しくありません。 本質的に、回帰テストは、プログラム変更の結果として機能が意図したとおりに機能しなくなったバグを識別するために行われます。 開発者が1つの問題を修正したり、誤って新しい問題を作成したり、新しい問題を修正して古い問題を解決したりすることは珍しいことではありません。 回帰テストには、以前に修正されたバグをチェックして、それらが再出現していないことを確認し、以前のテストを再実行することが含まれます。
×:統合テスト
統合テストでは、設計仕様で概説されているようにコンポーネントが連携して動作することが確認されるため、正しくありません。 単体テストの後、個々のコンポーネントまたはユニットを組み合わせてテストし、機能、性能、および信頼性の要件を満たしていることを検証します。
#7. Webサーバーへのインジェクション攻撃を軽減したいと考えています。どんな助言をすべきですか?
#8. ハッカーがシステムを損傷するために使用できる多くの種類のウイルスがあります。 次のうちポリモーフィック型ウィルスの正しい記述ではないものはどれですか?
〇:ファイルシステム情報のオペレーティングシステムへのアンチマルウェアの呼び出しを傍受する。
正しく”ない”ものを選ぶ問題です。ポリモーフィック型ウィルスは、アンチマルウェアスキャナを欺くことを試みます。特に、操作上のコピーを生成する方法がとられます。 マルウェア対策ソフトウェアが1つまたは2つのコピーを検出して無効にしても、他のコピーはシステム内でアクティブのままになります。よって正解は、「ファイルシステム情報のオペレーティングシステムへのアンチマルウェアの呼び出しを傍受する。」になります。
この問題は消去法で解く必要があります。どのような定義がポリモーフィック型ウィルスであるか?という単語帳的な覚え方をしていると、何がポリモーフィック型ウィルスの特徴であるかを理解していない可能性があります。ポリモーフィック型ウィルスの最も特出すべき点は、実体が繰り返し変更される点にあります。
×:ノイズ、突然変異エンジン、または乱数ジェネレータを使用して命令のシーケンスを変化させる。
ポリモーフィック型ウィルスはノイズや偽の指示を他の有用な指示とともに含むことにより、指示の順序を変える可能性があります。また、突然変異エンジンと乱数ジェネレータを使用して、検出されないことを期待して命令のシーケンスを変更することもできます。 元の機能はそのままですが、コードが変更され、固定シグネチャを使用してウイルスのすべてのバージョンを識別することが不可能に近づきます。
×:異なる復号ルーチンを必要とする異なる暗号化方式を使用できる。
ポリモーフィック型ウィルスは異なる暗号化ルーチンを必要とする異なる暗号化方式を使用できます。 これには、このタイプのウイルスのすべてのコピーを識別するために、可能な解読方法ごとに1つずつアンチマルウェアスキャンが必要です。 ポリモーフィック型ウィルス作成者は、暗号化されたウイルスのペイロードを隠し、コードに解読メソッドを追加します。 いったん暗号化されるとそのコードは無意味になりますが、だからと言って暗号化されたウイルスは必ずしもポリモーフィック型ウィルスであるとは限らないため検知からも逃れます。
×:複数の様々なコピーを作成する。
ポリモーフィック型ウィルスは、マルウェア対策ソフトウェアによる検出を避けるために、複数のさまざまなコピーを生成します。
#9. ロバートは、重複や矛盾を最小限に抑えるためにデータを構造化する手順を実行することによって、販売データベースの全体的な効率を高めるよう求められています。それはどのような手順ですか?
〇:正規化
正規化は、冗長性を排除してデータを効率的に整理し、データ操作中の異常の可能性を減らし、データベース内のデータの一貫性を向上させるプロセスです。データベース構造が望ましくない特性(挿入、更新、および削除の異常)を起こさないように正しく設計され、データの整合性が失われることを確実にする体系的な方法です。
×:ポリモーフィズム
ポリモーフィズムは異なるオブジェクトに同じ入力が与えられ、異なる反応をするため、正しくありません。
×:データベースビューの実装
データベースビューは論理的なアクセス制御であり、あるグループまたは特定のユーザーが特定の情報を参照できるように実装されており、別のグループが完全に表示されないように制限されているものであり、正しくありません。 たとえば、企業全体の利益を見ることなく、ミドル・マネジメントが部門の利益と経費を見られるように、データベース・ビューを実装することができます。 データベースビューは重複データを最小化しません。 むしろ、特定のユーザー/グループによってデータがどのように表示されるかを操作します。
×:スキーマの構築
データベースシステムのスキーマは形式的な言語で記述された構造であるため、正しくありません。 リレーショナルデータベースでは、スキーマはテーブル、フィールド、リレーションシップ、ビュー、インデックス、プロシージャ、キュー、データベースリンク、ディレクトリなどを定義します。 スキーマはデータベースとその構造を記述しますが、そのデータベース自体に存在するデータは記述しません。
#10. IPSecのSA値とは何の略ですか?
#11. リサは、ほとんどのデータベースが同時実行制御を実装していることを学びました。 並行性とは何ですか?また、なぜそれを制御する必要がありますか?
〇:同時に実行されているプロセス。適切に制御されていないとデータベースの整合性に悪影響を与える可能性がある。
データベースは、多くの異なるアプリケーションによって同時に使用され、多くのユーザーが一度にそれらとやり取りします。同時実行性とは、異なるプロセス(アプリケーションおよびユーザー)が同時にデータベースにアクセスしていることを意味します。これが適切に制御されないと、プロセスは互いのデータを上書きしたり、デッドロック状況を引き起こしたりする可能性があります。並行処理の問題の最悪の結果は、データベース内に保持されているデータの整合性の低下です。データベースの整合性は、並行性保護メカニズムによって提供されます。同時実行制御は一つは、ロックです。ユーザーが他のユーザーによって使用されているデータにアクセスしたり変更したりすることはできません。
×:異なるレベルで実行されているプロセス。適切に制御されていないとデータベースの整合性に悪影響を与える可能性がある。
並行処理は異なるレベルではなく、同時に実行されているプロセスを参照するため、正しくありません。 並行処理の問題は、異なるユーザーやアプリケーションによって同時にデータベースにアクセスできる場合に発生します。 コントロールが適切に配置されていないと、2人のユーザーが同じデータに同時にアクセスして変更することができ、動的環境に有害になる可能性があります。
×:アクセス可能なデータのレビューから新しい情報を推測するプロセス。推論攻撃が発生する可能性がある。
アクセス可能なデータをレビューすることから新しい情報を推測する能力は、より低いセキュリティレベルのユーザーが、より高いレベルのデータを間接的に推論する場合に生じます。これは、推論攻撃につながる可能性がありますが、並行性には関係しません。
×:データベース内の複数の場所にデータを格納するプロセス。正しく制御されていないとデータベースの整合性に悪影響を与える可能性がある。
複数の場所にデータを格納することは並行性に問題がないため、正しくありません。2人のユーザーまたはアプリケーションが同じデータを同時に修正しようとしているとき、並行性は問題になります。
#12. RAIDシステムは、冗長性とパフォーマンスを提供する様々な手法があります。複数のドライブに分割してデータを書き込むものはどれですか?
〇:ストライピング
RAIDの冗長アレイは、冗長性やパフォーマンスの向上に使用されるテクノロジーです。 複数の物理ディスクを結合し、それらを論理アレイとして集約します。RAIDは、アプリケーションや他のデバイスに対して単一のドライブとして表示されます。ストライピングを使用すると、すべてのドライブにデータが書き込まれます。 このアクティビティでは、データを複数のドライブに分割して書き出します。 複数のヘッドが同時にデータを読み書きしているため、書き込み性能と読み取り性能が大幅に向上します。
×:パリティ
破損したデータを再構築するためにパリティが使用されます。
×:ミラーリング
一度に2つのドライブにデータを書き込むことをミラーリングと言います。
×:ホットスワップ
ホットスワップとは、ほとんどのRAIDシステムに搭載されているタイプのディスクを指します。ホットスワップディスクを備えたRAIDシステムは、システムの稼動中にドライブを交換することができます。 ドライブがスワップアウトまたは追加されると、パリティデータは、追加されたばかりの新しいディスク上のデータを再構築するために使用されます。
#13. (ISC)2の倫理規約における規範はどれでしょうか?
#14. 米国のHIPAA法には3つのコアルールがあります。次のうち、コアルールではないものはどれですか?
#15. マークは、汎用的なセキュリティモデルを参照したい。グラハムデニング(Graham-Denning)モデルとは、何性に着目したセキュリティモデルでしょうか。
#16. どうやらこの組織は職権乱用があるようだ。各職権の何を、どのように、どこで、誰が、いつ、なぜを明確にするアプローチはどれでしょうか。
〇:ザックマンフレームワーク
ザックマンフレームワークとは、各職権に対して、何を、どのように、どこで、誰が、いつ、なぜを決めるエンタープライズアーキテクチャです。エンタープライズアーキテクチャとは、事業目標を達成するために経営体制を整えることです。事業目標を達成するために組織を作るわけですが、基本的には事業目標が大きくなるほど組織も大きくなります。組織の構造を整備しておかないと、しなければならない仕事が残留したり、他と被っている権限があるために職務間で軋轢を生む可能性があり、組織は効率的に動かないのです。そこで、組織を整えるためには、各職権のスコープを明確にすることが必要です。ここでいう職権というのは、人事や営業といった観点とは違います。ビジネス目標を達成するために階層的に分離されていると考えるとわかりやすいでしょう。エグゼクティブ、ビジネス管理、アーキテクチャー、エンジニア、下請け業者、利害関係者でそれぞれスコープを明確化します。よって正解は、「ザックマンフレームワーク」になります。
×:SABSA
SABSA(Sherwood Applied Business Security Architecture)とは、ビジネス目標を達成するにあたり、セキュリティ策がちゃんと機能していることを保証するためのフレームワークです。整理する対象のタスクはザックマンフレームワークと異なり階層的な要素になります。ビジネス要件>概念アーキテクチャ>論理サービスアーキテクチャ>物理インフラストラクチャアーキテクチャ>テクノロジと製品で、それぞれ5W1Hを実践します。
×:Five-W法
このような言葉はありません。あったとしても解釈しやすいように作られた造語です。
×:Bibaモデル
Bibaモデルとは、データが勝手に変更されないことを示すセキュリティモデルの一つです。
#17. 攻撃者が知らないURLを論理的に推測できる場合、それはどのような危険性がありますか?
#18. Javaアプレットの実行におけるJava仮想マシンの役割について、最も適切に説明している選択肢はどれでしょうか?
〇:バイトコードをマシンレベルのコードに変換します。
Javaは、オブジェクト指向のプラットフォームに依存しないプログラミング言語です。 Javaは、プロセッサ固有のバイトコードではない中間コードを作成するため、プラットフォームに依存しません。Java仮想マシン(JVM)はバイトコードを、特定のシステム上のプロセッサが理解できるマシンレベルのコードに変換します。
×:ソースコードをバイトコードに変換し、サンドボックスをブロックします。
Java仮想マシンがバイトコードをマシンレベルのコードに変換します。 ソースコードをバイトコードに変換するのではなく、Javaコンパイラが行います。 JVMは、サンドボックスと呼ばれる環境内に仮想マシンも作成します。 この仮想マシンは、アプレットがアクティビティを実行する囲まれた環境です。 アプレットは通常、要求されたWebページ内でHTTP経由で送信され、アプレットが到着するとすぐに実行されます。アプレットの開発者が正しく機能しなかった場合、意図的にまたは誤って悪意ある行為を実行する可能性があります。したがって、サンドボックスはアプレットのシステムリソースへのアクセスを厳密に制限します。 JVMはシステムリソースへのアクセスを仲介して、アプレットコードが独自のサンドボックス内で動作し、確実に動作するようにします。
×:特定のオペレーティングシステム内の特定のプロセッサでのみ動作します。
Javaはオブジェクト指向のプラットフォームに依存しないプログラミング言語です。 他の言語は、特定のオペレーティングシステムおよびプロセッサ用のオブジェクトコードにコンパイルされるため、特定のアプリケーションはWindowsでは実行できますが、Mac OSでは実行できません。Intelプロセッサは、Alphaプロセッサ用にコンパイルされたマシンコードを必ずしも理解するとは限りません。Javaは中間コード・バイトコードを作成するため、プラットフォームに依存しません。
×:ユーザーのブラウザで動作するアプレットを開発する。
Java仮想マシンはアプレットを作成しないため、正しくありません。 Javaは、本格的なプログラミング言語として採用され、ユーザーのブラウザで動作するアプレットと呼ばれる完全なプログラムと短いプログラムを記述するために使用されます。 プログラマはJavaアプレットを作成し、コンパイラを介して実行します。 Javaコンパイラは、ソースコードをバイトコードに変換します。 その後、ユーザーはJavaアプレットをダウンロードします。 バイトコードは、JVMによってマシンレベルのコードに変換されます。 最後に、呼び出されるとアプレットが実行されます。
#19. IAB(Internet Activities Board)のインターネット資源の正しい利用に関する倫理において、倫理項目ではないものはどれでしょうか。
#20. 攻撃者にとってDNSはインターネット上では人気のターゲットです。DNSサーバーのキャッシュを汚染するために再帰クエリを使用するものはどれでしょうか。
〇:DNSハイジャック
DNSは、インターネット上のトラフィックの伝送における素晴らしい役割を果たしています。DNSは、あるドメイン名に対応する適切なIPアドレスにトラフィックを誘導します。DNSクエリは、再帰または反復のいずれかに分類することができます。再帰クエリでは、DNSサーバーは、別のサーバーにクエリを転送し、質問者への適切な応答を返します。反復クエリでは、DNSサーバは質問に答えることができるかもしれない別のDNSサーバーのアドレスで応答し、さらに新しいDNSサーバーを尋ねるに進みます。攻撃者は、DNSサーバーのキャッシュを汚染するために再帰クエリを使用します。
攻撃者は、ドメインのIPアドレスを求める被害者のDNSサーバーに再帰クエリを送信します。DNSサーバは、別のDNSサーバにクエリを転送します。他のDNSサーバーが応答する前に、攻撃者は自分のIPアドレスを挿入します。被害者サーバは、IPアドレスを受け取り、特定の期間のためにキャッシュに格納します。次回は、システムが解決するためにサーバーを照会し、サーバが攻撃者のIPアドレスにユーザーを誘導します。
×:hostsファイルの操作
hostsファイルを操作すると、DNSサーバーのキャッシュを汚染するために再帰クエリを使用していないので、間違っています。クライアントは、最初のDNSサーバーに要求を発行する前に、hostsファイルを照会します。一部のウイルスは、ウイルス定義ファイルのダウンロードを防止し、検出を防止するために、hostsファイルにウイルス対策ベンダの無効なIPアドレスを追加します。
×:ソーシャルエンジニアリング
ソーシャルエンジニアリングは、DNSサーバに問い合わせる必要としないので、間違っています。ソーシャルエンジニアリングとは、不正アクセスや情報を得ることを目的とした個人の操作を指します。
×:ドメイン訴訟
ドメインの訴訟は、DNSサーバーのキャッシュをポイズニング伴わないので、間違っています。ドメイン名は、一時的な利用不能または確立されたドメイン名の永久的な損失を含む、商標上のリスクにさらされています。
#21. Webコンテンツの近位トポロジカルを構成するルーティングをするために、クライアントのIPアドレスに基づいて地理的位置を決定し、コンテンツの配信を最適化する技術はどれですか?
〇:コンテンツ配信ネットワーク(CDN)
コンテンツ配信ネットワーク(CDN)は、大域的な位相関係に基づいて、クライアントにコンテンツの配信を最適化するように設計されています。このような設計では、インターネット上の存在の多くのポイントでホストされている複数のWebサーバは、グローバルに同期して同じコンテンツが含まれており、クライアントは通常のためのジオロケーションアルゴリズムに基づいて、DNSレコードの操作を介し、最も近いソースに向けることができます。
×:分散ネームサービス(DNS)
分散ネームサービスというプロトコルが存在しないことで、間違っています。DNSはドメインネームサービスプロトコルを指します。
×:分散型Webサービス(DWS)
分散型Webサービスも不正解の答えですので、間違っています。分散Webサービス・ディスカバリー・アーキテクチャの概念は、IEEE等によって議論がされていますが、正式なプロトコルではありません。
×:コンテンツドメインの分布(CDD)
コンテンツドメインの分布(CDD)という用語はCISSPのCBKの用語では登場しません。
#22. ジムは販売担当者であり営業部門のデータ所有者です。データ所有者であるジムの責任ではないものはどれでしょう。
〇:データの可用性の確認
データの可用性を確認する責任は、データ(情報)所有者に属さない唯一の責任です。むしろ、それはデータ(情報)管理人の責任です。データ管理者は、データ所有者の指示に従ってデータを保守し、保護する責任も負っています。これには、データの定期的バックアップの実行、バックアップメディアからのデータの復元、活動の記録の保持、会社の方針、ガイドライン、標準における情報セキュリティとデータ保護の要件の実行が含まれます。データ所有者は、データ管理者よりも高いレベルで働いています。データ所有者は基本的に「これは提供する必要がある完全性、可用性、機密性のレベルです。今すぐ行ってください」と述べています。データ管理者はこれらの権限を実行し、インストールされたコントロールをフォローアップして、適切に動作しています。
×:情報分類の割り当て
データ所有者としてジムが情報分類の割り当てを担当するため、ジムが責任を負うものではないかと尋ねているため正しくありません。
×:データの保護方法の決定
ジムなどのデータ所有者は、情報の保護方法を決定する責任があるため、正しくありません。データ所有者はデータ保護のための組織的責任を持ち、組織の情報資産を保護することに関してはいかなる過失に対しても責任があります。これは、ジムが情報の保護方法を決定し、データ管理者(通常はITまたはセキュリティによって占められる役割)がこれらの決定を実行していることを保証する必要があることを意味します。
×:データの保持期間の決定
データを保持する期間の決定はデータ所有者の責任であるため、正しくありません。データ所有者は、情報にアクセスできるユーザーを決定し、適切なアクセス権が使用されていることを確認する責任も負います。彼はアクセス要求を自分で承認するか、ビジネスユニットマネージャーにその機能を委任することができます。ビジネスユニットマネージャーは、データ所有者が定義したユーザーアクセス基準に基づいて要求を承認します。
#23. 攻撃者がブルートフォース攻撃を使用してパスワードを破りました。なぜあなたはブルートフォース攻撃だとわかりましたか?
#24. ウェルノンポートの範囲はどれか。
#25. 高信頼経路を示すのはどれでしょうか。
#26. ペネトレーションテストは、計画、情報収集と発見、攻撃、レポートの順に行われます。情報収集と発見で実行される手順として正しくないものはどれか?
〇:権限昇格
権限昇格は、侵入後に実行することで攻撃の影響を大きくする手順です。一般的には、低い権限のアカウントで侵入し、権限昇格することで攻撃範囲を広げます。よって、攻撃対象を調査する段階で実行されるものではありません。よって、正解は「権限昇格」になります。
✕:ポートスキャン
ポートスキャンを行うことで外部からアクセス可能なサービスを列挙します。このような情報は攻撃を行うための収集されます。
✕:バナー表示される製品バージョンの確認
単純なアクセスによって製品がレスポンスを返却するとき、製品は自身の製品名やバージョンを返却することがあります。このような情報は攻撃を行うための収集されます。
✕:ディレクトリトラバーサル
Webアプリケーションなど通常はアクセスすることがないURLであっても、外部からアクセス可能なディレクトリが存在する場合もあります。このような情報は攻撃を行うための収集されます。
#27. SElinuxを設定した。どのアクセス制御に則っていることになるか。
〇:強制アクセス制御(MAC)
強制アクセス制御(MAC)とは、リソースをあらかじめレベル分けによってアクセス権限を強制させるアクセス制御です。データファイルに対するアクセス権にはいくつか種類があります。データファイルの使用者、データファイルを作成する所有者、どの所有者ならデータを作成できるかを決める管理者に分けられます。ここで、所有者であろうとも自分のデータファイルに誰がアクセスしてよいか決めれず、管理者しかアクセス権限変更できないのが、強制アクセス制御です。SELinux、TOMOYO Linux、Trusted BSD、Trusted Solaris はMACで使われる方式です。よって正解は、「強制アクセス制御(MAC)」になります。
×:任意アクセス制御(DAC)
任意アクセス制御(DAC、Discretionary Access Control)とは、アクセス対象の所有者であればアクセス権限を変えることができるアクセス制御方式です。UNIXやWindowsはDACで使われる方式です。
×:役割アクセス制御(RAC)
そのような言葉はありません。近いところでは、ロールベースアクセス制御としてアカウントを役割で分け、役割に対してアクセス制御をかけるものがあります。
×:随意アクセス制御(VAC)
そのような言葉はありません。
#28. 物理的なディスクに保存されたバックアップファイルをトラックで、別拠点のデータセンターに運んでいます。このバックアップファイルのデータの状態は何でしょうか。
#29. コンピュータプログラミングでは、結合度と凝縮度が使用されます。 次の中で結合度と凝縮度の好ましい組み合わせはどれですか?
モジュールが低い結合度と高い凝縮度を有することは、良いことです。凝縮度が高いほど、更新や変更が容易になり、相互作用する他のモジュールには影響しません。 これはまた、モジュールの再利用と保守が容易であることを意味します。結合度は、1つのモジュールがそのタスクを実行するために必要な相互作用の量を示す測定値です。モジュールの結合度が低い場合は、モジュールが他の多くのモジュールと通信してジョブを実行する必要がないことを意味します。他の多くのモジュールに依存してタスクを実行するモジュールよりも理解しやすく、再利用も容易です。 また、これらのモジュールの周りの多くのモジュールに影響を与えることなく、モジュールを変更する方が容易になっていくでしょう。よって正解は、「低結合度、高凝集度」になります。
#30. マークは、汎用的なセキュリティモデルを参照したい。Bibaモデルは何性を着目したセキュリティモデルでしょうか。
#31. メディアに機密情報が含まれている場合、メディアライフサイクルの終了には削除を実施しなければなりません。次のうち、パージについての適切に説明しているものはどれでしょうか。
〇:情報をいかなる特別な努力をもってしても物理的に回復不能にすること。
パージは、ディスクから機密データを削除することです。ディスク上のファイルをソフトウェア的に削除しても、ディスク上データの所在との紐づけを切り離しているだけで、実際にはデータは消えません。これにより、機密性の高い情報が含まれているディスク上のデータを完全に消去できない場合は、物理的な破壊も必要になってきます。
×:媒体上の原子の偏光を変化させること。
パージの説明ではありません。
×:同じ目的のために同じ物理環境でメディアを再利用することは承認しないこと。
このような承認プロセスは実際には存在するかもしれませんが、データ削除としてのパージの説明ではありません。
×:メディア上のデータを上書きすることによって回復不能にすること。
単に新しい情報でメディアを上書きしても、以前に書き込まれた情報を回復する可能性は排除できません。
よって、パージの説明には当てはまりません。
#32. プログラマが注意するべきいくつかの攻撃があります。攻撃者が任意のコードを実行しようとするとき、どのような攻撃を仕掛けていると考えられるでしょうか?
〇:バッファオーバーフロー
バッファは、ユーザー入力などを格納するために確保されるアプリケーションの予約領域です。アプリケーションが入力を受信した後、命令ポインタはバッファに入れられます。誤った入力により、コード内の命令ポインタを上書きし、バッファ領域に書き込むことを可能にする際にバッファオーバーフローが発生します。命令ポインタが上書きされると、アプリケーションのセキュリティコンテキストの下で実行されてしまいます。
×:トラフィック分析
トラフィック分析は、ネットワーク上のトラフィックパターンを見て情報を明らかにする方法であるため、正しくありません。
×:レース条件
競合状態では任意のコードを実行することにはできないため、間違っています。2つの異なるプロセスがリソースにそれらのタスクを実行する必要がある場合、それらは正しい順序で処理することを必要とします。
×:隠密ストレージ
隠密ストレージチャネルにおいて、プロセスはシステム上のストレージスペースのいくつかのタイプを介して通信することが可能であるため、正しくありません。
#33. ジルは、集中データベース上の情報にアクセスする上で、異なる権限を持つユーザー・グループを必要とする全社売上プログラムを確立しています。セキュリティマネージャは、どのようなデータベースを確保する必要がありますか?
〇:より多くの細かなセキュリティコントロールを提供する。
この状況でデータベースを保護する最善のアプローチは、コントロールを向上させ、詳細なアクセス許可を割り当てることでしょう。これらの措置は、ユーザーがその権限を乱用し、情報の機密性が維持されることができないことを確実にするでしょう。権限の粒度は、ネットワーク管理者やセキュリティの専門家に彼らが保護で起訴されているリソースに対する追加の制御を与え、細かいレベルは個人に彼らが必要とするアクセスのだけ正確なレベルを与えることができるようになります。
×:各ユーザーの権限は、データベースにアクセスするたびに表示されるアクセス制御を実装する。
各ユーザーの権限を表示するアクセス制御を実装すると、データベースにアクセスするたびに一つの制御の例であるため、正しくありません。これは、情報の完全なデータベースへのユーザーアクセスを扱うの包括的な解決方法ではありません。これは、データベースのセキュリティ管理を向上させる例であってもよいですが、適所に限られる必要があります。
×:より高いセキュリティステータスにデータベースの分類ラベルを変更します。
データベース内の情報の分類レベルが以前にその機密性、完全性、可用性のレベルに基づいて決定されるべきです。この選択肢は、より高いレベルの権限を与えるという意味合いになりますが、問題文にセキュリティレベルが不適切である旨はありません。
×:セキュリティレベルを低くします。必要に応じて、すべてのユーザーが情報にアクセスできるようにします。
セキュリティレベルを低くするという回答は、好ましくありません。
#34. 次のうちメモリマネージャーの役割ではないものはどれですか?
〇:未使用のコミットされたメモリを識別し、メモリが利用可能であることをオペレーティングシステムに知らせるアルゴリズムを実行する。
この回答は、メモリマネージャーではなくガベージコレクタの機能について説明しています。ガベージコレクタはメモリリークに対する対策です。アルゴリズムを実行して未使用のコミット済みメモリを特定し、オペレーティングシステムにそのメモリを「使用可能」とマークするように指示するソフトウェアです。異なるタイプのガベージコレクタは、異なるオペレーティングシステム、プログラミング言語、およびアルゴリズムで動作します。
4択問題では、明確な答えは知らなくとも解答できる場合があります。4択問題では正解が一つしかないために、回答をグループ分けすることで、「同じことを言っているため、どちらかだけが正解になるのはおかしい、よってどちらも間違いである」という減らし方ができます。プロセスが適切にメモリを扱えるように制御する旨の回答が2つありますが、もしもメモリマネージャーにその機能がないとするとどちらも正解になってしまうため、そもそも選択肢から排除することができます。
×:プロセスが同じ共有メモリセグメントを使用する必要がある場合、複雑な制御を使用して整合性と機密性を保証します。
プロセスが同じ共有メモリセグメントを使用する必要がある場合、メモリマネージャーは複雑な制御を使用して整合性と機密性を確保します。これは、2つ以上のプロセスが潜在的に異なるアクセス権で同じセグメントへのアクセスを共有できるため、メモリとその中のデータを保護する上で重要です。また、メモリマネージャは、異なるレベルのアクセス権を持つ多くのユーザーが、1つのメモリセグメントで実行されている同じアプリケーションとやりとりすることを許可します。
×:プロセスに割り当てられたメモリセグメントとのみ対話するように、プロセスを制限する。
メモリマネージャーがプロセスの相互作用を、それらに割り当てられたメモリセグメントのみに限定する責任があります。この責任は保護カテゴリの下にあり、プロセスが許可されていないセグメントへのアクセスを妨げるのに役立ちます。メモリマネージャーの別の保護責任は、メモリセグメントへのアクセス制御を提供することである。
×:必要に応じてRAMからハードドライブに内容をスワップします。
必要に応じてRAMからハードドライブへの内容のスワップが再配置カテゴリに属するメモリマネージャーの役割であるため、正しくありません。 RAMとセカンダリストレージが結合されると、仮想メモリになります。システムは、ハードドライブスペースを使用してRAMメモリ空間を拡張します。別の再配置の責任としては、命令とメモリセグメントがメインメモリ内の別の場所に移動された場合に、アプリケーションのポインタを提供することです。
#35. OSIモデルのレイヤ2には2つのサブレイヤーがあります。これらのサブレイヤーとテクノロジーを表す2つのIEEE標準は何でしょうか?
#36. DNSポイズニング、なりすましなどの攻撃を減らすことができるDNSクライアント(リゾルバ)に対して、DNSデータの発信元の認証を提供するDNSの拡張機能はどれでしょうか。
〇:DNSSEC
DNSSECは、DNSポイズニング、なりすまし、および同様の攻撃タイプの脅威を減らすためにDNSクライアント(リゾルバ)がDNSデータの発信元の認証を提供するDNSの拡張セットです。DNSSECは、IPネットワーク上で使用されるようにDNSによって提供されるサービスを確保するためのIETF(Internet Engineering Task Force)の仕様です。
×:リソースレコード
DNSサーバーはリソースレコードと呼ばれているIPアドレスにホスト名をマップするレコードが含まれています。回答としては、正しくありません。ユーザーのコンピュータは、ホスト名をIPアドレスに解決する必要がある場合、そのDNSサーバーを見つけるために、そのネットワーク設定に見えます。そして、コンピュータは解決のためにDNSサーバにホスト名を含む要求を送信します。DNSサーバはそのリソースレコードを見て、この特定のホスト名を持つレコードを見つけ、アドレスを取得し、対応するIPアドレスを持つコンピュータに応答します。
×:ゾーン転送
プライマリおよびセカンダリDNSサーバは、ゾーン転送を介して自分の情報を同期させます。回答としては、正しくありません。変更がプライマリDNSサーバに行われた後、これらの変更はセカンダリDNSサーバーにレプリケートする必要があります。ゾーン転送は、特定のサーバー間の場所を取ることができるようにDNSサーバーを設定することが重要です。
×:リソース転送
DNSのリソースレコードを転送することに相当しますが、回答としては正しくありません。
#37. ペネトレーションテストを行う前に行わければならないことはどれでしょうか。
〇:対象組織への攻撃承認
計画段階で攻撃対象となる組織に許可を得ておく必要があります。テストとはいえ、攻撃に近しい行為を取ります。実施中には、対象のシステムの更新もできませんから、承認を得ていなければなりません。また、侵入するシステムについてきわめて詳細に理解する必要があるため、その情報自体が外部に漏れ出ないようにしなければいけません。また、侵入に成功した場合には、危険な状態であることがわかります。レポート作成まで待たずに一報するなど取り決めが必要です。よって正解は、「対象組織への攻撃承認」です。
×:対象組織の設計書の共有
必要に応じて実施します。設計書はさまざまありますが、詳細設計書やプログラム設計書など、詳細に至る設計書は基本的には提示せず、そのサービスの利用方法や基本的なサーバの構成について共有する程度になることが一般的です。
×:OSバージョンの確認
原則しません。ペネトレーションテストは、その攻撃の調査から実施することが一般的です。特にOSバージョンをペネトレーションのテスターに知らせるケースはほとんどありません。
×:利用する攻撃ツールの展開
ペネトレーションの対象となるシステムを所持している組織から攻撃ツールを展開することはまずありません。これ自体が、攻撃の手法を限定する行為であり、現実的なテストにならないためです。
#39. ソフトウェアのシステム管理者として大きな損害を被らないために実施できる効果的な方法はどれか?
〇:定期的なソフトウェアのアップデート
あなたはシステム管理者です。管理者として行うべきは定期的なソフトウェアのアップデートと言えます。よって正解は、「定期的なソフトウェアのアップデート」になります。
この”何とでも言えそうな”問題が非常に厄介です。重要なことは、問題文をよく読み、出題者の意図をくみ取ってあげることです。この問題文のポイントは”システム管理者”です。システム管理者の役割をより適した選択肢を選ぶ必要があります。
×:洗練された製品選定
多くの場合には、お客様から提示された提案依頼書(RFP)に則って要件を満たす製品が選抜されていきます。既存のシステム管理者がこの協議の一端にかかわることもありますが、適切な回答ではありません。
×:上司へのいち早く報告
すべての仕事において、上司への報告は欠かせないところでしょう。ただここでは、ソフトウェアのシステム管理者としての立場に焦点を当てた回答のほうが適切と考えられます。
×:常駐体制
常駐体制をとることで、タイムリーに問題に対処することができるかもしれません。ただここでは、ソフトウェアのシステム管理者としての立場に焦点を当てた回答のほうが適切と考えられます。
#40. セキュリティガバナンスプログラムを実施している会社の特徴ではないものはどれですか?
〇:すべてのセキュリティ活動はセキュリティ部門内で実施
すべてのセキュリティ活動がセキュリティ部門内で行われる場合、セキュリティはサイロ内で機能し、組織全体に統合されません。セキュリティガバナンスプログラムを導入している企業では、経営幹部から指揮系統まで、組織全体にセキュリティの責任が浸透しています。一般的なシナリオは、特定の事業部門のリスク管理活動を担当する事業部長を執行する経営幹部の管理です。さらに、従業員は悪意のあるもしくは偶発的に発生しているセキュリティ違反に対して責任を負います。
×:役員は同社のセキュリティ状態について四半期ごとに更新
正しくありません。セキュリティガバナンスとは、戦略指針を提供し、目標が達成されていることを確認し、リスクが適切に管理されていることを確認し、リソースは責任を持って使用されます。セキュリティガバナンスプログラムを導入している組織には、セキュリティの重要性を理解し、組織のセキュリティパフォーマンスと違反を認識している取締役会があります。
×:セキュリティ製品、サービス、およびコンサルタントは情報に基づいた方法で展開
セキュリティガバナンスは、製品、人材、トレーニング、プロセスなどを含む統合セキュリティコンポーネントの一貫したシステムであるため、正しくありません。したがって、セキュリティガバナンスプログラムを導入している組織は、セキュリティ製品、管理サービス、情報に基づいた方法でコンサルタントを支援します。彼らはまた、彼らがコスト効果があることを確認するために絶えず見直されています。
×:組織はセキュリティを向上させるための指標と目標を確立
セキュリティガバナンスが性能測定および監督の仕組みを必要とするため不正確である。セキュリティガバナンスプログラムを導入している組織は、継続的な改善を目標として、セキュリティを含むプロセスを継続的に見直しています。一方、セキュリティガバナンスプログラムを欠いている組織は、そのパフォーマンスを分析せずに進んでいく可能性があり、したがって同様のミスが繰り返されます。
#41. あなたはオープンソースを利用してアプリケーションを開発しました。テストはどうすべきでしょうか。
〇:OSSTMMを参考にしながらテストする。
OSSTMM(Open Source Security Testing Methodology Manual)とは、オープンソースのペネトレーションテストの標準です。オープンソースは基本無料で驚くような機能を持ったものがたくさんあります。無料で誰でも使えることから信頼が低い見方があります。しかし、ちゃんとリスクを理解していればこれほど素晴らしいものはありません。そこで、オープンソースに対するテスト標準を作り、信頼を担保しようとしているのです。よって正解は、「OSSTMMを参考にしながらテストする。」になります。
×:オープンソースは開発時点で十分にテストされているため、テスト工程は省略できる。
オープンソースであっても自組織に合わせたテストをする必要があります。
×:開発者の連絡先を確保し、開発者ともにテストを実施する。
オープンソースの開発者に問い合わせても、こういった対応はおそらくスルーされるでしょう。
オープンソースの開発者のほとんどは善意で実施しているため、組織からの更なる追及に対しては図々しさを覚えるかもしれません。
×:他組織から完了済みテストの共有を依頼する。
他の組織から機密に当たる可能性のあるテスト結果をもらうという工程には無理があります。
#42. 次のうち、セキュリティ施策の発令者・責任者として最も望ましい役職はどれでしょうか。
〇:CEO
セキュリティの施策は、ビジネス戦略とともに掲げられるべきであり、トップであるCEOからの発令が望ましいとされます。よって、正解は「CEO」になります。
×:CIO
最高情報責任者の略です。確かに、CIOよりセキュリティ施策は発令されることもあります。しかし、という条件から経営の責任を負っているトップの責任者であるCEOから発令れる”ほうが望ましい”ため、ここでは正解にはなりません。
×:現場の責任者
セキュリティ施策の発令者・責任者は、経営に責任をものであることが望まれます。正解にはなりません。
×:CTO
最高技術責任者の略です。最高技術責任者の主な役割はその組織の研究技術の推進と保護に当たります。組織管理やガバナンスも含めたセキュリティ施策は発令される場合には、CEOの”ほうが望ましい”ため、ここでは正解にはなりません。
#43. ソフトウェアをテストしたところ、10,000を超える欠陥が見つかりました。次のステップはどうあるべきですか?
〇:致命的なエラーに対して影響を及ぼす可能性を計算する。
ソフトウェアテストの実施は必須ですが、そのテストによって欠陥が数多く見つかった場合には、慎重に対応する必要があります。システムに人間の忘却のような概念はないですが、今週のテスト30点の人に来週のテストで100点を取れと願いことは現実的とは言えません。
修正を行う前に、ログレビューなどテストが完了している状態で、テストから取得したデータを分析する必要があります。最初に何から実施するか、何が許容でき何が許容できないかの判断を優先する必要があります。定性的リスク分析について考え、可能性が低く影響が少ない場合は放置し、優先度の高い項目に焦点を当てることができます。よって正解は、「致命的なエラーに対して影響を及ぼす可能性を計算する。」になります。
×:すべて修正する。
多くの欠陥が見つかった場合には、その修正対応にも多くの時間がとられることが考えられます。
×:膨大な数であるため放置する。
欠陥を放置することは原則許されません。
×:すべてのエラーに対して影響を及ぼす可能性を計算する。
すべてのエラーに対して分析を行うこともまた、非常に作業量が多くなる可能性があります。
#44. セキュリティドキュメントの最上位に位置するものはどれでしょか。
#45. 金銭を得る動機の攻撃ではないだろうと考えられるものはどれですか?
#46. ジョンは、セキュリティインシデントと軽減手順の概要をマネージャーに週次レポートとして提供します。 レポートに乗せるインシデント情報がない場合、彼はどのような措置を取る必要がありますか?
〇:「出力なし」と表示されたレポートを送信します。
報告書に何も情報がない場合(報告することはない)、報告書には情報がないこと、および責任を負うことだけではないことをマネージャーが認識していることを確認する必要があります。
×:マネージャーにレポートする内容がないことを通知する電子メールを送ります。
通常運用でレポートとして報告することが決まっているわけですから、急に電子メールで報告記録を残すことは適切ではありません。現実的に、いちいちコミュニケーション取ったほうが上司から可愛がられるでしょう?いいえ、そんなことを聞いていません。
×:先週のレポートを再度提出し、先週のレポートの日付を今週の日付として提出します。
先週のレポートを配信しても、今週は何も報告がなかったことを表現できてはいません。
×:何もしない。
何もなかったことを報告することが求められています。
#47. 行動指示型の防御策として正しいものはどれでしょうか。
〇:従業員のセキュリティ意識が変わるような定期的な教育
行動指示型とは、組織的管理として従業員に求められる行動を指示する目的のコントロールです。従業員の意識が変わるような定期的な教育は、行動指示型に該当します。よって正解は、「従業員のセキュリティ意識が変わるような定期的な教育」になります。
×:ドローン監査を利用した遠隔的に指示する防御策
補強的(compensating)な防御策に当たります。
×:物理的な壁による行動心理的な障害とする防御策
物理的(physically)な防御策に当たります。
×:あるアクションを見直す再発防止策の立案
是正的(corrective)な防御策に当たります。
#48. セキュリティの観点からマーケティング指標を測る意味はあるだろうか。
〇:ある。企業目標を達成するのにセキュリティがあるため同一の目標を持つべきだ。
組織目標を達成する指標として、KPIなどのマーケティン指標がある。組織にセキュリティ機能を整備することも、これらの目標を達成するための存在する。
×:ある。セキュリティ業界のマーケティングはリスクオフが認められる。
「セキュリティ業界におけるマーケティング」では、組織としてセキュリティ機能を整える意味ではない。
×:ない。分業体制を徹底し専門家に任せるべきだ。
確かに組織の分業は大事ですが、組織のすべての構成員がセキュリティを意識する必要があります。
×:ない。役員判断となるような機密情報はセキュリティと無関係だ。
セキュリティは組織全体で取り組むべきものです。関係ないとは言えません。
#49. あなたはセキュリティ管理者として、ウイルス感染に対応しています。ある日、ウイルス対策アプリケーションは、ファイルが危険なウイルスに感染していると検知しました。そのファイルを駆除すると正常なファイル内容そのものが損傷する可能性があります。 あなたは、どのような行動を取るべきですか?
〇:ウイルスがパッチされていないファイルバージョンをバックアップメディアから復元します。
最善の方法は、バックアップメディアからパッチされていないファイルの未感染バージョンをインストールすることです。 ファイルを駆除しようとすると破損する恐れがあり、クリーンであることがわかっているファイルを復元することが重要です。何より影響を広げないことが大事ですが、ファイルを一方的に削除しようとすると、後の調査に利用できなくなる恐れもあります。よって正解は、「ウイルスがパッチされていないファイルバージョンをバックアップメディアから復元します。」になります。
×:前日に保存したファイルに置き換えます。
前日保存したファイルにもウイルスが存在している可能性があります。
×:ファイルを削除し、ベンダーに連絡します。
ファイルを削除した場合、正常なファイル内容そのものが損傷する可能性があることが、本問題の条件となっていますので、不正解になります。
×:データをバックアップし、ファイルを削除します。
ウイルスの入っているデータをバックアップし、ファイルを削除してもクリーンな状態にはならないため、不正解となります。
#50. ITセキュリティチームは、OSI参照モデルを使用した緩和戦略を提案するように依頼されました。これらのうち、レイヤー7の問題に対処するのはどれですか?
#51. 次のうちClark-Wilsonアクセスモデルの共通の関連性はどれですか?
〇:定型的トランザクション
クラーク・ウィルソン(Clark-Wilson)モデルでは、被験者はこのアクセスがどのように行われるかを制御する何らかのタイプのアプリケーションまたはプログラムを経由することなく、オブジェクトにアクセスすることはできません。サブジェクト(通常はユーザ)はアプリケーションに連動する形で、「定型的トランザクション」として定義されているアプリケーションソフトウェア内のアクセスルールに基づいて必要なオブジェクトにアクセスできます。
×:チャイルドウォールモデル
ユーザーの以前の行動に応じて動的に変更できるアクセスコントロールを提供するために作成されたBrewer Nashモデルの別の名前であるため、間違っています。これは、アクセス試行や利害の衝突から形作られるもので、被験者と物体との間に情報が流れることはありません。このモデルでは、サブジェクトが異なるデータセットにある別のオブジェクトを読み取れない場合にのみ、サブジェクトがオブジェクトに書き込むことができます。
×:アクセスタプル
Clark-Wilsonモデルはアクセスタプルではなくアクセストリプルを使用するため、正しくありません。アクセストリプルは、対象プログラムオブジェクトである。これは、サブジェクトが認可されたプログラムを通じてオブジェクトにのみアクセスできることを保証します。
×:Write Up及びWrite Down
Clark-WilsonモデルにはWrite Up及びWrite Downがないため、正しくありません。これらのルールはBell-LaPadulaとBibaモデルに関連しています。 Bell-LaPadulaモデルには、読み込まれていない単純なセキュリティルールと、書き留められていないスタープロパティルールが含まれています。 Bibaモデルには、読み込まれていないシンプル完全性公理と、書かれていないスター完全性公理が含まれています。
#52. システムの監査のために記録管理及びレビューを行っている。懸念すべき事項として正しいものはどれか?
〇:監査ログと監査証跡が十分な期間保存すべきである。
監査ログや監査証跡は、法廷での事実立証を裏付ける根拠として十分な期間保管しておくべきです。
✕:ログのレビューが定期的に行わないほうが良い。
ログのレビューは定期的に行い、欠陥の発見や潜在的な問題に対して感度を持つことも重要です。
✕:エラーなど結果の悪い監査ログのみレビューするべきだ。
結果の悪いログだけではなく、内部的にも処理が想定されたとおりに実行されているかにも目を配るべきです。
✕:すべてのシステムの通常運用時にもアプリケーションのトレースログを出力し、詳細な挙動を追跡する。
トレースログはアプリケーションの動作をきめ細かく出力する一方で、その量も膨大です。通常運用ではその機能がオフにされていることが一般的です。
#53. TCPコネクションが確立する際に、TCPスリーハンドシェイクを行う。次のうち、交換されるTCPフラグの順番が正しいものはどれか?
#54. レイシーのマネージャーは、新しいディスパッチングセンターの侵入検知システムを調査することを彼女に任命しました。レイシーは上位5製品を特定し、評価を比較します。次のうち、本目的に沿った今日最も使用されている評価基準フレームワークはどれですか?
〇:コモンクライテリア
コモンクライテリアは、信頼できるコンピュータシステム評価基準(TCSEC)と情報技術セキュリティ評価基準(ITSEC)の両方の長所を組み合わせて弱点を排除する方法として1990年代初めに作成されました。コモンクライテリアは、TCSECよりも柔軟性があり、ITSECよりも簡単です。コモンクライテリアは、世界的に認知されているため、評価の複雑さを軽減し、さまざまな評価スキームで異なる評価の定義と意味を理解する必要性を排除して消費者を支援します。これは、さまざまなルールと要件で複数の異なる評価基準を満たすのではなく、製品を国際的に販売したい場合に、特定の一連の要件を構築できるようになったため、メーカーにとっても役立ちます。
×:ITSEC
情報技術セキュリティ評価基準が最も広く使用されていないため、正しくありません。 ITSECは、多くのヨーロッパ諸国でコンピュータシステムと製品のセキュリティ属性を評価するための単一の基準を確立する最初の試みでした。さらに、ITSECは評価において機能性と保証性を分離し、それぞれに別の評価を与えます。これは、TCSECよりも高い柔軟性を提供するために開発され、ネットワークシステムにおける完全性、可用性、および機密性に対処します。 ITSECの目標は製品評価の世界基準となることでしたが、その目標を達成できず、コモンクライテリアに置き換えられました。
×:レッドブック
ネットワークおよびネットワークコンポーネントのセキュリティ評価トピックに対処する米国政府の出版物であるため、間違っています。正式にTrusted Network Interpretationと題されたこの本は、さまざまなタイプのネットワークを保護するためのフレームワークを提供しています。ネットワーク上のオブジェクトにアクセスする被験者は、制御、監視、および監査が必要です。
×:オレンジブック
政府および軍の要件とオペレーティングシステムに対する期待に対応する米国政府の出版物であるため、正しくありません。オレンジブックは、製品に、ベンダーが要求するセキュリティー特性と特定のアプリケーションまたは機能に適しているかどうかを評価するために使用されます。オレンジブックは、評価中の製品の機能、有効性、保証をレビューするために使用され、セキュリティ要件の典型的なパターンに対処するために考案されたクラスを使用します。どのユーザーがシステムにアクセスできるかを制御することに重点を置いて、信頼できるシステムの構築と評価のための幅広いフレームワークを提供します。 オレンジブックと言っていますが、もう1つの名前はTrusted Computer System Evaluation Criteria(TCSEC)です。
#55. データ分類において最後に実施されるプロセスはどれでしょうか。
#56. スーザン氏は弁護士です。ライド社の最高プライバシー責任者(CPO)で新たな地位を築くために雇われました。彼女の新しい主な役割は何ですか?
〇:顧客、会社、従業員のデータを確実に保護すること。
最高プライバシー担当者(CPO)は、顧客、会社、従業員のデータのセキュリティを確保する責任を負います。CPOは、データの収集、保護、第三者への配布方法に関するポリシーの設定に直接関わります。 CPOは通常弁護士であり、報告書や調査結果を最高セキュリティ責任者(CSO)に報告します。よって、正解は「顧客、会社、従業員のデータを確実に保護すること。」になります。
おそらく、CPOなんて知らなかったのではないかと思います。この問題のポイントはプライバシーという言葉から、個人情報の保護を発想できるかどうかです。実際の試験で知らない単語も見たときに、単語の意味が分からないからと投げてはいけません。ヒントは必ずあります。
×:パートナデータの保護を保証すること。
CPOは、顧客、会社、従業員のデータのセキュリティを確保する責任を負います。
パートナーデータの保護もあり得ますが、主な役割という意味合いからは外れます。
×:企業財務情報の正確性と保護を確保すること。
プライバシーの保護に当たらないと考えられます。
×:セキュリティポリシーが定義され、実施されていることを確認すること。
すべての担当者・責任者に共通する目的であり、最高プライバシー責任者(CPO)としての役割という意味合いでは、焦点が合っていません。
#57. フランクは、同社のオンラインアプリケーション、Webサーバー、およびWebベースの活動のセキュリティを担当しています。ウェブアプリケーションは、複数のユーザーが同時にウェブページを編集したり、お互いの仕事を上書きしたりすることができないように、動的に「ロック」される能力を有しています。監査では、このソフトウェアロック機能が適切に構成されていても、複数のユーザーが同じWebページを同時に変更できることが明らかになりました。この事情を最もよく表しているのはどれでしょうか。
〇:TOC/TOU
特定の攻撃は、システムが要求を処理してタスクを実行する方法を利用できます。 TOC/TOU攻撃は、システムがタスクを完了するために使用する一連のステップを処理します。 このタイプの攻撃は、マルチタスキングオペレーティングシステムで発生するイベントが個々のタイミングに依存することを利用します。TOC/TOUは、条件のチェックとその条件チェック機能からの結果の使用を可能にするソフトウェア脆弱性です。 この質問では、Webアプリケーションが正しく構成されている可能性が高いという事実は、このアプリケーションのプログラミングコードがこの種の脆弱性をコード自体に埋め込んでしまっていることを示しています。
×:バッファオーバーフロー
過剰に大きなのデータが特定のプロセスへの入力として受け入れられると、バッファオーバーフローが発生します。問題文の事象とは一致しないため、間違っています。 バッファはメモリの割り当てられたセグメントです。 バッファは大きなデータ入力でオーバーフローする可能性がありますが、攻撃者に使用されるためにはバッファに挿入されるコードが特定の長さでなければならず、攻撃者が実行するコマンドも必要です。
×:ブラインドSQLインジェクション
ブラインドSQLインジェクション攻撃は、真実か偽の質問をデータベースに送信するSQLインジェクション攻撃の一種であるため、間違っています。 基本的なSQLインジェクションでは、攻撃者はSQL形式の特定の命令を送信して、関連付けられたデータベースに問い合わせます。 ブラインドSQLインジェクション攻撃では、攻撃者はデータベースの応答を分析して機密情報を収集するために、一連の真偽の質問をデータベースに送信します。
×:クロスサイトリクエストフォージェリ(CSRF)
クロスサイトリクエストフォージェリ(CSRF)は、悪意のある要求や操作を含むWebページを読み込むように犠牲者を騙そうとする攻撃タイプであるため、正しくありません。攻撃操作は、被害者のアクセス権のコンテキスト内で実行されます。 要求は被害者の身元を継承し、被害者のために望ましくない機能を実行します。 このタイプの攻撃では、攻撃者はシステムにアカウント情報の変更、アカウントデータの取得、またはログアウトなどの意図しない動作を実行させることができます。 このタイプの攻撃は質問に記載されているシナリオに関係する可能性がありますが、ユーザーがWebアプリケーションに組み込まれているロックメカニズムをどのようにバイパスできるかに焦点を当てています。
#58. どのタイプのデータベース性質が、タプルがプライマリキー値によって一意に識別されることを保証しますか?
〇:エンティティの完全性
エンティティの完全性は、タプルが主キー値によって一意に識別されることを保証する。 タプルは、2次元データベースの行です。 主キーは、各行を一意にする対応する列の値です。 エンティティの整合性のために、すべてのタプルには1つの主キーが含まれていなければなりません。 タプルにプライマリキーがない場合、タプルはデータベースによって参照されません。
×:並行保全性
並行保全性は、データベースソフトウェアの正式な用語ではないため、正しくありません。整合性サービスには、セマンティック、参照、エンティティの3つの主要なタイプがあります。 並行処理とは、複数のユーザーやアプリケーションが同時にアクセスするソフトウェアのことです。 コントロールが配置されていないと、2人のユーザーが同じデータに同時にアクセスして変更することができます。
×:参照整合性
参照整合性は、既存の主キーを参照するすべての外部キーを参照するため、正しくありません。 存在しないレコードまたはNull値の主キーへの参照が外部キーに含まれないことを保証するメカニズムが存在する必要があります。 異なるテーブル間の関係が正常に動作し、適切にアクセスできるようになります。
×:意味的完全性
意味的完全性は、データベースの構造的および意味的規則が確実に行われるものです。データ型、論理値、一意性制約、およびデータベースの構造に悪影響を及ぼす可能性のある操作に関係します。
#59. 米国国家安全保障局(NSA)は、すべてのマザーボードにクリッパーチップを組み込みたいと考えていました。このチップはどの暗号化アルゴリズムを使用しましたか?
#60. 世界中の国々はサイバー戦争にさまざま影響を受けています。 水、電力、石油、ガス、輸送、製造システムを確保することは政府の優先課題となっていますが、ユーティリティと電力網のインフラストラクチャーにどのような影響を与えているのでしょうか。これらの重要なインフラストラクチャは、機能を提供するさまざまなタイプの産業制御システム(ICS)で構成されています。 次のうちICSの仕組みとして適していないものはどれでしょうか。
〇:中央制御システム
産業制御システム(ICS)の最も一般的なタイプは、分散制御システム(DCS)、プログラマブル論理コントローラ(PLC)、および監視制御およびデータ収集(SCADA)システムです。 これらのシステムは一種の中央制御機能を提供しますが、これらのシステムは本質的に分散しているため、中央制御システムはICSの一般的なタイプとはみなされません。 DCSは、水、電気、製油所などの産業向けの製品システムを制御するために使用されます。 DCSは、集中監視制御ループを使用して地理的な場所に分散しているコントローラを接続します。 このスーパバイザコントローラは、フィールドコントローラからのステータスデータを要求し、この情報を監視のために中央インターフェイスにフィードバックします。 センサーから取得したステータスデータは、フェールオーバーの状況で使用できます。 DCSは、モジュール方式で冗長保護を提供できます。 これにより、単一障害の影響が軽減されます。つまり、システムの一部がダウンした場合、システム全体がダウンすることはありません。
×:プログラマブルロジックコントローラ
プログラマブルロジックコントローラ(PLC)は一般的な工業用制御システム(ICS)であり、ユーティリティネットワーク全体のセンサを接続し、このセンサ信号データをソフトウェアの監視および管理によって処理できるデジタルデータに変換するために使用されます。 PLCは、もともと基本ハードウェア内で単純化されたロジック機能を実行するために作成されましたが、SCADAとDCSシステムの両方で使用される強力なコントローラに進化しました。 SCADAシステムでは、PLCはリモートフィールド機器との通信に最も一般的に使用され、DCSシステムでは、それらは監視制御方式でローカルコントローラとして使用されます。 PLCは、エンジニアリング制御ソフトウェアアプリケーションとの通信を可能にするアプリケーションプログラミングインタフェースを提供します。
×:監視制御およびデータ収集
監視制御とデータ収集(SCADA)とは、データを収集して処理し、ユーティリティベースの環境を構成するコンポーネントに操作制御を適用するために使用されるコンピュータ化されたシステムを指すためです。 これはICSの一般的なタイプです。 SCADA制御センターは、現場(例えば、送電網、給水システム)の集中監視と制御を可能にする。 フィールドサイトには、中央制御センターにデータを提供するリモートステーション制御デバイス(フィールドデバイス)があります。 フィールド装置から送信されたデータに基づいて、自動化されたプロセスまたはオペレータは、遠隔装置を制御して問題を解決するか、または動作上の必要性のために構成を変更するコマンドを送信することができる。 これは、ハードウェアとソフトウェアが通常は特定の業界に独占的であるため、内部で作業するのは難しい環境です。 個人所有で運営されている。 通信は、通信リンク、衛星、およびマイクロ波ベースのシステムを介して行うことができる。
×:分散制御システム
分散制御システム(DCS)がICSの一般的なタイプであるために間違っています。 DCSでは、制御要素は集中化されていません。 制御要素は、システム全体に分散され、1つまたは複数のコンピュータによって管理されます。 SCADAシステム、DCS、PLCは、水、石油、ガス、電気、輸送などの産業部門で使用されています。これらのシステムは「重要インフラストラクチャ」とみなされ、高度に相互接続され、依存するシステムです。 これまで、これらの重要なインフラストラクチャ環境では、インターネットと同じ種類のテクノロジやプロトコルが使用されていなかったため、孤立して攻撃するのは非常に困難でした。 時間が経つにつれて、これらの独自の環境はネットワーキングデバイスと接続されたIPベースのワークステーションを使用してIPベースの環境に変わりました。 この移行により、集中管理と管理の集中化が可能になりますが、コンピュータ業界にとって常に脆弱な種類のサイバー攻撃が発生します。
#61. リスクの関係性を示す計算式として最も近いものはどれでしょうか。
#62. Diameterによって解消されたRADIUSの問題点とは何か。
#63. ジェフは新製品に暗号化技術を取り得たい。インターネット上に公開されている暗号化方法を検討しているようだ。どのような助言をするべきか。
#64. 次のうち災害復旧テストでの並列テストについて適切に説明されているものはどれですか?
〇:一部のシステムが代替サイトにて実行されることを保証します。
並列テストでは、一部のシステムが代替サイトで実行されるのかを確認します。これは、サービスの生産性には影響を控えつつ、システムが代替サイトで動作することを保証するためです。
×:すべての部署に災害復旧計画のコピーが送られ、完全性を確認します。
この選択肢はチェックリストテストを記述しているため、正しくありません。
×:各部門の代表者が集まり、妥当性の検証受けます。
この選択肢は構造化ウォークスルーテストを記述しているため、正しくありません。
×:通常運用システムをダウンさせます。
この選択肢は完全中断テストを記述しているため、正しくありません。
#65. バックアップ戦略を確認する最も効果的な手法はどれですか?
〇:復元手順をテストすること。
バックアップから正常にリストアする能力が定期的にテストされなければなりません。よって正解は、「復元手順をテストすること。」になります。
×:すべてのユーザーデータを確実にバックアップすること。
ユーザーデータのコピーを作成することは重要ですが、コピーが復元可能であることが保証されない限り、コピーは無駄です。
×:独自の仕様に合わせたデータベース管理システム(DBMS)のバックアップをすること。
トランザクション・コピーが使用可能であることを保証するためにDBMSの独自の仕様に合わせた手段を使用することは良い考えですが、リストアがテストされない限り、それらのコピーは信頼されません。
×:バックアップのログファイルが完全であることを確認すること。
完了のためのバックアップログを監視することは良好な運用方法ですが、バックアップ自体の定期的なテストやデータ損失からの真の回復能力に代わるものではないため、間違っています。
#66. ジャレッドは自社のデータ分類システムで役割を果たしています。この役割では、データにアクセスする際には細心の注意を払い、許可されたポリシーに従ってのみデータが使用され、データの分類に設定されたルールに従うようにする必要があります。彼はコントロールを決定、維持、評価していません。ジャレッドの役割は何ですか?
〇:データユーザー
仕事に関連する仕事のためにデータを使用する個人は、データユーザーです。ユーザーは、その職務を遂行するためにデータに必要なレベルのアクセス権を持っていなければなりません。また、データの機密性、完全性、他者への可用性を確保するための運用上のセキュリティ手順を遵守する責任があります。これは、ユーザーが適切な注意を払い、セキュリティポリシーとデータ分類ルールの両方に従って行動しなければならないことを意味します。
×:データ所有者
データ所有者の方がデータの保護においてより高いレベルの責任を負うため、間違っています。データ所有者は、データを分類し、分類レベルを定期的に見直し、データ保護職の責任をデータ管理者に委任する責任があります。データ所有者は、通常、組織内のマネージャーまたはエグゼクティブであり、会社の情報資産の保護については責任を負います。
×:データ管理者
データ管理者がデータ所有者の指示に従ってセキュリティ管理の実装と保守を担当しているため、正しくありません。言い換えれば、データ管理者は、データを保護するコントロールの技術者です。彼女の任務には、バックアップの作成、データの復元、対策の実施と維持、コントロールの管理が含まれます。
×:情報システム審査員
情報システム審査員は、コントロールの評価を担当するため、正しくありません。コントロールを評価した後、監査人は管理者に報告書を提出し、組織の許容可能なリスクレベルと結果とのマッピングを示します。これは、データを使用したり、データの使用に細心の注意を払ったりすることとは関係ありません。
#67. コードレビューとは何ですか?
〇:コーダーのコーディングが完了した後、他のコーダーによってレビューすること。
スタティックコードレビューでは、作成者の目には明らかにならなかった点を軽減するために、別のエンジニアによって行われるレビューです。よって正解は、「コーダーのコーディングが完了した後、他のコーダーによってレビューすること。」になります。
×:コーダーが互いのコーディングを見て並行して作業するようにすること。
エクストリームプログラミング(XP、extreme programming)とは、2人1組で話し合いながら柔軟にプログラム開発する方法です。コードレビューではありません。
×:チェックイン前に適切なトランザクション処理が適用されていることを確認すること。
データベースのコミットメントに関する記述です。
×:適切な質疑応答が存在することを確認すること。
適切な質疑応答があるかどうかは、コードレビューの中で実施される一部かもしれませんが、コードレビュー自体の説明ではありません。
#68. セキュリティ侵害を防ぐための合理的な行動を行うことは何というでしょうか。
〇:デューケア
デューケアとは、状況に応じてセキュリティ違反を防止するために合理的に実行できたすべてのことを会社が行い、セキュリティ違反が発生した場合に適切な管理や対策を講じることです。要するに、企業が常識と慎重な経営を実践し、責任を持って行動しているということです。ある企業が免火性がない施設を持っている場合、その放火犯はこの悲劇の小さな部分に過ぎないでしょう。同社は、火災の影響を受ける可能性があるすべての重要な情報の特定の地域、警報、出口、消火器、およびバックアップの火災検知および抑制システム、耐火建築材料の提供を担当しています。火災により会社の建物が燃えてしまい、すべての記録(顧客データ、在庫記録、および事業の再構築に必要な情報)が消滅した場合、当社はその損失から保護されるように注意を払っていないと言えます。たとえば、オフサイトの場所にバックアップするなどが可能でしょう。この場合、従業員、株主、顧客、そして影響を受けたすべての人が潜在的に会社を訴える可能性があります。しかし、会社がこれまでに挙げた点で期待していたことをすべて実行した場合、適切なケア(ディーケア)を怠っても成功すると訴えることは困難です。
×:下流の責任
ある企業の活動(またはその活動の欠如)が他の会社に悪影響を与える可能性があるため、間違っていることです。いずれかの企業が必要なレベルの保護を提供せず、その過失が協力しているパートナーに影響を及ぼす場合、影響を受けた企業は上流の会社を訴えることができます。たとえば、A社とB社がエクストラネットを構築したとします。 A社はウイルスを検出して対処するためのコントロールを導入していません。 A社は有害なウイルスに感染し、B社にはエクストラネットを通じて感染します。このウイルスは重要なデータを破壊し、B社の生産に大きな障害をもたらします。したがって、B社は、A社を怠慢であると訴えることができます。これは下流の責任の一例です。
×:責任
一般的に特定の当事者の義務と予想される行動や行動を指すため、正しくありません。義務は、特定の義務をどのように果たすかを当事者が決定することを可能にする、より一般的かつオープンなアプローチである必要な特定の行動の定義されたセットを有することができる。
×:デューデリジェンス
おしい回答です。デューデリジェンスとは、会社がその可能性のある弱点や脆弱性のすべてを適切に調査することです。自分を適切に保護する方法を理解する前に、あなたが自分を守っていることを知る必要があります。現実のリスクレベルを理解するために、現実のレベルの脆弱性を調査し評価します。これらのステップと評価が行われた後でさえ、効果的な管理と保護手段を特定し、実施することができます。デューデリジェンスとは、すべての潜在的なリスクを特定することを意味します。
#69. 物理的な特別な技能を用いてデータ回復が可能ではないデータ削除手段のどれでしょうか。
〇:上書きによるパージ
パージとは、物理的な努力によってもデータを利用できないようにすることを意味します。これは、典型的には、データが格納された媒体の各セクタを上書きすることによって達成されます。
×:オペレーティングシステムコマンドによるデータの削除
間違っています。オペレーティングシステムコマンドによるデータの削除は、通常、記憶媒体上にデータを残す一方で、後で再利用できるように記憶しているクラスタまたはブロックをマークする。
個人的にはこちらの選択肢を選ぶほうが試験対策がよくできていると感じられます。というのは、データの削除という一般的な言語を用いた選択肢になっているため、短時間で広い意味合いで回答を行うことができるからです。ただ、本問題の回答としては、パージという用語のほうが問題に対してはより強く適合しています。
×:メディアのサニタイジング
間違っています。オペレーティングシステムのコマンドでデータを単に削除するよりも強力な方法ですが、通常、サニタイズとは、ストレージメディアを同じセキュリティコンテキスト内で再利用可能にすることを指します。
「物理的な特別な技能を用いて」と聞いているため、手法を特定した選択肢「パージ」のほうが問題に対してはより強く適合しています。
×:これらのどれも動作しません
間違っています。適切な慎重さをもって、パージ技術によってデータの残存をうまく処理することができます。
#70. 同社の事業継続コーディネーターであるマシューは、メンバーを事業継続計画(BCP)委員会に募集する手助けをしています。次のうち、間違った説明はどれですか?
〇:固定されたメンバーで会議を実施し、人数はできるだけ少ない方がよい。
BCP委員会は、組織内の各部門を代表するために必要な規模でなければなりません。各部門が独自の機能と独特のリスクと脅威を持っているため、社内のさまざまな部門に精通した人で構成されている必要があります。すべての問題と脅威が持ち込まれ、議論されたときに策定されていきます。これは、少数の部門や少数の人々と効果的に行うことはできません。委員会は、少なくとも事業部、上級管理職、IT部門、セキュリティ部門、通信部門、法務部門の担当者から構成されていなければなりません。
×:委員のメンバーは、計画段階、テスト段階、実施段階に関与する必要があります。
委員会のメンバーが計画段階とテスト段階および実装段階に関与する必要があることが正しいため、回答としては正しくありません。 BCPのコーディネーターであるマシュー氏が優れた経営リーダーであれば、チームメンバーに自分の任務や役割に関わる所有権を感じさせるのが最善である考えるでしょう。 BCPを開発する人々も、それを実行する人でなければなりません。危機の時期にいくつかの重要なタスクが実行されることが予想される場合は、計画とテストのフェーズでさらに注意を払う必要があります。
×:事業継続コーディネーターは、経営陣と協力して委員会メンバーを任命すべきである。
BCPコーディネーターが管理職と協力して委員会メンバーを任命する必要があるため、間違っています。また、経営陣の関与はそこで終わりません。 BCPチームは、経営陣と協力して計画の最終目標を立て、災害時に最初に処理しなければならないビジネスの重要な部分を特定し、部門やタスクの優先順位を確認する必要があります。また経営陣は、チームにプロジェクトの範囲と具体的な目標を指示するのに役立つ必要があります。
×:チームは、社内のさまざまな部門の人で構成する必要があります。
チームが社内の異なる部門の人で構成されるべきであるため、正しくありません。これは、チームが各部門が直面する組織に応じたリスクと脅威を考慮する唯一の方法になります。
#71. マンディは同社の非対称アルゴリズムを用いて、260人の従業員のために鍵を生成する必要があります。必要となる鍵はいくつでしょうか。
#72. バーナム暗号の暗号ルールに使われている論理条件はどれでしょうか。
#73. ロバートは、インターネット接続を介して機密情報にアクセスする際の共通のアーキテクチャを実装する責任があります。このタイプのアーキテクチャを最もよく表しているのはどれでしょうか。
〇:3層アーキテクチャ
3層アーキテクチャとは、クライアントには入力や結果の表示を担当するユーザーインターフェイス(プレゼンテーション層)、サーバーにはデータ処理を担当する機能プロセスロジック(アプリケーション層)、データベースにアクセスするデータストレージ(データ層)があり、3層を明確に区別するものです。ユーザーインターフェイスの役割を担うのは、一般的にはユーザーが対話するフロントエンドWebサーバーです。静的コンテンツとキャッシュされた動的コンテンツの両方を処理できます。 機能プロセスロジックは、要求が再フォーマットされ処理される場所です。 これは、一般的に動的コンテンツ処理および生成レベルアプリケーションサーバです。データストレージは、機密データが保持される場所です。 これは、バックエンドデータベースであり、データと、データへのアクセスを管理し、提供するために使用されるデータベース管理システムソフトウェアの両方を保持します。
おそらくあなたは3層アーキテクチャという言葉を知らないでしょう。このように試験の途中で知らない単語に出会ってしまうかもしれません。このときあなたがすることは、完璧な正解を選ぶことではなく数回に一度なら正解しそうな回答を探すことです。アーキテクチャは、システム構成を指します。そのため、システム構成を示していない用語を排除することで正解に近づくことができます。例えば、「スクリーンサブネット」は”サブネット”という言葉が入っています。ここで、ネットワークの区分を設けるためのサブネットを指していると予想できれば、少なくとも「スクリーンサブネット」は正解になりにくそうです。同じ理由で「パブリックおよびプライベートDNSゾーン」もドメインネームサーバーの話であり、アーキテクチャの話からは遠そうです。最後にあなたは「2層アーキテクチャ」と「3層アーキテクチャ」で迷うところまでは正解に近づくことができます。
×:2段モデル
2階層、すなわちクライアント/サーバは、サーバがそれらのサービスを要求する1つまたは複数のクライアントにサービスを提供するアーキテクチャを記述しているため、誤りです。
×:スクリーンサブネット
スクリーンサブネットアーキテクチャとは、1つのファイアウォールが1つのサーバ(基本的には1層アーキテクチャ)を保護するためのものであるためのものです。外部の公開側のファイアウォールは、インターネットのように信頼できないネットワークからの要求を監視します。 唯一のファイアウォールである1つの層が侵害された場合、攻撃者はサーバー上に存在する機密データに比較的容易にアクセスできます。
×:パブリックおよびプライベートDNSゾーン
DNSサーバーをパブリックサーバーとプライベートサーバーに分離すると保護が提供されますが、これは実際のアーキテクチャではありません。
#74. データ分類レベルを割り当てるだけではできないことはどれでしょうか。
〇:データベースからのデータの抽出
データ分類においては、データ分類を使用してデータベースに格納されているデータの読み取りと書き込みにアクセスできるユーザーを指定することはしますが、データベースからのデータ抽出は伴いません。よって正解は、「データベースからのデータの抽出」になります。
なにこれ?と思うような問題ですが、データを分類することと、データを操作することを冷静に解析する必要があります。時間をかけるほど、難しい回答をしたくなりますが、冷静になり続けることが抽象的な問題を解く上で大事なことです。
×:階層的に分類された情報のグループ化
データ分類の主たる活動です。
×:非機密データが不必要に保護されていないことの確認
ややこしい書き方をしていますが、守る必要のないものは保護する機能も必要がないということを言っています。
×:データ漏洩時の影響の把握
直接的ではありませんが、データを分類する上でその重要性を把握するために、データの漏洩時の影響を確認することもあります。
#75. 特定の攻撃の助長にも繋がっているマイクロプロセッサ技術はどれでしょうか?
〇:処理能力の向上
パーソナルコンピュータとサーバーの処理能力の増加により、数年前には実現できなかったセキュリティ機構に対するブルートフォース攻撃やクラッキング攻撃の成功確率が高くなりました。今日のプロセッサは、1秒あたりに驚くほど多くの命令を実行できます。これらの命令を使用して、パスワードや暗号化キーを壊したり、犠牲者のシステムに悪質なパケットを送信するよう指示することができます。
×:回路の増加、キャッシュメモリ、マルチプログラミング
増加しても特定の種類の攻撃がより強力になるわけではないため、正しくありません。マルチプログラミングとは、複数のプログラムまたはプロセスを同時にメモリにロードすることを意味します。これは、ウイルス対策ソフトウェア、ワープロ、ファイアウォール、および電子メールクライアントを同時に実行できるようにするものです。キャッシュメモリは、高速書き込みおよび読み出し動作に使用されるメモリの一種です。システムでは、処理中に何度も特定の情報にアクセスする必要があるとプログラムロジックが想定している場合、情報をキャッシュメモリに保存して、簡単かつ迅速にアクセスできるようにします。
×:二重モード計算
答えの内容が具体的ではなく、問題への適合性を測れません。マイクロプロセッサの進歩を調べるとき、実際のデュアルモード計算はありません。
×:ダイレクトメモリアクセスI/O
CPUを使用せずにI/O(入出力)デバイスとシステムのメモリ間で命令とデータを転送する方法であるため、正しくありません。ダイレクトメモリアクセスI/Oにより、データ転送速度が大幅に向上します。
#76. 米国愛国者法(USA PATRIOT Act)の制定のきっかけとなる歴史的事件は何でしょうか。
#77. 便利そうなアプリケーションをインターネット経由でダウンロードし実行したところパソコンが一切動かなくなった。このマルウェアの種別は何だろうか?
#78. 次のうち対称鍵システムの欠点はどれでしょうか?
〇:キー自体を安全に配信することが必要
対称鍵アルゴリズムで暗号化されたメッセージを交換する2人のユーザーのために、彼らは最初の鍵を配布する方法を見つけ出す必要があります。鍵が危険にさらされた場合、その鍵で暗号化されたすべてのメッセージを復号し、侵入者に読み取られてしまいます。鍵が保護されておらず、容易に攻撃者が傍受して使用することができるので、単に電子メールメッセージで鍵を送信することは安全ではありません。したがってレガシーな方法では、USBドライブに鍵を保管し渡すなどのアウトオブバンド方式を使用して鍵を送信しなければなりません。よって正解は、「キー自体を安全に配信することが必要」になります。
×:非対称システムよりも計算が遅い
一般的には非対称システムより対称システムのほうが計算速度は早いです。
×:非対称システムよりも計算が早い
一般的には非対称システムより対称システムのほうが計算速度は早いです。しかし、欠点ではありません。
×:数学的にタスクを実行する傾向がある
コンピュータによるすべての暗号化アルゴリズムが数学的計算になります。しかし、欠点ではありません。
#79. 次のうちソフトウェア定義ネットワーク(SDN)技術を意図しているものはどれですか?
〇:ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法
ソフトウェア定義ネットワーク(SDN)はルーティングの決定とインタフェースとの間でデータを渡し、その機械的機能を作るのルータの論理機能を分離するために、ルーティングの決定を集中管理しやすくすることを意図しています。SDNアーキテクチャは、スケーラブル、プログラム可能な方法で、ルータの制御ロジックを提供する標準方法であることを意図しています。よって正解は、「ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法 」になります。
×:MACアドレスとIPアドレスの間のマッピング
ARPテーブルの説明です。
×:動的な方法でルーティングテーブル の更新
ダイナミックルーティングの説明です。
×:イベント発生時、ルータが互いにルーティングテーブルを更新のための通信をする方法
通信不通時のルーティング制御の説明です。
#80. NISTは継続計画を作成するためのベストプラクティスを定義している。重要な機能やシステムの特定と優先順位付けを行うフェーズはどれですか?
〇:ビジネスインパクト分析を実施
事業継続計画を作成するために特定の方法論を守らなければならないわけではありませんが、ベストプラクティスは時間の経過とともに証明されています。国立標準技術研究所(NIST)の組織は、これらのベストプラクティスの多くを開発し、すべての人が容易に利用できるように文書化する責任があります。 NISTは、Special Publication 800-34 Rev 1「連邦情報システムの継続計画ガイド」の7つのステップを概説しています。ビジネスインパクト分析を実施する。予防的コントロールを特定する。偶発的戦略を作成する。情報システム緊急時対応計画を策定する。計画のテスト、トレーニング、演習を確実にする。計画を確実に維持する。ビジネスインパクト分析においては、重要な機能やシステムを特定し、必要に応じて優先順位を付けることができます。また、脆弱性や脅威を特定し、リスクを計算することも含まれます。
×:予防的コントロールを特定
予防的コントロールを特定では、重要な機能やシステムが優先され、その脆弱性、脅威、および特定されたリスク(すべてビジネスインパクト分析の一部である)の後で予防制御を特定する必要があります。
×:継続計画方針声明を作成
継続計画方針声明を作成では、事業継続計画の策定に必要な指針を提供し、これらのタスクを実行するために必要な役割に権限を割り当てるポリシーを作成する必要があります。正しくありません。これは、ビジネス継続計画を作成する最初のステップであり、ビジネス影響分析の一部である重要なシステムと機能を特定し、優先順位を付ける前に行われます。
×:コンティンジェンシー戦略を作成
コンティンジェンシー戦略の作成には、システムと重要な機能を迅速にオンライン化できるようにするための方法を策定する必要があります。これを実行する前に、重要なシステムと機能を判断するためにビジネスインパクト分析を実施し、復旧中に優先順位を付ける必要があります。
#81. ネットワークにQuality of Service(QoS)を実装しています。QoSの主な利点の1つはどれですか?
#82. ソフトウェアテストの一環として回帰テストでは何が実施されるでしょうか。
〇:主たるコードの改変によるエラーを確認する。
回帰テストでは、コード変更が発生した後の欠陥の発見を行います。古いバグを含む、機能の低下または消失を探します。よって正解は、「主たるコードの改変によるエラーを確認する。」になります。
×:顧客のハードウェア上に開発したソフトウェアをインストールする。
テストではなく、リリースの一部に当たるものです。
×:障害に対面したときの検知と処理を確認する。
いわゆるトラブルシューティングであり、運用計画や手順書の運用チームへの引継ぎによって達成されます。
×:ソフトウェアのコンポーネントのインターフェースを確認する。
インターフェースに対するテストであり、内部結合試験や外部結合試験の試験項目の一部として実施されます。
#83. 年間予想損失額(ALE)の計算式として正しいものはどれでしょうか。
#84. あなたは、大規模な小売企業のセキュリティ管理者です。同社のネットワークは、多くの異なるネットワークデバイスとログ、監査データを生成するソフトウェアアプライアンスを持っています。ある時、あなたのスタッフは不審な行動がネットワーク内で行われているかどうかを確認しようとしています。しかし、すべてのログファイルを確認することが負担となっています。この場合、会社にとっての最善の解決策は次のうちどれですか?
〇:SIEM
多くの組織は、セキュリティ情報およびイベント管理(SIEM)システムと呼ばれるセキュリティイベント管理システムを実装しています。これらの製品は、様々なデバイス(サーバ、ファイアウォール、ルータ等)のログを収集したログデータを相関し、分析機能を提供しようとします。また、中央集権化、標準化、および正規化を必要とする様々な独自フォーマットでログを収集ネットワーク(IDS、IPS、アンチマルウェア、プロキシなど)とのソリューションを有しています。よって正解は、「SIEM」になります。
×:侵入検知システム
侵入検知システム(IDS、Intrusion Detection System)とは、システム監視を行い、受動的なアクションにつなげる機構です。ログを収集し、分析する機能を有していません。
×:SOAR
SOAR(Security Orchestration, Automation and Response)とは、セキュリティインシデントの監視、理解、意思決定、アクションを効率的に行えるようにする技術です。本質的な原因分析によって、SOARによって充足される可能性もありますが、不審な行動がネットワーク内で行われているかどうかを確認する目的で利用される解答にはなりません。
×:イベント相関ツール
イベント相関ツールという言葉はありませんが、SIEMの一つの機能として有している場合があるでしょう。
#85. 私たちは、組織にいくつかの新しいスタンダードとフレームワークを実装しています。実装しているスタンダードの1つでスコーピングを行うことにしました。それはどういった作業になりますか。
#86. 電子メールのなりすましが容易に実行された理由として真っ当な推論はどれでしょうか。
〇:SMTPが適切な認証機構を欠いている。
Eメールのなりすましは、SMTPは適切な認証メカニズムを欠いている場合、実行するのは簡単です。攻撃者は、メールサーバのポート25にTelnetコマンドを送信することにより、電子メールの送信者アドレスを偽装することができます。スパマーは自分が特定されないように、電子メールのスプーフィングを使用しています。よって正解は、「SMTPが適切な認証機構を欠いている。」になります。
「そんなことない!他の選択肢の可能性もあるじゃないか!そんなものをたかが一文で推測するなど不可能!」と聞こえてきそうです。この意見には同意します。ただこのような問題であっても推論して解かなければなりません。選択肢を簡単にまとめると、「認証機能がない」、「設定忘れ」、「フィルタリング機能不全」、「ブラックリスト機能不全」になります。こう並べてみると、「認証機能がない」という回答が最も包含的な回答になってることに気付けるかと思います。
そのほかの解法では、認証と認可の違いを理解していることでも導くことができます。”なりすまし”を防ぐ技術は認証です。認証というキーワードを求めている問題文であると気付けると良いですね。
×:管理者が機能していないドメインのインバウンドSMTP接続を防止する設定を忘れている。
なりすましされている場合には、そのメール送信者も偽装されています。ドメインのインバウンドSMTP接続を防止しても、起こりえます。
×:キーワードフィルタリングによって技術的に廃止されている。
なりすましの対策に対して、キーワードフィルタリングはあまり有効ではありません。よって技術的に廃止されていたとしても原因とは考えにくいでしょう。
×:ブラックリスト機能が技術的に信頼できるものではない。
なりすましされている場合には、そのメール送信者も偽装されています。フィルタリング機能が信頼できなかったとしても、起こりえます。
#87. システム管理者は管理しているシステムにおいてあまりにも緊急アラートが上がるため、対応負荷が過度になってしまうことを嫌気しています。その対策の一つとしてユーザーが5回以上ログインに失敗した場合にそのイベントを確認するようにした。次のうちどの利用した技術したものか?
#88. 次のうちステガノグラフィの説明として間違っているものはどれでしょうか?
〇:利用される最も一般的な方法として、最上位ビットを変更します。
ステガノグラフィーは、他のメディアタイプのデータに隠蔽する方法です。媒体のいくつかの種類にメッセージを埋め込む最も一般的な方法の一つは、最下位ビット(LSB)を使用しています。ファイルの多くの種類が変更され、機密データが見えるようにしてファイルを変更せずに非表示にすることができる場所であるためです。LSBのアプローチでは、高解像度や音を多く含むオーディオファイル(高ビットレート)のグラフィックス内に情報を隠すことに成功しています。
×:抽象化による隠蔽です。
ステガノグラフィは、抽象化による隠蔽であるため、正しくありません。あいまいさによるセキュリティは、実際に対策を使って何かを確保するのではなく、誰かが資産を保護する方法として、秘密を使用することを意味します。
×:暗号化がそうであるように、ステガノグラフィも機密データ自体の存在性を表に示しているわけではない。
暗号化を行うようにステガノグラフィが自分自身に注意を引くしないことは事実です。つまりは、抽象化による隠蔽です。
×:メディアファイルは、サイズが大きいステガノグラフィ伝送に最適です。
誰もが気づくことは低い可能性と操作するための複数のビットを私用する必要があるため、より大きなメディアファイルはステガノグラフィ伝送のために理想的であることは事実であるため、正しくありません。
#89. セキュリティリスクを分析する目的で作成されたものではない公式リスク手法はどれでしょうか。
〇:AS / NZS 4360
AS / NZS 4360はセキュリティリスクの分析に使用できますが、その目的のために作成されたものではありません。それは、IT脅威と情報セキュリティリスクに焦点を絞ったNISTやOCTAVEなど、他のリスク評価手法よりもリスク管理にはかなり広いアプローチを取ります。 AS / NZS 4360は、会社の財務、資本、人的安全、およびビジネス上の意思決定のリスクを理解するために使用できます。
×:FAP
正式なFAPリスク分析手法がないため、正しくありません。
×:OCTAVE
ITの脅威と情報セキュリティのリスクに重点を置いているため、画像Bは正しくありません。 OCTAVEは、組織内の情報セキュリティのリスク評価を管理し、指示する状況で使用するためのものです。組織の従業員には、セキュリティを評価するための最良の方法を決定する権限が与えられます。
×:NIST SP 800-30
IT脅威に固有であり情報脅威にどのように関連しているかという理由で、間違っています。主にシステムに焦点を当てています。データは、ネットワークおよびセキュリティプラクティスの評価や組織内の人々から収集されます。データは、800-30文書で概説したリスク分析ステップの入力値として使用されます。
#90. データの完全性と関係のない選択肢はどれでしょうか。
〇:無権限のエンティティと共有するデータの抽出
関係のないものを選ぶ問題です。無許可のエンティティと共有するデータの抽出は、機密性の問題です。ややこしい言い方をしていますが、データに対する操作は無許可と抽出であり、完全性の主とするデータの破壊はいずれも含まれていません。よって正解は、「無権限のエンティティと共有するデータの抽出」になります。
この問題を解く上で、エンティティが何かを知っておく必要はありません。変更や破壊は行われているかどうかに注目します。
×:データに対する不正な操作または変更
間違いです。なぜなら、完全性は、許可されていない操作またはデータの変更に関連するからである。無断改変が防止されると、完全性が維持されます。ハードウェア、ソフトウェア、および通信の仕組みは、データを正しく維持および処理し、予期せぬ変更なしに意図した宛先にデータを移動するために連携して動作する必要があります。システムとネットワークは、外部の干渉や汚染から保護する必要があります。
×:許可なくデータを変更する
権限のないデータの変更が整合性に関連するため、間違いです。整合性とは、データを保護することであり、ユーザーや権限を持たない他のシステムによって変更することはできません。
×:意図的または偶発的なデータの置換
意図的または偶発的なデータの置換が整合性に関連するため、正しくありません。データが不正なエンティティによって改ざんされないという保証とともに、情報およびシステムの正確性および信頼性の保証が提供される場合、完全性が維持されます。完全性を強制する環境では、例えば、ウイルス、ロジックボム、バックドアをデータを破損または置換する可能性のあるシステムに挿入するなどの攻撃を防ぎます。ユーザーは通常、間違ってシステムやそのデータの整合性に影響を与えます(内部ユーザーは悪意のある行為も行う可能性があります)。たとえば、データ処理アプリケーションに誤った値を挿入して、300ドルではなく3,000ドルを顧客に請求することがあります。
#91. 常に冗長性を提供するRAID構成はどれですか?
#92. ITIL(Information Technology Infrastructure Library)は5つの教科書セットで構成されています。これは次のうち、どのITサービスの計画の中核をなしており焦点を当てていますか?
〇:サービス戦略
ITILの基本的なアプローチは、意図されたITサービスの全体的な計画に焦点を当てたサービス戦略の作成にあります。最初の計画が完了したら、有効なITサービスと全体的な実装ポリシーの設計に関するガイドラインを提供します。その後、サービス移行段階が開始され、ITサービスの評価、テスト、および検証に関するガイドラインが提供されます。これにより、ビジネス環境から技術サービスへの移行が可能になります。サービス運用は、決定されたすべてのサービスが目的を達成したことを確認します。最後に、継続的サービス改善はサービスライフサイクル全体の改善領域を指摘します。サービス戦略はITILの中核であると考えられています。 ITとビジネスアプローチ、市場分析、サービス資産、顧客に質の高いサービスを提供する目標を設定すること、サービス戦略を実施することの戦略と価値の計画、設計、アライメントに関するベストプラクティスを含む一連のガイドラインで構成されています。
×:サービス運用
サービス運用は、サービスが実際に配信される際のライフサイクルの重要なコンポーネントであり、ITILのような指針を提示するようなものは実際の運用の際に、中核をなすことはありません。ライフサイクルの運用では、合意されたレベルのサービスが顧客に提供されることを確実にする一連のガイドラインが定義されています。サービス運用によって組み込まれるさまざまなジャンルには、イベント管理、問題管理、アクセス管理、インシデント管理、アプリケーション管理、技術管理、および運用管理が含まれます。サービス運用は、テクノロジーとビジネスの要件、安定性とレスポンス、コストとサービスの質、対抗的なプロアクティブなアクティビティーなどの矛盾する目標間のバランスを取っています。
×:サービス設計
現在および将来のビジネス要件を満たすために、プロセス、アーキテクチャ、ポリシー、およびドキュメントを含むITサービスの設計に最適なプラクティスのセットを含むため、不適切です。サービス設計の目標は、合意されたビジネス目標に従ってサービスを設計することです。ライフサイクル、リスクの特定と管理をサポートできるプロセスを設計する。全体としてのITサービス品質の改善に関与しています。
×:サービス移行
サービス移行はビジネス戦略によって提案されたサービスを業務上の使用に提供することに重点を置いているため、正しくありません。また、ビジネスモデルの技術サービスへのスムーズな移行を可能にするガイドラインも含まれています。サービスの要件が設計後に変更された場合、サービス移行は、その要件が変更された設計に従って提供されることを保証します。これらのガイドラインが重点を置いている分野には、移行移行計画に関わる人員の責任と、移行計画とサポート、変更管理、ナレッジマネジメント、リリースと展開管理、サービス検証とテスト、評価が含まれます。
#93. 米国では、連邦政府機関は連邦情報処理標準(Federal Information Processing Standard:FIPS)201-2を遵守して、登録時に個人とその個人情報を適切に紐づけるために次のうちどれを保証する必要がありますか?
〇:公務員の身元が適切に確認されたこと。
FIPS 201-2は、個人の身元確認(PIV)のための米国政府の基準を定め、保証の様々な要件を与えています。 政府職員や契約代理店による制限された情報へのアクセスは、そのクリアランスのレベルとそれを知る必要性に左右されますが、まず政府はその個人が彼らが誰であるかを保証する必要があります。
FIPS 201-2という専門用語が出るとその専門用語の定義を確認しようとします。しかし、この問題でポイントとなっているのは「登録時に個人とその個人情報を適切に紐づける」ことです。
×:公務員が割り当てられた作業が自身のロールに対して適切していること。
公務員は、アクセス権が与えられた情報について適切に精査されなければなりませんが、そのようなアクセスの前(登録時)に真の身分証明書が審査と確認が必要になります。
×:公務員は、そのクリアランスレベルのデータへのアクセスのみが許可されている。
所有するクリアランスが有効であるという明確な保証レベルに基づいていなければなりません。ただし、「登録時に個人とその個人情報を適切に紐づけるため」という文言に合致しません。
×:公務員がアクセスできるデータが適切に分類されていること。
データの分類が個人情報の検証に直接関係していないため、正しくありません。
#94. ペネトレーションテストを適切に実施した後、最後のプロセスとして行うことは何でしょうか。
#95. データベースソフトウェアは、ACIDテストと呼ばれる要件を満たす必要があります。 OLTPにおいて、ACIDテストの要件の1つであるトランザクションの原子性をデータベースソフトウェアが実行するのはなぜですか?
〇:データベースが中断することなく単一のユニットとしてトランザクションを実行するようにするため。
オンライントランザクション処理(OLTP)は、データベースをクラスタ化して高いフォールトトレランスとパフォーマンスを提供する場合に使用されます。 問題が発生したときに問題を監視し、対処する仕組みを提供します。 たとえば、プロセスが機能しなくなった場合、OLTP内の監視機能が検出してプロセスを再起動しようとします。プロセスを再起動できない場合、発生したトランザクションはロールバックされ、データが破損していないこと、またはトランザクションの一部のみが発生していることを確認します。OLTPは、トランザクションが(リアルタイムで)発生したときに記録されています。通常は分散環境内の複数のデータベースを更新します。
このようにトランザクション処理がどこまで適当によりされているかでの区分は非常に複雑です。そのため、データベースソフトウェアはACID特性を実装する必要があります。その中でも、原子性・不可分性(atomicity)とは、全て実行されるか、全く実行されないかにしておくことです。トランザクションは完全に実行されるか、まったく実行されないかのどちらかでなければならないという性質です。よって正解は、「データベースが中断することなく単一のユニットとしてトランザクションを実行するようにするため。」になります。
このような問題が不正解であったときに、OLTPを知らなかったから解けなかったと判断することは今後の勉強法に支障をきたすでしょう。問題文はややこしい言い方をしていますが、実際の問題を解くのにOLTPの定義を記憶するよりも、ACIDにおける原子性とは何を理解していることが重要なポイントとなっています。
×:データベースの一貫性のルールを確立できるようにするため。
データベースのセキュリティポリシーに示されている一貫性ルールを強制しますが、トランザクションの原子性を意味するものではありません。
×:ロールバックが発生しないようにするため。
トランザクションの原子性は、ロールバックを抑制することについて言及していません。
×:並行プロセスが互いに相互作用するのを防ぐため。
独立性・分離性・隔離性に当たります。独立性・分離性・隔離性(isolation)とは、処理中は他の操作からは隠蔽されることです。トランザクションを複数同時に実行しても、単独実行の場合と同じ処理結果にならなければないという性質です。
#96. 公開鍵暗号方式と公開鍵基盤との違いはどれですか?
〇:公開鍵インフラストラクチャは公開鍵暗号配布のメカニズム構成であり、公開鍵暗号方式は非対称暗号化の別名です。
公開鍵暗号方式は、非対称暗号です。用語は互換的に使用されます。公開鍵暗号は、証明機関、登録機関、証明書、キー、プログラム、およびユーザーなど、さまざまな部分とから構成されている公開鍵基盤(PKI)の中の一つの概念です。公開鍵基盤は、ユーザを識別作成し、証明書を配布し、維持し、証明書を失効、配布し、暗号化キーを維持し、暗号化通信と認証の目的のために利用されます。
×:公開鍵基盤が対称アルゴリズムを使用し、公開鍵暗号方式は非対称アルゴリズムを使用します。
公開鍵基盤は、対称および非対称鍵アルゴリズムおよび方法のハイブリッドシステムを使用しているため、正しくありません。公開鍵暗号方式は、非対称アルゴリズムを使用することです。したがって、非対称暗号と公開鍵暗号方式は、交換可能であり、同じことを意味します。非対称アルゴリズムの例としては、RSA、楕円曲線暗号(ECC)、ディフィー・ヘルマン、エル・ガマルです。
×:公開鍵基盤は鍵交換を実行するために使用され、公開鍵暗号方式は公開鍵/秘密鍵のペアを作成するために使用されます。
公開鍵暗号は、公開鍵/秘密鍵のペアを作成鍵交換を実行し、デジタル署名を生成し、検証するために使用されている非対称アルゴリズムの使用であるため、正しくありません。
×:公開鍵基盤は機密性と完全性を提供し、公開鍵暗号は認証と否認防止を提供します。
公開鍵基盤自体は、認証、否認防止、機密性、完全性を提供しているわけではないので、間違っています。
#97. BtoC向けのアプリケーションに対するテストを行う際に、重要な観点はどれでしょうか。
〇:主要で利用されている複数の利用法を選別し、対象ブラウザ上で動作するかを確認するべきである。
BtoC向けのサービスであれば、対象となるユーザーをより多くのサポートすべきであると考えられます。よって正解は、「主要で利用されている複数の利用法を選別し、対象ブラウザ上で動作するかを確認するべきである。」になります。
×:ある特定のブラウザ上で動作するかを確認すればよい。
特定のブラウザでは、動作しないユーザーケースがリリース後に起きてしまうかもしれません。
×:最もセキュアなブラウザ上で動作するかを確認する。
セキュアであればブラウザの動きが制限されて、最も制限された中での動作を行うことが期待できます。
しかし、現実にはブラウザバックや端末など、ブラウザの仕様もまた様々です。
×:OS標準のブラウザ上で動作するかを確認する。
ブラウザはOS標準のものだけでありません。現実的にもエンドユーザーは気に入ったブラウザをアプリストアからダウンロードして利用しています。
#98. インターネットアーキテクチャ委員会は、技術と倫理に関してどのような役割を果たしていますか?
〇:インターネットの利用に関する倫理関連の声明を発表する。
インターネットアーキテクチャ委員会(IAB)は、インターネットの設計、エンジニアリング、および管理のための調整委員会です。これは、IETF(Internet Engineering Task Force)活動、インターネット標準プロセスの監視とアピール、RFC(Request for Comments)の編集者のアーキテクチャーの監視を担当しています。 IABは、インターネットの使用に関する倫理関連の声明を発表しています。インターネットは、可用性とアクセシビリティに依存するリソースであり、幅広い人々にとって有用であると考えられています。主に、インターネット上の無責任な行為がその存在を脅かすか、または他人に悪影響を与える可能性があります。
×:刑事判決のガイドラインを作成します。
IABは、個人または企業が犯した特定の重罪または軽犯罪に対する適切な懲罰的判決を決定する際に裁判官が使用する規則である連邦裁判所ガイドラインとは関係がないため、間違っています。このガイドラインは、米国連邦裁判所のシステムにおいて、重罪および/または重度の軽犯罪を行う団体のための統一的な判決方針として機能します。
×:RFCを編集します。
インターネットアーキテクチャ委員会がRFC(Request for Comments)の編集を担当していますが、このタスクは倫理に関係しないため、正しくありません。この選択肢は気を散らすものです。
×:コンピュータ倫理の十戒を維持します。
IABではなくコンピュータ倫理研究所がコンピュータ倫理の十戒を開発し維持しているため、間違っています。コンピュータ倫理研究所は、倫理的手段によって技術を進歩させるために働く非営利団体です。
#99. SOC-2における受託会社に対する会計以外のセキュリティなどの統制の監査期間は通常どのくらいでしょうか。
業務受託会社監査(SOC、Service Organization Control)とは、米国公認会計士協会(AICPA)によって決められている業務の請け負い側の内部統制を保証するための決まりです。業務をほかの会社に請け負ってもらうことがあります。自社の仕事の品質を担保するため、業務を依頼された側の企業でも相応に統制されている必要があります。そのため、業務を依頼される受託会社の内部統制をチェックするわけです。
- SOC-1(Internal Control over Financial Reporting (ICFR)) 受託会社に対する会計を監査する。
- SOC-2(Trust Services Criteria) 受託会社に対する会計以外のセキュリティなどの統制を確認する。通常6か月間調査を行う。
- SOC-3(Trust Services Criteria for General Use Report) 不特定者(利用者)に対する会計以外のセキュリティなどの統制を確認する。
よって、正解は「6か月」になります。
#100. デビッドは、新しい支店オフィスのサーバルームを準備しています。そのサーバルームにプライバリーとセカンダリーの2つの出入り口用のドアを設置しようと考えています。このドアはどのようなロック機構が求められるでしょうか?
〇:プライマリの出入り口のドアは、スワイプカードなどを利用した制御アクセス権を持っている必要があります。セカンダリの出入り口のドアは、緊急時のみ内側からのみ開けられるようにしておきます。
データセンター、サーバールーム、ワイヤリングクローゼットは、侵入者からの保護のために施設の中核に配置する必要があります。ドアに対するアクセス制御メカニズムは、スマートカードリーダ、バイオメトリックリーダ、またはこれらの組み合わせをロックすることができます。サーバールームは厳密な入館制限が欠けられるため、その出入り口も原則一つに制限されます。しかし、火災などが発生したときに備えて、少なくとも2つのドアが存在しなければならない決まりがあります。つまり、プライマリーのドアは、毎日の入口と出口として扱い、セカンダリーのドアは緊急の場合のみ使用されるべきです。セカンダリーのドアは、原則利用を許しませんが緊急時に利用できないといけませんから、内側からのみ利用できるようにしておくことが求められます。よって正解は、「プライマリの出入り口のドアは、スワイプカードなどを利用した制御アクセス権を持っている必要があります。セカンダリの出入り口のドアは、緊急時のみ内側からのみ開けられるようにしておきます。」になります。
この問題を、施設の設備がどうであるべきかという知識ベースで解くことが困難です。そのため、問題のポイントを押さえて、より良い回答に絞っていく必要があります。一般的には、ドアにはカードキーを使った制御を入れればよいですが、そのような問題であれば、プライマリーやセカンダリーというような表現はしません。つまりは、1つ目は常時使うようで、2つ目はその予備である構成です。予備が必要となるケースを考えれば、求められている回答に近づくことができます。
×:プライマリとセカンダリの出入り口のドアは、スワイプカードなどを利用した制御アクセス権を持たせる。
このような利用方法も現実的には考えられます。しかし、プライバリーとセカンダリーの構成の体をなしておらず、質問の意図とは異なります。
×:プライマリの出入り口のドアには、警備員を配置します。セカンダリの出入り口のドアは、絶対に入館できないようにしておきます。
警備員の配置もカードキーと同じような効力を持つ場合もありますが、セカンダリーを利用できないことにすることを望んではいません。
×:プライマリの出入り口のドアは、スワイプカードなどを利用した制御アクセス権を持っている必要があります。セカンダリの出入り口のドアには、警備員を配置します。
警備員を配置する構成も取りうる構成ですが、普段利用しない出入り口に警備員を配置する構成は少々過剰です。