IPA セキュリティ技術 — 頻出論点と過去問

この分野の学び方

1. この分野の全体像

セキュリティ技術では、鍵と署名による守り、その外側や実装の隙を突く攻撃、攻撃を止めて見つける製品と運用の三つが互いを前提にしています。脅威の名前と対策を結び付けるだけで解けるのはITパスポートの問題で、応用情報技術者の午前ではプロトコルの動作やログの読み取りを、高度試験の午前IIでは規格の細部や観測したパケットからの攻撃の推定を求められます。デジタル署名や通信路・メールの保護は、共通鍵暗号・公開鍵暗号の鍵とハッシュ関数の値を組み合わせ、相手と中身を確かめたり中身を隠したりする仕組みです。

2. 配下の論点の案内

• 暗号方式・ハッシュ: 鍵の持ち方と使い分け、ハッシュ値の性質を学ぶ論点で、署名や通信路の暗号化の論点の前提になります。暗号文を復号できる鍵の組合せや方式どうしの処理速度を比べるITパスポートの問題に対し、高度試験の午前IIには鍵の総数の計算や暗号利用モードの動作、PQCの説明を選ぶ問題があります。

• デジタル署名・PKI: 鍵とハッシュ値を組み合わせた論点で、署名と証明書の確かめ方は、通信路の暗号化やDNS・メールの署名の問題でも使います。ITパスポートの署名の効果やCRLに載る条件を問う問題から、高度試験の午前IIのRA・VAの役割やOCSPのリクエストに含める情報を選ぶ問題まであります。

• 利用者認証・SSO・ID連携: 本人確認の方式とその破り方を対にして学ぶ論点で、SSOの流れは、次の図のようにクラウド移行の午後の事例にも出てきます。ITパスポートでは生体認証の二つの誤り率の関係や二要素認証になる組合せを、情報処理安全確保支援士の午前IIではSAMLの処理の流れやOAuth 2.0でトークンを発行する役割を選ばせます。

• サイバー攻撃手法: 攻撃者が標的に近づく段階とサービスを止める仕組みを知る論点で、防御製品や監視の論点を読むときの手がかりになります。ITパスポートの攻撃名と説明・対策の組合せに加え、情報処理安全確保支援士の午前IIでは反射・増幅の仕組みや、観測したパケットから攻撃を割り出す問題、キルチェーンのどの段階かを答える問題が出題されています。

• マルウェア: 端末に入り込むプログラムの経路と動きを受け持つ論点で、サイバー攻撃手法と同じ事件を別の側から見ます。ITパスポートの問題はランサムウェアの被害を軽くする対策や遠隔操作ツールの名前を選ぶもので、ネットワークスペシャリストの午前IIではポリモーフィック型やRLOの手口、ビヘイビア法の説明を見分けます。

• Webアプリケーション・ソフトウェアの脆弱性: 経路上の製品や診断と同じ弱点を、プログラムの書き方と設定で防ぐ側から見ます。応用情報技術者の午前ではリクエストの記録から攻撃者がねらった脆弱性を推測する問題、情報処理安全確保支援士の午前IIではSQLインジェクションの対策の組合せやCSRF対策として効果がないものを選ぶ問題が出ています。

• ネットワーク防御・セキュリティ製品: 攻撃の論点で学ぶ手口を、ファイアウォール・IPS・WAFなどの製品の側から見る論点で、構成図の読み取りと結び付きます。応用情報技術者の午前ではVDIによる分離でサーバが行う処理、情報処理安全確保支援士の午前IIではSPIの特徴やフィルタリングルールの見直し、インラインで動くIPSの検知の仕方を選ぶ問題が出題されています。

• セキュアプロトコル・無線LAN・接続認証: 暗号と証明書の知識を通信路と社内網の入口に当てはめる論点で、無線LANやIPsecの問題にはネットワーク分野の論点にも入るものがあります。ITパスポートでは無線区間とWeb通信の暗号化の守備範囲、ネットワークスペシャリストの午前IIではESPトンネルモードで暗号化される部分やクライアント証明書の要る認証方式を選ぶ問題が含まれます。

• DNS・電子メールのセキュリティ: 名前解決とメール配送を悪用する攻撃と、署名や送信ドメイン認証による防ぎ方の論点で、ネットワーク分野の論点と共有する問題があります。応用情報技術者の午前ではDNSSECで実現できることや中継のログから第三者中継を見つける問題、情報処理安全確保支援士の午前IIではカミンスキー攻撃への対策やOP25Bの目的を選ぶ問題が出題されました。

• ハードウェア・物理的セキュリティ: 暗号の鍵や記憶媒体を装置の側からどう守るかの論点で、暗号方式・ハッシュの数学的な強さとは別の弱点を見ます。廃棄する媒体の消去方法や耐タンパ性をもたせる対策を選ぶITパスポートの問題があり、応用情報技術者の午前ではサイドチャネル攻撃に当たる例やTPMの説明、チップの耐タンパ性を高める設計まで問われます。

• 脆弱性管理・セキュリティ監視: ほかの論点で学ぶ弱点と攻撃を、検査と評価、稼働中の監視、事後の調査という運用の側から結び付けます。応用情報技術者の午前では脆弱性の識別子や深刻度の評価基準、ファジングを選ぶ問題、高度試験の午前IIではペネトレーションテストの説明や、揮発性を基準に証拠の保全の順番を決める問題です。

3. 学習の順序の提案

鍵とハッシュ値の性質は暗号方式・ハッシュで学び、デジタル署名・PKIの証明書と利用者認証・SSO・ID連携の認証の方式で使い方が具体的になります。これらは、セキュアプロトコル・無線LAN・接続認証で扱うTLSやIPsec、無線LANの接続認証と、DNS・電子メールのセキュリティで扱うDNSの応答検証やメールの署名・暗号化の動作を支える知識です。同様に、サイバー攻撃手法・マルウェア・Webアプリケーション・ソフトウェアの脆弱性で攻撃の仕組みと弱点を知っておくことが、ネットワーク防御・セキュリティ製品や脆弱性管理・セキュリティ監視でどの機器・検査・監視技術を組み合わせるかを判断する前提になります。

午後の大問は情報処理安全確保支援士と応用情報技術者のほか、いくつかの高度試験の午後にもあり、暗号・認証の仕組みと攻撃の手口、防御製品の設定を一つの構成図や記録の上で同時に使います。Webアプリケーションの弱点を突かれた事案のスクリプトや、静的解析と脆弱性診断の結果を読んで実装の直し方を考える大問があります。リモートワークやクラウドへの移行に合わせてVPNやセキュアWebゲートウェイ、SSOの構成を決める大問と、マルウェア感染や不正アクセスのあとに記録から被害の範囲と入り口を調べる大問も出ています。次の図は、テレワークへの移行を扱う大問に示された構成図の例です。

4. 分野をまたいで間違えやすいところ

サイバー攻撃手法とマルウェアは、同じ事件を攻撃者の手順の側から見るか、端末に入ったプログラムの側から見るかで分かれます。標的型攻撃でも、偵察やエクスプロイトといった段階を判定する問題は前者、侵入後に遠隔から操作するプログラムや外部との通信の隠し方を問う問題は後者に入ります。

同じWebアプリケーションをねらう攻撃でも、プログラムの組み立て方や応答に付ける設定で原因を残さないのがWebアプリケーション・ソフトウェアの脆弱性の対策で、原因が残ったままの通信を経路の上で見分けて止めるのがネットワーク防御・セキュリティ製品のWAFです。WAFの問題で問われているのは止められる攻撃の範囲や見分けの誤りで、実装の直し方は問われていません。

無線LANの暗号化規格、DNSキャッシュポイズニングへの対策、OP25Bとサブミッションポート、IPsecのモードを問う問題には、この分野の論点とネットワーク分野の論点の両方に入っているものがあります。ネットワーク分野ではポート番号や暗号化される範囲といったプロトコルの動きが、この分野ではどの攻撃をどの仕組みで防ぐかが問いになります。ファイアウォールやIPSの方式と暗号の原理は論点としてはこの分野の側に、セキュリティの観点がない名前解決や配送の仕組みはネットワーク分野の側に入ります。

利用者認証・SSO・ID連携とセキュアプロトコル・無線LAN・接続認証は、どちらも相手を確かめますが、確かめた結果で開くものが違います。IEEE 802.1Xの接続認証は端末をLANにつなぐかどうかをIPの通信より前に決め、SAMLやOAuth 2.0は、つながったあとに使うサービスへのログインやデータへのアクセスを決めます。

証拠を保全する順序、CRYPTRECの活動や暗号リスト、廃棄するPCの記憶装置の扱いを問う問題には、この分野とセキュリティ管理分野の両方に入っているものがあります。この分野の側は保全の順序や消去の方法が技術としてどう働くかを読み、管理の側はそれをだれが決め、どの規程やCSIRTなどの体制で運用するかを読みます。