DNET_SCExamAM2PastExams

SC：試験 - 午前Ⅱ - 情報処理安全確保支援士の過去問

戻る

概要

出題される 25 問のうち、自区分は他の区分に比べ、圧倒的に多い約 20 問。
過去問題中心の出題なので、難易度は、午後Ⅰや午後Ⅱほど高くない。
翔泳社の書籍から、以下、キーワードだけ列挙した。

セキュリティ関連知識

セキュリティ関連知識（SC の該当節）

特性

情報セキュリティの7大要素

情報セキュリティ特性
- 機密性
- 完全性
- 可用性
付加的特性
- 真正性
- 責任追跡性
- 否認防止及び信頼性

→ コチラ（SC：基礎 の該当節）

対策（セキュリティ関連知識）

情報セキュリティの対策

抑止・抑制
予防・防止
検知・追跡
回復

→ コチラ（SC：基礎 の該当節）

マネジメント

マネジメント（SC の該当節）

ISMS

ISMS（SC の該当節）

ISO/IEC 27000

ISO/IEC 27000（SC の該当節）

.com

以下のサイトで、復習を行う。

過去問道場｜情報処理安全確保支援士.com
https://www.sc-siken.com/sckakomon.php

基礎

概念

概念（SC：基礎 の該当節）

以下、いずれも SC：基礎の該当節を参照。

セキュリティと情報セキュリティ
- セキュリティ
- 情報セキュリティ
物理的セキュリティと論理的セキュリティ
- 物理的セキュリティ
- 論理的セキュリティ
特性
- 基本的特性
- 付加的特性

ネットワーク、仮想化、クラウド

DNS関連（ネットワーク）

脅威
- スプーフィング、ポイズニング系
- DoS系（Flood、Reflection、Slow）
脆弱性

電子メール関連（ネットワーク）

機能（いずれもメールの該当節）
- 認証
- 署名・暗号化
脅威
脆弱性

仮想化、クラウド

（元 Wiki でも内容は未記載。）

脅威

不正のトライアングル

不正のトライアングル（SC：脅威 の該当節）

スプーフィング、ポイズニング系

スプーフィング、ポイズニング系（SC：脅威 の該当節）

なりすまし（スプーフィングの一種にポイズニングがある）。

DoS系（Flood、Reflection、Slow）

DoS系（Flood、Reflection、Slow）
DoS (Flood)
大量の要求でリソースを枯渇させる。
- Stream
- SYN
- ACK
- Connection
- UDP
- ICMP(ping)
DDoS
踏み台を経由したリクエストでの攻撃
- DNS
  DNSの再帰クエリによる攻撃
Reflection
踏み台を経由したレスポンスでの攻撃
（詐称されたリクエストのレスポンスで別のホストを攻撃）
- DNS
  DNSの再帰クエリの応答による攻撃
- ICMP
  ICMPの応答による攻撃
- NTP
  NTPの応答による攻撃

サイドチャネル攻撃

サイドチャネル攻撃（SC：脅威 の該当節）

IoT関連ということで、出題頻度増えるかも。

電子メール関連（脅威）

電子メール関連（SC：脅威）
フィッシング・メール（SC：脅威 の該当節）
標的型メール攻撃（SC：脅威 の該当節）

マルウェア関連（脅威）

ウイルスのタイプ（SC：脅威 の該当節）
ルートキット（SC：脅威 の該当節）

その他（脅威）

BlueBorne
攻撃（いずれも SC：脅威の該当節）
- エクスプロイト・コード
- ゼロデイ攻撃

脆弱性

DNS関連（脆弱性）

DNS関連（SC：脆弱性 の該当節）

電子メール関連（脆弱性）

電子メール関連（SC：脆弱性 の該当節）

対策技術

脆弱性 or 脅威の対策

DNS関連（対策技術）

DNS関連（SC：脆弱性 の該当節）
意図しないゾーン転送を拒否する設定。
分割・配置
- 分割
  - リゾルバ
  - キャッシュ
- 配置
  - リゾルバ（DMZ）、キャッシュ（イントラ）
  - 本社・支社などで重複して配置（理由は下記を参照）。
リゾルバ
外部からの再帰クエリを止める
- 外部からの反復クエリのみに対応。
- 内部からの再帰クエリのみに対応。
ポイズニング
- 以下の対応を行う。
  - ランダムなポート番号
  - 推測困難なTxID
- DNSSEC
  - データ作成元の認証やデータの完全性を確認できる。
  - DNSクエリやゾーン転送のデータを検証できる。

電子メール関連（対策技術）

電子メール関連（SC：脆弱性 の該当節）
認証
- SMTP-AUTH
- POP before SMTP
- APOP
暗号技術
- 暗号化、署名
  - S/MIME（SC：脆弱性 の該当節）、
    PGP（メール の該当節）
    メール本文の署名と暗号化
  - DKIM
    ドメインのDNSレコードの署名
- 経路の暗号化
  - STARTTLS（メール の該当節） (25 → 587)
  - SMTP over SSL/TLS (25 → 465)
中継処理制限
- ホワイト・リストやブラック・リスト
  Receivedヘッダー（中継したSMTPサーバ）
- OP25B
  - スパムの踏み台にならないようにする。
  - 外部ネットワークへのTCP 25番ポートの通信を遮断
- 送信元ドメイン認証（SC：脆弱性 の該当節）
  - SPF（Sender Policy Framework）
    エンベロープFromを利用して認証
  - Sender ID
    ・Sender IDはヘッダのFromやSenderヘッダから
    　割り出されたPRA（Purported Responsible Address）
    ・このPRAで送信元ドメインを特定して認証する。
  - DKIM
    ドメインのDNSレコードの署名
  - DMARC
    SPF＋DKIM
フィルタリング
- シグネチャ・マッチング
- ベイジアン・フィルタリング

マルウェア関連（対策技術）

ウイルスの検出手法（SC：脅威 の該当節）

ハッシュ関連

ハッシュ関連（高度午前 - 技術要素 - セキュリティ - 暗号・認証 の該当節）

公開鍵暗号方式

公開鍵暗号方式（高度午前 - 技術要素 - セキュリティ - 暗号・認証 の該当節）

基本的に、暗号化・署名で公開鍵は受信者が使う。

デジタル証明書

デジタル証明書
秘密鍵で署名
署名対象は公開鍵
SSL/TLS通信で使用
- サーバ証明書
- クライアント証明書
- DH鍵共有（交換）
局
- 認証局 (CA = Certificate Authority)
- 検証局 (VA = Validation Authority)

XML暗号化

XML暗号化
Detached署名
Enveloped署名
Enveloping署名

IPsec

IPsec
鍵共有プロトコル
- ISAKMP/Oakley
- IKEv1
- IKEv2
暗号通信プロトコル
- 動作モード
  - トランスポート・モード
  - トンネル・モード
- 暗号化、メッセージ認証
  - AH (Authentication Header)
  - ESP (Encapsulated Security Payload)
- 復号化、メッセージ認証の検証

VPN

VPN
網での分類
- IP-VPN
- エントリーVPN
- インターネットVPN
機器での分類
- IPsec-VPN
- SSL-VPN
- VPN Gateway

暗号解読

暗号解読（SC：脅威 の該当節）

F/W

パケット・フィルタリング型ファイアウォール

（元 Wiki でも内容は未記載。）

サーキットレベル・ゲートウェイ型

L4スイッチ的に動作する（UDPを対象にできる）。

ダイナミック・パケットフィルタ型

L4スイッチ的に動作する（クライアントとTCP/IPのコネクションを識別）。

ステートフルインスペクション型

L4スイッチ的に動作する（TCP/IPの通信フロー≒セッションまでをチェック）。

アプリケーション・プロキシ型

L7スイッチ的に動作する（ペイロードをチェック可能）。

Webアプリケーション・ファイアウォール（WAF）

L7スイッチ的に動作する（アプリケーション・プロキシ型のHTTP版）

マネジメント・システム

統合マネジメント

ISMS用語（不適合、修正、是正処置）（SC の該当節）

リスク・アセスメント

リスク・アセスメント（SC：マネジメント の該当節）
リスク特定
影響の有無を特定する（度合いは下記で）。
リスク分析（定性分析）
リスク評価（定量分析）

リスク対応の用語

リスク対応の用語（SC：マネジメント の該当節）
リスク対応（セーフガード）
- リスク・コントロール
- リスク・ファイナンシング
CP : コンティンジェンシー・プラン
（SCの場合は、BCP（高度午前 - システム戦略 の該当節）的）

※ SCのリスクはPMPのリスクとチョット違う感じ。

法制度、法人系の記号

ISO/IEC 15408、CC、JISEC

ISO/IEC 15408、CC、JISEC
（SC：法制度 - 情報セキュリティ、ITサービス（規格と制度） の該当節）
ISO/IEC 15408
セキュリティ規格
Common Criteria（CC）
- セキュリティ評価・認証制度
- [C]ommon [C]riteria for Information Technology Security Evaluation
JISEC
- セキュリティ評価・認証制度
- [J]apan [I]nformation Technology [S]ecurity [E]valuation and [C]ertification Scheme

CVE、CWE、CVSS

CVE、CWE、CVSS（SC：脅威 の該当節）

これは覚え難いｗ

Vulnerabilities and Exposures : ID
Weakness Enumeration : タイプ
Scoring System : 評価（基本、現状、環境）

※ Japan Vulnerability Notes (JVN)は、
　日本の脆弱性情報に焦点を置いたDB（翻訳物ではない）。

CERT/CC、JPCERT/CC、ISAC

CERT/CC、JPCERT/CC、ISAC（SC：マネジメント の該当節）
CERT/CC（Computer Emergency Response Team / Coordination Center）
- アメリカにあるインターネットセキュリティを扱う研究・開発センター
- CSIRTの草分けであり、同分野で最も権威ある組織の一つ。
JPCERT/CCは
- CERT/CCの日本版
- CVE識別子の日本版であるJVN識別子の管理（SC：脅威 の該当節）などをしている。

J-CSIP、J-CRAT

J-CSIP、J-CRAT（SC：法制度 - 情報セキュリティ（法律とガイドライン） の該当節）
J-CSIP
- ジェイ・シップ
- サイバー情報共有イニシアティブ
- サイバー攻撃による被害拡大防止
- Initiative for [C]yber [S]ecurity [I]nformation sharing [P]artnership of Japan
J-CRAT
- ジェイ・クラート
- サイバーレスキュー隊
- 標的型サイバー攻撃の被害拡大防止
- [C]yber [R]escue and [A]dvice [T]eam against targeted attack of [J]apan

FIPS140-2、JCMVP

FIPS140-2、JCMVP
（SC：法制度 - 情報セキュリティ、ITサービス（規格と制度） の該当節）
FIPS140-2
暗号モジュールの標準規格。
JCMVP
- と、その国内の試験及び認証制度
- [J]apan [C]ryptographic [M]odule [V]alidation [P]rogram

CRYPTREC

くりぷとれっく
[Crypt]ography [R]esearch and [E]valuation [C]ommittees
電子政府推奨暗号の安全性を評価・監視し、
暗号技術の適切な実装法・運用法を調査・検討するプロジェクト
電子政府における調達のために参照すべき
暗号の３つのリストを公開している。
- 電子政府推奨暗号リスト（CRYPTREC暗号リスト）
- 推奨候補暗号リスト
- 運用監視暗号リスト（非推奨）
現在の体制
- 「暗号技術検討会」がトップ
- その下に
  - 暗号技術評価委員会
  - 暗号技術活用委員会

※ 技術寄りで、法制度と関係が無い模様。

法制度

知的財産権

特許権
- 先願主義を採用している。
- 発明は公知されていない製品発表前に出願
- しかし、
  - 既存の場合、先使用権が与えられる。
  - 製品販売などの発明の実施行為後も
    6カ月以内であれば特許として出願可能

その他（.com）

システム開発におけるテスト

システム開発におけるテスト（高度午前 - 開発技術 - システム開発技術 の該当節）

品質特性

品質特性（高度午前 - 開発技術 - システム開発技術 の該当節）

機能適合性、性能効率性、使用性、信頼性、保守性

情報セキュリティ政策（経産省）

法制度（いずれも SC：法制度 - 情報セキュリティ（法律とガイドライン）の該当節）
- 電子署名法制度
- サイバーセキュリティ経営ガイドライン
監査制度
- 情報セキュリティ監査制度（SC：マネジメント の該当節）
  下記に基づいて運営される制度
  - 情報セキュリティ監査基準
  - 情報セキュリティ管理基準
- システム監査制度（SC：マネジメント の該当節）
  下記に基づいて運営される制度
  - システム監査基準
  - システム管理基準
認証制度
- 暗号技術評価（CRYPTREC）
- ITセキュリティ評価及び認証
  （SC：法制度 - 情報セキュリティ、ITサービス（規格と制度） の該当節）
- 情報セキュリティサービス基準
  情報セキュリティサービスの認証みたいな。
  - 参考
    情報セキュリティサービス審査登録制度
    https://www.meti.go.jp/policy/netsecurity/shinsatouroku/touroku.html
ソフトウェア管理ガイドライン
なにげにライセンス管理の話らしい。
- 参考
  - ソフトウェア管理ガイドライン
    https://www.meti.go.jp/policy/netsecurity/downloadfiles/softkanri-guide.htm
その他
- 脆弱性関連情報の取扱い
- 情報セキュリティガバナンス
- 普及啓発事業
- フィッシング対策事業

他区分

DB

GRANT文
- 構文
```
GRANT 権限名
      ON オブジェクト名
      TO { ユーザ名 | ロール名 | PUBLIC }
      [ WITH GRANT OPTION ] ;
```
- 権限名
  - SELECT：参照する権限を与える
  - INSERT：行を追加する権限を与える
  - DELETE：行を削除する権限を与える
  - UPDATE：値を更新する権限を与える
  - UPDATE（列名）：特定列の値を更新する権限を与える
  - ALL PRIVILEGES：上記の権限を全て与える
- ON
  特定のオブジェクトに対し、
- TO
  アクセス権を与える
  - 指定されたユーザ、ロールに対して。
  - PUBLICを指定：すべてのロールに対して。
- WITH GRANT OPTION
  GRANT権限を、別のユーザに与える。
- 表定義中では権限付与（GRANT）はできない。

NW

通信方式（高度午前 - 技術要素 - ネットワーク の該当節）
NIC
- チーミング
  - フォールト・トレランス
  - リンク・アグリゲーション
  - ロード・バランシング
スイッチ
- Automatic MDI / MDI-X
  業界長いが、初めて聞いた（詳しくはググれ）。
- スパニングツリー（高度午前 - 技術要素 - ネットワーク の該当節）
  負荷分散の説明と間違わないように。
ルータ
- イーサネットフレームの送信先・送信元MACを書き換える。
- ルータはMACを知っている（ARPにより送信先MACを知る）。
3ウェイハンドシェイク
IEEE 802.1X（高度午前 - 技術要素 - ネットワーク の該当節）
- 認証システム
  アクセスポイントには以下が必要になる。
  - オーセンティケータ実装
  - RADIUSクライアント機能
- 暗号化通信
  - 前述の利用者認証
  - 動的に配布される暗号化鍵を用いた暗号化通信
ASN.1
- データ構造の表現形式を定義するための標準的な記法の一つ。
- 主に通信プロトコルのデータの送受信単位
  （PDU：Protocol Data Unit）の定義に用いられる。

その他（他区分）

データセンタにおける
- コールドアイル・ホットアイル
- 避雷器（アレスタ）
コンテンツの不正複製防止方式（高度午前 - 開発技術 - ソフトウェア開発管理技術 の該当節）

ポイント

用語系

これは、覚えるしか無いね。

XXXX系

DNS系
- 脆弱性、対策技術
- ...
メール系
- 脆弱性、対策技術
- IMAP4、POP3
無線LAN系
- WEP / WPA
- CSMA/CA（隠れ端末問題）

規格名

FIPS 140-2
802.1XのEAP-TLS認証

3文字系

漢字が振ってないとキツイ時、在るよね。

不正侵入検知システム（SC：対策技術 - 防御・侵入検知 の該当節）
IDS（NIDSとHIDS）、IPS（NIPSとHIPS）、

その他（用語系）

スプーフィング、スヌーピング
ポイズニング系＋MITMで両方が使われるので混乱する。
- スプーフィング
  - Spoofing（spoofは、なりすましの意味）
  - 攻撃者や攻撃用プログラムを別の人物やプログラムに見せかける事を利用した攻撃。
  - ポイズニングの別名的に使用されることがある。
- スヌーピング
  - パケット・スニッファのSnifferと同じ。
  - 覗き見（する）、詮索（する）、嗅ぎまわる（こと）、探りを入れる（こと）
  - NWにおいて、自分宛でない通信を覗き見・監視すること
    （ARPスヌーピング、TCPスヌーピング）
電子透かし
- Digital Watermark
- Digital Watermarking
- ステガノグラフィー（steganography）

全体的に

午前の問題は、雰囲気で答えているモノが、案外、多い。
- 業務でそれ程、コアに使わない知識。
- 例えば、私は、SAMLには詳しいが、
  - 全てに、SAMLレベルに詳しい訳ではない。
  - 午前は、上っ面ダケで正答することが出来る。
しかし、午後対策では、少々、詳しく理解しておく必要がある。
（少なくともセキュリティ関係は単語レベルでない理解にまで引き上げる）

定義

曖昧系

衝突発見困難性（高度午前 - 技術要素 - セキュリティ - 暗号・認証 の該当節）
フォールス・ポジティブ or ネガティブ（SC：対策技術 - 防御・侵入検知 の該当節）

英単語

スニッフィング (sniffing) → 盗聴
サプリカント (supplicant) → 嘆願者（認証を要求するClientソフト）

各種の脅威と対策

各種の脅威と対策

計算問題系

公式がわからない場合

小さい数で試算してみる。
例
- ネットワーク経路
- 共通鍵の個数

計算問題は時間がかかる。

焦って、

問題を読み間違える可能性、大ｗ
単位変換（に注意していても）見落とすｗ

2進数の計算

ホスト部計算もなかなか大変。

255.255.255.224 の 198.51.100.90

255.255.255.224

198.51.100.90
```
90
45  0
22  1
11  0
5   1
2   1
1   0
```

頭を揃えないと間違える。

11100000
01011010
------------
00011010 → 26

SLA計算

SLA ＝稼働率

   （稼働時間 － 計画停止時間 － 障害停止時間）
 ＝ ─────────────────────
         （稼働時間 － 計画停止時間）

何気にｘ月はｘｘ日とか言う、
ジャパニーズ・カレンダーの知識も要る。

ちなみに、MTBF・MTTR（高度午前 - コンピューター・システム - システム の該当節）

ボケ老人

問題文を間違える。

問題文を読んだ。 → 回答を間違えた。
→ 問題文を読み直した。 → 問題文を読み違えていた。

改ざんの「防止」ではなく「検出」みたいな。
問題文には「SMTPの不正利用を防止」とあるが、
選択肢に「DNSの不正利用を防止」する方法がある場合、
脳内で、問題が「DNSの不正利用を防止」にすり替わる。

選択を間違える

問題＆回答、バッチリ解っているのに、選択を間違えるｗ

署名・検証と秘密鍵・公開鍵の対応。
...。

常識的に考えて

常識的に考えて答えを選択する系。

参考

安全確保支援士試験の備忘録 - Qiita
https://qiita.com/hhhhh/items/62988244ce0dfff22f5e
3週間で仕上げる情報処理安全確保支援士午前Ⅱ[午前2]
対策～知識の量を増やす【令和元年更新】 | IT資格の歩き方
https://www.seplus.jp/it-exam-guide/guide/exam_prep3_am2_for_sc_h31_spring/

過去問

道場

午前Ⅰ（高度午前Ⅰ - 応用情報の過去問（３年分） の該当節）
過去問道場｜情報処理安全確保支援士.com
https://www.sc-siken.com/sckakomon.php

IPA

IPA 独立行政法人情報処理推進機構：過去問題
https://www.jitec.ipa.go.jp/1_04hanni_sukiru/_index_mondai.html

ツボ

インフラエンジニアが情報処理安全確保支援士(セキスペ)に合格した勉強法
https://pentalouge.com/1510/
- 40分で25問。
- 1問、約1分40秒、合計40分
- ほとんど計算問題が出ない。
- ...が、優先順位は午前Ⅰと同じで。
  - 暗記問題
  - 計算問題
  - 解らないモノは消去法でマークシートを塗る。

移行メモ

元 Wiki で見出しそのものが他ページ・同ページ内へのリンクになっていた箇所は多数あるが、 GitHub Wiki では見出しからアンカが生成されるため、見出しをプレーン・テキストとし、リンクは直下の本文に置いた。

PukiWiki のページ内アンカ（#xxxxxxxx）は GitHub Wiki では再現できないため、同一ページ内のアンカは見出しから生成されるアンカに張り替え、他ページのアンカを指すリンクは「〜（ページ名 の該当節を参照）」の形に置き換えた。

「対策」「その他」「DNS関連」「電子メール関連」「マルウェア関連」「基礎」といった見出しが複数の節で繰り返されており GitHub Wiki ではアンカが衝突するため、括弧で親の文脈を補って一意にした（「DNS関連（脆弱性）」「電子メール関連（対策技術）」「その他（他区分）」など）。

元 Wiki の行頭空白による計算例・SQL は、フェンス付きコードブロックにした。

マイクロソフト系技術情報 Wiki（techinfoofmicrosofttech.osscons.jp）への URL リンクは、移行済みのページへのリンクに張り替えた。

元 Wiki の「Cカードによる認証」→「ICカードによる認証」、「DNSの再起クエリ」→「再帰クエリ」、「漢字が降ってない」→「漢字が振ってない」、「識的に考えて」→「常識的に考えて」に正した。「JVE識別子」は SC：脅威 の記載に合わせて「JVN識別子」とした。

Tags: 移行, 資格, SC, 情報処理安全確保支援士, 午前Ⅱ, 過去問, DNS, 電子メール, 暗号, 認証, F/W, 法制度

このWikiは「Open棟梁Project」,「OSSコンソーシアム開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki

Open 棟梁 Wiki

（未着手）

TOP

開発基盤部会 Wiki

TOP
サービス
- 企画
- 価値
- 技術
- 見積
- …ほか（サービス）
DX
BI / AI
Linux
- Linuxのディストリビューション
- Linuxを触ってみる。
- Docker
- CaaS (Open PaaS)
- …ほか（Linux）
Java
- Javaを書いてみる。
- Java有償化について調べてみた。
OSS
- ライセンス
- 開発方法論
- ビジネスモデル
- 導入事例
- …ほか（OSS）
開発環境
その他

移行管理: DONE ／ TODO

Uh oh!