情報セキュリティ
基本情報技術者試験｜H社の社内システムは、パスワードを3回連続で間違えるとアカウントを管理者が手動解除するまで無期限にロックする方針…
H社の社内システムは、パスワードを3回連続で間違えるとアカウントを管理者が手動解除するまで無期限にロックする方針である。これを悪用し、攻撃者が多数の利用者IDにわざと誤ったパスワードを入力して次々ロックさせ、業務を妨害する事象が発生した。可用性への影響を抑える運用見直しとして最も適切なものはどれか。
アロックが早めにかかるよう、発動までの失敗回数を3回から1回へ引き下げる。
イ規定回数の失敗後は手動解除を待たず、所定の時間が過ぎれば自動で解除される方式にする。
ウロックの仕組み自体を取りやめ、何度でもパスワード入力を試せるようにする。
エロック中のアカウント一覧を毎日全社員へ配信し、状況を周知する。
正解
イ．規定回数の失敗後は手動解除を待たず、所定の時間が過ぎれば自動で解除される方式にする。
無期限ロックは、攻撃者がわざと失敗させるだけで正規利用者を締め出せるため、可用性への攻撃（サービス妨害）に転用されやすい。一定回数失敗後に一定時間で自動解除する方式にすれば、総当たり攻撃の速度は十分に抑えつつ、悪用による恒久的なロックと管理者の手動解除負荷を避けられ、可用性と安全性のバランスがとれる。
?選択肢ごとの解説
ア ×発動を1回に減らすと、正規利用者の単純な打ち間違いでもロックされ、かつ攻撃者はより少ない試行で妨害できるため可用性が一層悪化する。
イ ○無期限ロックは、攻撃者がわざと失敗させるだけで正規利用者を締め出せるため、可用性への攻撃（サービス妨害）に転用されやすい。一定回数失敗後に一定時間で自動解除する方式にすれば、総当たり攻撃の速度は十分に抑えつつ、悪用による恒久的なロックと管理者の手動解除負荷を避けられ、可用性と安全性のバランスがとれる。
ウ ×ロック廃止は総当たり攻撃を無制限に許し、可用性の問題と引き換えに機密性を大きく損なうため、適切な見直しとは言えない。
エ ×ロック一覧の社内公開は状況共有に過ぎず、ロックが故意に多発する問題そのものを解消せず、攻撃の妨害効果も止められない。
情報セキュリティの他の問題
I社の業務アプリは、データベースへ接続するためのIDとパスワードを、プログラムのソースコード中に文字列としてそのまま記述して…J社はSSOを導入し、一度ログインすれば多数の業務システムに再認証なしでアクセスできる。共用エリアの端末で、ある社員がログイ…K社のスマートフォンアプリは、OpenID…L社は、端末内の認証器を用いるFIDOによるパスワードレス認証を全社導入した。運用開始後、端末を紛失・故障した利用者がログイ…A社では、新しい業務システムのアクセス権を利用者一人ひとりに個別に設定してきたが、利用者数が数百人規模に増え、似た職務の人に…B社では機密文書へのアクセスを役割だけで制御してきたが、同じ役割の社員でも『社内ネットワークからの接続時のみ』『勤務時間内の…C社では、利用者が必要な権限をシステム管理者へメールで直接依頼し、管理者が内容の妥当性を判断せずそのまま付与している。後日、…D社の購買システムでは、一人の担当者が取引先の登録・発注・支払承認のすべての権限を持っている。内部監査から、不正な取引先への…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0068