情報セキュリティ
基本情報技術者試験｜E社はテレワークのため、自宅から社内網へ接続するVPN装置を運用している。セキュリティ機関から、E社が使用してい…
E社はテレワークのため、自宅から社内網へ接続するVPN装置を運用している。セキュリティ機関から、E社が使用している型番のVPN装置に認証を回避できる深刻な脆弱性が公表され、修正プログラムが提供されたとの通知を受けた。E社が取るべき対応として、最も適切なものはどれか。
ア提供された修正プログラムを速やかに当て、完了までの間は不正アクセスの兆候を重点的に監視する。
イVPN利用者全員のパスワードを強固なものへ変更し、多要素認証を併用して認証を固める。
ウ装置メーカへ問い合わせて影響範囲の正式回答を待ち、回答が届いてから適用の要否を判断する。
エ修正プログラムは検証環境で十分に動作確認したうえで、次回の定期メンテナンスでまとめて適用する。
正解
ア．提供された修正プログラムを速やかに当て、完了までの間は不正アクセスの兆候を重点的に監視する。
認証を回避できる深刻な脆弱性は、悪用されると正規の認証情報がなくても社内網へ侵入されうる。修正プログラムが提供されている以上、速やかに当てるのが最優先である。さらに、適用が完了するまでの空白期間は攻撃を受けるおそれがあるため、不正アクセスの兆候を重点的に監視して早期に異常を捉え被害を抑える。緊急度に見合った対応である。
?選択肢ごとの解説
ア ○認証を回避できる深刻な脆弱性は、悪用されると正規の認証情報がなくても社内網へ侵入されうる。修正プログラムが提供されている以上、速やかに当てるのが最優先である。さらに、適用が完了するまでの空白期間は攻撃を受けるおそれがあるため、不正アクセスの兆候を重点的に監視して早期に異常を捉え被害を抑える。緊急度に見合った対応である。
イ ×認証回避の脆弱性はパスワードの強度や多要素認証の有無に関係なく認証を迂回されるため、認証側の強化では塞げず根本対処にならない。
ウ ×運用主体はE社であり、修正提供済みの深刻な脆弱性に対し正式回答を待つ間も攻撃の窓は開いたままで、適用を遅らせる判断は危険である。
エ ×認証回避という深刻かつ悪用が容易な脆弱性は、検証を理由に定期メンテナンスまで待つ時間的猶予がなく、攻撃を受ける前の迅速な適用が必要である。
情報セキュリティの他の問題
F社では、従業員が私物スマートフォンで業務メールや顧客データを扱うBYODを認めている。私物端末の紛失・盗難時に、端末内の業…G社は工場に多数のネットワークカメラやセンサ機器(IoT機器)を設置している。これらの機器の多くが出荷時の初期ID・パスワー…H社は自社ドメインを差出人に詐称したなりすましメールが取引先に送られる被害を受けている。受信側が、H社ドメインを名乗るメール…I社は、業務で利用しているソフトウェアの正規の自動更新を適用したところ、その更新版にあらかじめ不正なコードが仕込まれており、…J社の経理担当者に、取引先の担当者名を名乗る差出人から『振込先の銀行口座を変更したので、今回の支払いから新口座へ送金してほし…K社のセキュリティ担当者は、標的型攻撃の準備段階で攻撃者が公開情報を収集していることを警戒している。調査の結果、社員が業務用…L社はテレワークと社外からのクラウド業務システム利用を進めており、社内網を経由しないアクセスが増えている。社内網に入っている…A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0185