復習問題 2026-08-24
昨日（セキュリティ 25問・正答率72%）のつまずきから出題します。問1・問2がファイアウォールの方式、問3がデータのオーナ、問4・問5は理解できた分（ハッシュ・DNS・セキュリティヘッダ）の定着確認です。
問1 情報セキュリティ
ステートフルインスペクション型ファイアウォールの説明として、最も適切なものはどれか。
- パケット1つ1つについて、送信元・宛先の IP アドレスとポート番号だけを見て、静的な規則表と照合して通過の可否を決める。
- 通過したパケットからコネクションの状態を記録し、その通信が既存のコネクションに対応する正当な応答かどうかを踏まえて通過の可否を決める。
- クライアントに代わってサーバへ接続し、アプリケーションプロトコルの内容を解釈した上で中継の可否を決める。
- 受信したパターンをシグネチャと照合し、既知の攻撃を検知したら管理者へ通報する。
解答
b
3方式の違いは「どの層を見るか」で並べると一度で整理できます。
| 方式 | 主に見る層 | 判断材料 | 弱点 |
|---|---|---|---|
| パケットフィルタリング型 | ネットワーク層〜トランスポート層（3〜4層） | 送信元／宛先 IP、ポート番号、TCP フラグ | コネクションの文脈を持たないため、応答を装ったパケットを通しやすい |
| ステートフルインスペクション型 | 3〜4層＋状態表 | 上記に加え、コネクションの確立状況（内部から出た通信の戻りか） | ペイロードの中身までは見ない |
| アプリケーションゲートウェイ型 （プロキシ型） | アプリケーション層（7層） | HTTP のメソッドや URL など、プロトコルの内容そのもの | 処理が重い。プロトコルごとに個別の実装が要る |
a はパケットフィルタリング型、c はアプリケーションゲートウェイ型の説明。d はファイアウォールではなく IDS（侵入検知システム）です。ちなみに検知して遮断まで行うのが IPS、HTTP に特化してアプリ層の攻撃を防ぐのが WAF。
問2 情報セキュリティ
ファイアウォールで DMZ（非武装地帯）を設ける目的として、最も適切なものはどれか。
- 内部ネットワークの利用者が外部の Web サイトを閲覧する際の通信速度を向上させる。
- 外部に公開するサーバを内部ネットワークから分離し、公開サーバが侵害されても内部へ被害が波及しにくくする。
- 内部ネットワークのプライベート IP アドレスをグローバル IP アドレスに変換する。
- 内部ネットワークの利用者を認証し、アクセスできる業務システムを限定する。
解答
b
DMZ は「外部からも内部からも到達できるが、DMZ から内部へは行けない」区画です。Web サーバや公開 DNS、メールの中継サーバなど、外部に晒さざるを得ないものをここに置きます。通信の許可方向を表にすると設計意図が見えます。
| From \ To | 内部LAN | DMZ | インターネット |
|---|---|---|---|
| 内部LAN | — | 許可 | 許可 |
| DMZ | 拒否 | — | 限定的に許可 |
| インターネット | 拒否 | 許可（公開サービスのみ） | — |
公開サーバが乗っ取られた場合でも、そこから内部 LAN へ進めないので被害が閉じ込められます。a はキャッシュサーバ、c は NAT／NAPT、d は認証サーバの役割です。
問3 情報セキュリティ管理（つまずき：データのオーナ）
情報システムにおけるデータオーナ（データ所有者）の役割として、最も適切なものはどれか。
- データベースの物理設計を行い、バックアップの取得と復旧手順の実行を担当する。
- 自らが責任を持つデータの重要度を分類し、誰にどこまでのアクセスを認めるかを承認する。
- データを利用して業務を遂行し、定められた手順に従って入力・更新を行う。
- アクセス記録を点検し、統制が有効に機能しているかを独立した立場で評価する。
解答
b
ここが体系として抜けていた部分です。「持つ人」「預かる人」「使う人」「見張る人」の4役で覚えると、この分野の問題はほぼ処理できます。
| 役割 | 立場 | やること |
|---|---|---|
| データオーナ（所有者） | そのデータを生む業務部門の責任者 | データの分類（機密／社外秘など）と、アクセス権の承認。責任の最終的な所在 |
| データカストディアン（管理者） | 情報システム部門 | オーナが決めた方針を技術的に実装・運用する。バックアップ、暗号化、権限設定の実作業 |
| データユーザ（利用者） | 一般の従業員 | 認められた範囲でデータを利用し、手順を守る |
| システム監査人 | 独立した第三者 | 統制が機能しているかを評価する。運用そのものには関与しない |
要点は「アクセス権を承認するのはシステム部門ではなく業務部門のオーナ」という一点。ここを取り違えさせる選択肢が定番です。a がカストディアン、c がユーザ、d が監査人。
なおこの領域は午後の問11 システム監査（計画では本命）と地続きなので、覚えた分がそのまま午後に効きます。
問4 情報セキュリティ
ハッシュ関数に求められる性質のうち、「衝突発見困難性」の説明はどれか。
- 与えられたハッシュ値から、そのハッシュ値を生成する元のメッセージを求めることが困難である。
- 同じハッシュ値を生成する異なる2つのメッセージの組を見つけることが困難である。
- メッセージが1ビットでも変化すると、ハッシュ値が大きく変化する。
- 任意の長さのメッセージから、常に固定長のハッシュ値が得られる。
解答
b
a が原像計算困難性です。この2つは「何が与えられているか」で区別します。
- 原像計算困難性：ハッシュ値 h が与えられていて、H(m)=h となる m を探す → 困難。（パスワードのハッシュ保存が成り立つ根拠）
- 第2原像計算困難性：メッセージ m1 が与えられていて、H(m1)=H(m2) となる別の m2 を探す → 困難。
- 衝突発見困難性：何も与えられておらず、H(m1)=H(m2) となるペアを自由に作ってよい → それでも困難。（改ざん検知・電子署名が成り立つ根拠）
自由に選べる分だけ衝突発見のほうが攻撃者に有利で、実際 MD5 や SHA-1 は衝突が先に破られました（誕生日のパラドックスにより、n ビットのハッシュでも 2n/2 程度の試行で衝突が見つかる）。c は雪崩効果、d は固定長性で、どちらもハッシュ関数の性質ではありますが設問の名称とは別物です。
問5 情報セキュリティ
Web サーバが応答ヘッダに X-Content-Type-Options: nosniff を付与する目的はどれか。
- 自サイトのページが他サイトの frame 内に表示されるのを禁止し、クリックジャッキングを防ぐ。
- ブラウザが Content-Type を無視して内容から MIME タイプを推測することを止め、意図しないスクリプト実行を防ぐ。
- HTTPS での接続を強制し、以後そのドメインへ HTTP でアクセスさせない。
- 読み込んでよいスクリプトや画像の配信元を宣言し、許可外のリソースの読み込みを禁止する。
解答
b
a は昨日あわせて覚えた X-Frame-Options（クリックジャッキング対策）。c は Strict-Transport-Security（HSTS）、d は Content-Security-Policy（CSP）です。ヘッダ名と防ぐ攻撃の対応を1枚に：
| ヘッダ | 防ぐもの |
|---|---|
X-Frame-Options | クリックジャッキング |
X-Content-Type-Options: nosniff | MIME スニッフィングによる XSS |
Strict-Transport-Security | HTTP への引き下げ攻撃・盗聴 |
Content-Security-Policy | XSS 全般（許可した配信元以外を実行しない） |
nosniff が効く典型例は、利用者がアップロードした画像を配信するサイトです。中身が実は HTML/JavaScript でも、ブラウザが勝手に「これはスクリプトだ」と判断して実行してしまう経路を、このヘッダが塞ぎます。