はてなブックマーク

平成26年春期午後2問2では、公開Webサーバのコンテンツ改ざんとドライブバイダウンロード攻撃への対応を学びます。学習すべき重要なキーワードは、ドライブバイダウンロード攻撃、脆弱性修正プログラムの管理、プロキシサーバによる通信制御、そしてSSHを用いたセキュアなファイル転送です。これらはインターネット接続システムを安全に設計し運用するために不可欠な知識です。 ドライブバイダウンロード攻撃は、Webサイトの閲覧だけでPCにマルウェアを感染させる手法です。これを防ぐためには、ソフトウェアに脆弱性修正プログラムを適切に適用する管理が重要になります。また、プロキシサーバを利用したURLフィルタリングなどで不正な通信を制御し、システム更新にはSSHのような暗号化技術を用いて安全な通信経路を確保し、全体の安全性を高めることが求められます。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処

今回の動画では、平成26年春期午後2問1を題材に、クレジットカード情報保護の国際的セキュリティ基準であるPCI DSSについて学習します。特に、クレジットカード番号であるPANの適切な取り扱い方針、データベースにおける複数の暗号化方式の比較、さらに無線LAN環境における不正なワイヤレスアクセスポイントの検出手法など、実務に即したセキュリティ対策の考え方を詳しく解説していきます。 PCI DSSはクレジットカード会員データを安全に取り扱うためのセキュリティ基準です。会員データの中で最も重要なPANは、業務上の必要最小限の利用に留め、保存する際は暗号化による保護が求められます。データベースの暗号化にはディスク全体や表・列単位の方式があり、要件に応じて選択します。また、情報漏えいを防ぐため、定期的なアクセスポイントの検出などネットワークの監視も重要となります。 情報処理安全確保支援士試験 #情報

情報処理安全確保支援士試験の平成26年春期午後Ⅰ問3では、ネットバンキングを狙うマルウェア攻撃と対策を学びます。学習すべき主なキーワードは、利用者を偽サイトへ誘導する「フィッシングサイト」と、ブラウザに介入し送金内容を改ざんする「Man-in-the-Browser」攻撃です。また、これらの攻撃を防ぐための「二要素認証」や「送金内容認証」の仕組みも重要になります。 フィッシングサイトは正規のサイトを装って利用者のIDやパスワードなどの認証情報を盗み出す偽のウェブサイトです。Man-in-the-Browserは利用者の端末内のブラウザに直接介入し、画面上の表示は正常なまま裏で送金先や金額を書き換える攻撃手法です。これらを防ぐ対策として、異なる2つの要素を組み合わせる二要素認証や、送金内容が改ざんされていないか検証する送金内容認証が有効です。 情報処理安全確保支援士試験 #情報処理安全確保支

平成26年春期午後Ⅰ問2では、標的型攻撃の入口対策として重要な電子メールのセキュリティ対策を学習します。具体的には、迷惑メール対策装置を用いたブラックリストやホワイトリストの運用、送信元ドメインのなりすましを防ぐSPFの仕組みが主要なキーワードです。また、FW等によるSMTP通信の適切な経路制御方法についても学びます。 迷惑メール対策では、送信元IPアドレスやドメイン名、本文中のURLなどをリスト化し受信可否を判定します。SPFは送信元IPがDNSに登録された正規のものかを確認する技術ですが、送信者が正当にドメインを取得した場合は防げない限界があります。そのため、プロキシサーバのURLフィルタリング等と組み合わせた多層的な設計が求められます。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

平成26年春期午後Ⅰ問1では、Webアプリケーションのファイルアップロード機能における脆弱性対策を学びます。具体的には、HTTPヘッダのRefererフィールドが原因となるセッションID漏えいのリスクや、拡張子判定による不正ファイルの制限方法を学習します。さらに、ソースコードレビューを通じた静的解析により、整数オーバフローが引き起こすバッファオーバフローの仕組みと防止策について理解を深めます。 Refererはリンク元の情報を伝えるものであり、クエリパラメータにセッションIDを含めると外部に漏えいする危険があります。拡張子判定はブラウザのスクリプトを無効化された場合でも機能するようにWebアプリケーション側で行います。整数オーバフローは計算結果が変数の上限を超える現象であり、これにより確保したメモリ領域を越えてデータを書き込むバッファオーバフローの脆弱性を作り込んでしまいます。 情報処理安

本動画では平成25年春期試験午後Ⅱ問2を題材にメールセキュリティの必須知識を解説します。学習する主なキーワードは、オープンリレー対策、NTPやDKIMなどの送信ドメイン認証、POP before SMTP、エンベロープとヘッダの違い、アーカイブタイムスタンプ、そして最新のゼロトラスト技術です。 オープンリレーは迷惑メールの踏み台を防ぐ転送ルールのことです。DKIMやDMARCはデジタル署名等でなりすましを防ぎます。POP before SMTPはIPアドレスを過信するため現在は非推奨です。メールの宛先の真実は偽装可能なヘッダではなくエンベロープにあります。電子データの長期保存にはアーカイブタイムスタンプによる延長リレーが重要です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

本動画では、過去問からWebアプリのセキュリティを解説します。学習すべきキーワードは、情報資産を守る機密性、WAFとIPSの守備範囲の違い、マルチスレッドが引き起こすデータ不整合であるレースコンディション、データ更新時の排他制御である楽観的ロック、そして最新のマイクロサービス設計におけるSagaパターンです。 機密性とは許可された人だけが情報を見られることです。WAFはWebアプリ層、IPSはネットワーク層を防御します。レースコンディションは複数スレッドの同時アクセスでデータが上書きされる事象です。楽観的ロックは更新時に他者が変更していないかを確認し不具合を防ぎます。Sagaパターンは複数サービス間で取り消し処理を行い、最終的なつじつまを合わせる現代の設計手法です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

情報処理安全確保支援士試験対策として、平成25年春期午後I問4を題材に情報漏えい対策の基本から実践までを学びます。本動画で押さえておくべき重要なキーワードは、営業秘密の3要件、インシデント調査で必須となるディジタルフォレンジックス、通信経路を確保する強制トンネリング、そしてゼロトラスト環境におけるデータ保護手法であるIRMです。これらを理解することで実践的な対策能力が身につきます。 営業秘密の3要件は、秘密として管理され、有用な情報であり、公然と知られていないことを指します。ディジタルフォレンジックスは、インシデント発生時に法的証拠性を保ちながらデータを保全し解析する技術です。強制トンネリングは社外端末からの通信を直接外部へ出さず全てVPN経由で社内網を通し監視下に置く構成です。IRMはファイル単位で暗号化とアクセス権を紐付ける保護手法です。 情報処理安全確保支援士試験 #情報処理安全確保

情報セキュリティスペシャリスト試験の過去問を徹底解説します。本動画では、リモートアクセス環境の設計で重要となる「VDI（仮想デスクトップ）」と「VPN」の違いや、「シンクライアント」特有のセキュリティリスク、さらには「シングルサインオン（SSO）」の弱点や最新の「ゼロトラスト（ZTA）」の概念まで、試験で狙われやすい重要キーワードを網羅して学びます。 VDIは端末にデータを残さず画面転送のみを行うため情報漏えいリスクを低減できますが、再起動で初期化される書込み制限の仕様や、SSOによるなりすまし時の影響範囲の拡大といった特有の課題があります。一方VPNは端末にデータが残るためハードディスク暗号化が必須です。これらの境界防御の弱点を理解すれば、全てのアクセスを検証する最新のゼロトラストの必要性も深く理解できます。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [

平成25年春期・午後Ⅰ問題2を題材に、化学メーカを狙ったサイバー攻撃の全貌を紐解きます。学習する主なキーワードは、DNSキャッシュポイズニング、SPFを用いたメール送信ドメイン認証、ファイアウォールでのIPアドレス詐称対策です。さらに、DNSSECやソースポートランダマイゼーション、DoHによる最新の監視の盲点についても解説します。 DNSキャッシュポイズニングは、コネクションを確立しないUDPの弱点を突き、偽の応答を送りつけてDNSサーバのキャッシュを汚染する攻撃です。攻撃者はこの手法でSPFレコードを書き換え、偽装メールを受信させようとします。対策として、ポート番号をランダム化するソースポートランダマイゼーションや、外部から来るはずのない内部IPを送信元とする通信の拒否が有効です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.

本動画では、情報セキュリティスペシャリスト試験の過去問を通して標的型サイバー攻撃の手口と対策を学びます。学習すべきキーワードは、複数マルウェアの巧妙な連携、物理的隔離を突破するUSBの悪用、パック処理やタイムスタンプの変更といった隠蔽工作です。また、EDR、ゼロトラストアーキテクチャ、DGAなど、2026年現在の最新動向についても同時に学習します。 攻撃者は侵入から機密情報の窃取まで、複数のマルウェアを連携させて攻撃を実行します。その過程でパック処理によるコードの隠蔽やタイムスタンプの偽装を行い、検知を逃れます。過去の静的な対策や物理的隔離だけでは最新の脅威を防ぐことは困難です。通信先を動的に変更するDGAなどの攻撃に対しては、EDRによる振る舞い検知やゼロトラストに基づく動的な防御策が不可欠となります。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ ww

本動画では、情報セキュリティ試験の過去問を通じて、セキュリティ実務で必須となる重要キーワードを学習します。具体的には、個人端末を業務利用するBYOD、端末を一元管理するMDMやアプリ単位で管理するMAM、紛失時対策のリモートワイプ、境界防御から進化し直接認証を行うゼロトラストなどの概念について解説します。 BYODは利便性向上の反面、情報漏えいや不正アプリのリスクが伴うため、MDMによる保護設定やリモートワイプの活用が不可欠です。さらに近年はMAMを用いて業務と個人のデータをコンテナ化して分離したり、VPNを使わず直接認証を行うゼロトラストを導入したりするなど、より洗練された対策へと進化しています。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

本動画では、標的型攻撃におけるラテラルムーブメントや通信を盗聴するARPスプーフィングといったキーワードを学習します。また、インシデント初動対応の要となる証拠保全や、遠隔操作を行うC&Cサーバについても解説します。さらに2026年の最新事情として、標準ツールを悪用する環境寄生型攻撃や、端末の振る舞いを監視するEDRなど、高度化する脅威への対策も押さえます。 標的型攻撃では侵入後にARPスプーフィングで通信を盗聴し横展開します。初動対応は証拠保全が鉄則でファイル削除は厳禁です。またマルウェアに指令を出すC&Cサーバのログ解析も重要です。近年は暗号化や標準ツールを悪用する環境寄生型攻撃が増加しており、従来の境界防御だけでなくPC上の不審なプロセスを監視するEDRの導入が不可欠な対策です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.c

本動画の学習キーワードは、追加認証の「登録・運用手順」、長期間有効な「クッキー」によるセッション管理の落とし穴、SaaS利用時の「BCP」と「責任共有モデル」、最新の「パスキー」です。試験で狙われる認証の罠やクラウドのデータ保全を学べます。 追加認証は管理者が直接本人確認を行う運用が重要です。セッション管理ではクッキーの有効期限に注意し、端末紛失時は即座にパスワードを変更して無効化します。SaaSのBCPはデータ保全が利用者の責任となるため、手元への定期バックアップが鉄則です。パスキーでも端末紛失時はサーバ側の公開鍵を削除する管理が求められます。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

本動画ではスマートフォンのアプリに潜む脆弱性について過去問をもとに解説します。学習すべき重要なキーワードは、端末識別番号による認証のリスク、リバースエンジニアリング、過剰なデータ送信を防ぐ設計、安全でない直接的オブジェクト参照、そして認証と認可の違いです。 端末固有の識別番号は偽装が容易で秘密情報の代わりになりません。アプリ内に暗号鍵を隠してもリバースエンジニアリングで抜き取られます。不要なデータはサーバに送らずアプリ内で処理する原則が重要です。さらに、ログインの認証だけでなく、データへのアクセス権限を確認する認可のチェックを実装する必要があります。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ www.youtube.com]

本動画では、Webセキュリティの根幹となるXSS（クロスサイトスクリプティング）の仕組みと対策を学習します。特に出力先となる攻撃コンテキストの違い、データベースを経由して発火する蓄積型XSS、URLのスキーム検証やJavaScriptの動的生成における脆弱性といった重要キーワードを取り上げます。現代の開発環境にも通じる本質的な防御の考え方を身につけましょう。 XSSは悪意のあるスクリプトをブラウザで強制的に実行させる攻撃手法です。対策の基本は特殊文字を無害化するエスケープ処理ですが、出力場所であるコンテキストによって適切な防御策は変化します。例えばURL属性ではエスケープだけでは不十分であり、安全なスキームのみを許可する厳格な検証が必要です。さらにデータベースの汚染データから発火する攻撃にも注意を払う必要があります。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試

今回の動画では、午後II問2を題材に、無線LAN環境の構築とそれに伴うセキュリティ対策について学習します。主なキーワードとして、通信の暗号化規格であるWPA2や、動的に鍵を交換するIEEE802.1X認証、クライアント証明書を用いる強固なEAP-TLSが挙げられます。また、MACアドレスフィルタリングやSSIDのステルス化など不正利用を防止する技術的な対策も取り上げます。 無線LANを安全に導入するためには、情報の特性や利用エリアを踏まえた対策が不可欠です。通信の傍受を防ぐためには暗号化が必須であり、端末の正当性を確認するためには証明書を用いた厳格な認証が有効です。一方でMACアドレスの偽装やSSIDの傍受といったリスクも存在するため、一つの対策に依存せず、運用規程の見直しやファイアウォールの適切な設定を組み合わせる必要があります。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #

この動画では、データマネジメント試験で重要となる4つの必須キーワードについて学習します。データ資産の情報をまとめたデータカタログ、データ品質を評価するデータプロファイリング、重複登録を防ぐルールである一意性制約、データが存在しない状態を示すNULLです。これらを理解することで、システムの表層的なバグと本質的なガバナンス課題を見分ける力を養うことができます。 データカタログは組織内のデータ資産の所在や定義、責任者などを一覧化した辞書であり分析前に確認すべきものです。データプロファイリングは実際のデータの中身を確認し品質を統計的に評価する作業です。一意性制約はデータベース内で同じ値が重複登録されないようにするルールでID等に設定されます。NULLはデータが未入力の状態のことであり、結合キーにするとデータ漏れが発生する原因となります。 データマネジメント試験 #データマネジメント #情報処理技術

情報セキュリティスペシャリスト試験の平成24年秋期午後Ⅱ問1の過去問解説動画です。この動画ではWebサイトの脆弱性診断と対策をテーマに実践的な知識を学びます。特に押さえるべきキーワードはブルートフォース攻撃、SSHのポートフォワーディング、クロスサイトスクリプティング、セッションIDの固定化です。Webアプリの開発や運用において安全性を高めるための必須知識となります。 ブルートフォース攻撃は全てのパスワードを試行し不正ログインを狙う手口で、秘密鍵を用いたSSHポートフォワーディングによる対策が有効です。また、悪意のあるスクリプトが埋め込まれるクロスサイトスクリプティングや、攻撃者が用意したセッションIDを利用者に使わせるセッションIDの固定化など、Web特有の脆弱性が生じる原因や具体的な修正方法といった対策プロセスを深く理解できます。 情報処理安全確保支援士試験 #情報処理安全確保支援士

今回の動画では、平成24年秋期午後I問4の過去問をもとに、情報セキュリティにおけるインシデント対応プロセスとログ分析技術について学習します。複数のネットワーク機器のログから攻撃の検知や原因の特定を行う手法や、X-Forwarded-Forヘッダを用いた通信元の追跡など、試験対策に必須となる対応能力を身につけるための重要なキーワードを取り上げて解説します。 インシデント対応とは、異常の検知から内容の把握、一時的な封じ込め、根本原因の解決、再発防止に向けた運用強化までの一連のプロセスのことです。ログ分析では、ファイアウォールやIDS、Webサーバなど複数機器のログを連携させた相関分析が重要になります。特に、ロードバランサを経由した通信において本来の送信元IPアドレスを特定するため、X-Forwarded-Forヘッダを利用する手法が問われます。 情報処理安全確保支援士試験 #情報処理安全確保支

平成24年秋期午後I問3で学習すべきキーワードは、標的型攻撃への対応と送信ドメイン認証技術（SPF）です。不審なメールを検知するためのインシデント分析技術や、メールアドレスの偽装を防ぐためのSPFの仕組みであるメールエンベロープのMAIL FROMコマンドによる検証方法が含まれます。また、マルウェア感染後のバックドア通信を防ぐ出口対策に関する知識も重要な学習ポイントとして挙げられます。 標的型攻撃は特定の組織を狙う手法で、巧妙な偽装メールが使われます。送信ドメイン認証のSPFは、メール受信時に送信元のIPアドレスとDNSに登録されたSPFレコードを照合し、正当な送信者かを判定する技術です。この判定にはメールエンベロープのMAIL FROMで指定されたアドレスが使われます。さらに、万が一マルウェアに感染した場合に備え、外部への不正通信を遮断する出口対策も欠かせない要素です。 情報処理安全確保

平成24年秋期午後I問2では「ログのモニタリング」が重要な学習キーワードです。システムにアクセス権をもつ利用者による個人情報の漏えいや不正な利用を検出するため、ログから不審なアクセスやその予兆を抽出するプロセスを学びます。また、期待通りに機能させるためには、定期的に業務内容の変化を確認し、モニタリングの有効性と効率性を維持し続ける能力も問われます。 ログのモニタリングとはシステム利用のログを分析し、情報漏えいなどにつながる不審な利用がないか確認する仕組みです。適切に行うためには個人のアクセス頻度などの具体的な抽出条件を設定します。また、実施を社内に通知して悪意ある行動を抑止しつつ、回避されないよう条件は非公開にします。さらに、業務の変化に合わせて定期的に関係者へヒアリングを行い、条件を見直す継続的な運用が必要です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験

平成24年春期午後2問2では、企業におけるBYOD（個人所有端末の業務利用）とクラウドサービスの導入に伴うセキュリティ対策を学びます。SaaS利用時のリスク評価やアカウント管理、スマートフォンなどの携帯端末による情報漏えい対策が重要です。また、貸与PCから私物端末を経由した未許可の通信経路を塞ぐ技術的対策や、セキュリティポリシの適切な改定も、本問題を理解する上で不可欠なキーワードとなります。 BYODは従業員の私物端末を業務に活用する仕組みで、利便性が高い反面、紛失や端末の不正改造による情報漏えいリスクが伴います。クラウド利用時はサービス形態に応じた管理主体を理解し、適切なリスク評価を行うことが不可欠です。さらに、私物端末をアクセスポイントとして悪用し社内管理を迂回する通信を防ぐため、PCの無線LAN機能の無効化といった技術的対策とポリシの徹底を実施する必要があります。 情報処理安全確保支

本動画では、平成24年春期午後Ⅱ問1を題材に、インターネット向けサーバの災害対策に関する重要キーワードを学習します。具体的には、災害復旧システムの構築要件、DNSキャッシュの仕組みと切替え時の注意点、迷惑メール対策技術であるSPFの設定、プロキシサーバやSSL・SSHなどのセキュアな通信プロトコルの活用といった、試験対策に直結する実践的な情報セキュリティ知識を押さえていきます。 災害復旧システムは有事の業務継続を担保するため、平時から切替え手順を設計することが不可欠です。切替えの際、DNSの古いキャッシュが残ることで発生する通信障害や、SPFの設定不備による正規メールのスパム判定などの落とし穴に注意が必要です。また、プロキシを用いた通信制御や、遠隔操作時のSSH利用など、ネットワーク境界と通信経路における安全確保の実践的な運用方法について理解を深めます。 情報処理安全確保支援士試験 #情報

この動画では、平成24年春期情報セキュリティスペシャリスト試験の午後Ⅰ問4を題材に、標的型攻撃への対策とインシデント対応について解説します。特に学習すべき重要なキーワードは、「標的型攻撃メール」「インシデント対応」「証拠保全」の3つです。実際のネットワーク環境を想定した演習を通じ、攻撃の手口や発覚時の初動対応、証拠を保全しつつ原因を特定するプロセスを実践的に学べる内容となっています。 標的型攻撃メールは、業務関連を装いウイルス対策ソフトをすり抜けるよう偽装した添付ファイルで特定の組織を狙う手法です。インシデント対応では、異常検知時の迅速なネットワーク遮断や、通信のログを用いた不正なプログラムの特定などが求められます。証拠保全は、事後調査のために感染した端末の複製を作成し、安全な環境で解析や必要なファイルの抽出を行う上で不可欠なプロセスとなります。 情報処理安全確保支援士試験 #情報処理安全

本動画では、平成24年春期午後Ⅰ問3の過去問解説を通じて、保守作業における証跡確保の重要性と対策手法を学びます。特に学習すべきキーワードとして、ログの改ざん検知に用いるハッシュ関数のSHA-256やメッセージダイジェスト、各サーバに導入して操作を記録するエージェントモジュール、アクセス制御やログ取得の拠点となる中継サーバについて取り上げます。 保守作業の操作ログを取得する際、証跡の信頼性を保つためにメッセージダイジェストを用いた改ざん検知の仕組みが必要になります。ログの収集方式には、対象となるサーバに直接プログラムを導入するエージェントモジュール方式と、経路上に中継サーバを設置して利用者のリモート操作を監視する方式が存在します。これらを適切に実装し、外部委託先による機密ファイルの不正操作などを未然に防ぎます。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [

本動画では、平成24年春期午後Ⅰ問2を題材に、Webサーバのアクセスログ分析とセキュリティ対策について学習します。主なキーワードは、データベースを不正操作する「SQLインジェクション」、ブラウザ機能を拡張する「プラグイン」、独自暗号を解読する「選択平文攻撃」、不正ログイン対策の「アカウントロック」です。インシデント発生時の調査や適切な対応方法を理解しましょう。 SQLインジェクションは、入力値に不正なSQL文を紛れ込ませてデータベースを改ざんしたり情報を盗み出したりする攻撃です。また、パスワードの保護において、公的な評価を受けていない独自の暗号アルゴリズムは、選択平文攻撃などによって解読されるリスクが高いため推奨されません。不正ログインの試行に対しては、一定回数失敗したアカウントをロックする対策が有効です。 情報処理安全確保支援士試験 #情報処理安全確保支援士 #情報処理技術者試験 [ w

本動画では、平成24年春期情報セキュリティスペシャリスト試験午後I問1を題材に、Webアプリケーションの脆弱性対策における重要キーワードを解説します。具体的には、セッションハイジャックを防ぐための「secure属性」の設定や、クロスサイトスクリプティング攻撃を防ぐために出力文脈に合わせて適切な文字置き換えを行う「エスケープ処理」といった、セキュアプログラミングの基礎を学習します。 secure属性は暗号化通信時のみクッキーを送信させる設定で、セッションID盗聴を防ぐために不可欠です。エスケープ処理はユーザー入力値をブラウザがスクリプトとして解釈しないよう無害化する処理です。通常のHTML内とスクリプト内で必要な処理が異なるため、出力文脈を正確に把握し、バックスラッシュやシングルクォートなどを適切に変換する動的なスクリプト生成の知識が求められます。 情報処理安全確保支援士試験 #情報処理安全