【令和5年秋期 午後】情報処理安全確保支援士 問題別・学ぶべき知識（XSS・端末認証・CI/CD防御・リスクアセスメント）

令和5年秋期 午後で問われたXSS・端末認証・CI/CD防御・リスクアセスメントの知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後 問１　Webアプリケーションプログラムの開発

• 攻撃・原因 → 影響（成立の流れ）

  起点：複数レビューへJavaScript断片とコメント記号を分割投稿

  攻撃の進行：一覧表示時に一つの格納型XSSとして連結実行

  結果・補足：CSRFトークンを取得し、document.cookieを偽画像として同一サイトへアップロードする

• 対策・確認

  レビュータイトルは保存時ではなくHTMLへ出力する文脈でエスケープし、セッションCookieにHttpOnlyを付けてJavaScriptから読めなくする。

  同一生成元ポリシーだけでは同一サイト内アップロード経由の持出しを防げない

  設問別の補足知識（全4設問）

  設問1：

  (1) 攻撃者が投稿した悪性スクリプトがデータベースに保存（格納）され、他の会員がレビューページを閲覧した際にHTML内に出力・実行されるため「格納型XSS（Stored XSS）」です。

  (2) レビュータイトルなどのユーザー入力値をHTML内に出力する際、特殊文字（<, >, &, ", '等）をHTMLエンティティにエスケープ（無害化）します。

  設問2：

  50字の入力制限を回避するため、レビュータイトルの各入力欄に /* や */ を用いたJavaScriptコメントアウトを挿入し、複数件の投稿にまたがる断片をブラウザ上で1つの連続したスクリプトとして連結・実行させました。

  設問3：

  (1) 会員プロフィールのHTMLからCSRF対策トークンを取得し、会員のdocument.cookie（セッションID）をファイルコンテンツとした偽画像オブジェクトを作成してアイコン画像アップロードAPIへ送信します。

  (2) 攻撃者は商品レビューページ等に表示されている被害会員のアイコン画像URLへアクセスしてダウンロードし、画像ファイルとして保存されたテキスト（セッションID）を抽出・復元します。

  (3) 盗み出したセッションIDを用いて被害会員のセッションをハイジャック（なりすまし）し、会員専用機能や注文処理などを不正実行します。

  設問4：

  別ドメイン上のスクリプトからWebアプリQ（○○○.co.jp）へのXHR非同期リクエストやCookieへの直接アクセスは、同一生成元ポリシー（Same-Origin Policy）やSameSite Cookie属性によって遮断されます。

午後 問２　セキュリティ対策の見直し

• 攻撃・原因 → 影響（成立の流れ）

  起点：私物PCが業務PCのMACアドレスを偽装

  結果・補足：従業員用無線LANへ接続し、許可済み送信元IPからクラウドへアクセスする。EAP-TLSで端末証明書を要求し、秘密鍵をTPMからエクスポート不可にする

• 対策・確認

  APと認証サーバ間はRADIUSを使い、来客VLANのNAT出口IPを業務LANと分離する。

  クラウド側は業務出口だけを許可し、FW・DHCP・DNSルールから不要な来客LAN経路を削除する

  設問別の補足知識（全3設問）

  設問1：

  (1) クラウドストレージ（Bサービス）への正規ログインに必要な認証情報は「利用者ID」と「パスワード」です。

  (2) ブラウザが検証する証明書エラーの主な原因として、「信頼された認証局（ルートCA）から発行されていないこと」および「証明書のサブジェクト（CN/SAN）とアクセス先ドメイン名が一致しないこと」が挙げられます。

  (3) HSTSが事前設定されているドメインに対しては、ブラウザが自動的にHTTPリクエストを内部でHTTPSリクエストに昇格（リダイレクト）して接続を試行し、偽サイトの証明書を受信して検証エラーを検知します。

  設問2：

  (1) Bサービスのファイル共有機能において、共有先（招待先）に私用メールアドレスを指定して共有リンクを発行することで、社外の私用端末からファイルを閲覧・ダウンロード可能にしてしまいます。

  (2) AP-5の従業員用無線LANはMACアドレスフィルタリングを行っているため、私用PCのMACアドレスを業務PCのMACアドレスに偽装（スプーフィング）して接続を試みます。

  設問3：

  (1) IEEE 802.1X/EAP認証において、認証スイッチ/APと認証サーバ間のバックエンド通信に用いられるUDPプロトコルはRADIUSです。

  (2) クライアント証明書（公開鍵）と対になる暗号鍵は「秘密鍵（プライベートキー）」です。

  (3) 秘密鍵をTPM（ハードウェアセキュリティモジュール）内に格納し「エクスポート不可（取り出し不可）」にすることで、私用PC等への秘密鍵コピーを防止します。

  (4) 個人所有PCにはクライアント証明書と秘密鍵が存在せず、TPMから抜き出すことも不可能なため、業務PC以外は従業員用無線LANに接続できなくなります。

  (5) Bサービス側で接続元IPアドレス制限を行っている場合、来客用VLANからのNAT送信元グローバルIPを業務PCと別系統に分けることで、来客用無線LANからのBサービスアクセスを拒否できます。

  (6) DルータがDNSキャッシュサーバ機能を提供するため、社内「DNS」サーバへの通信は不要となります。

  (7) 来客用VLAN（192.168.20.0/24）からのDHCPリレー通信（項番1）および不要となったルールを削除します。

午後 問３　継続的インテグレーションサービスのセキュリティ

• 攻撃・原因 → 影響（成立の流れ）

  起点：AiTM偽サイトがID・パスワード・TOTPをリアルタイム中継

  攻撃の進行：CIへログインし/procから環境変数のストアAPIキーと署名鍵を窃取

  結果・補足：正規署名した偽アプリを公式ストアへ公開する

• 対策・確認

  WebAuthnのオリジン署名で中継認証を拒否し、署名鍵はHSMから取り出せなくする。

  漏えい時はAPIキーとコード署名証明書を失効し、新証明書で再署名したアプリへ更新し、CAAとCTで不正証明書も監視する

  設問別の補足知識（全3設問）

  設問1：

  不審プロセスYは、外部C2サーバ（攻撃者サイト）との間でコネクトバック通信を行って遠隔命令を受信・実行（エ）し、インターネット上の外部サーバへの不正アクセスや情報送出を試行（ウ）するマルウェア/C2エージェントです。

  設問2：

  (1) リバースプロキシ型フィッシング（AiTM）等により、被害者が偽サイトに入力したID・パスワード・TOTPワンタイムパスワードをリアルタイムに中継して有効期限内（通常30秒）に正規サイトへログインしました。

  (2) 不正な証明書発行を検知・監査するための公開ログ基盤技術は「Certificate Transparency（CT、RFC 9162）」です。

  (3) TLS SNIに正規ドメイン（OSS配布サイト等）を指定し、HTTP Hostヘッダーに攻撃者C2ドメインを指定して検知やブロッキングを回避する手法は「ドメインフロンティング（Domain Fronting）」です。

  (4) Linux環境において、他プロセスの環境変数やメモリ情報は /proc/[PID]/environ などの仮想ファイルシステムから読み取ることができます。

  (5) WebAuthn（FIDO2）では、ブラウザと認証器がアクセス中ドメインのオリジン情報を署名に含めて送信し、サーバ側でオリジンの完全性を検証するため、偽サイトに認証情報を送っても正規ドメインへの不正ログインは成立しません。

  (6) ドメインに対する証明書の発行を許可する認証局（CA）をDNSレコードで指定するレコードは「CAA（Certification Authority Authorization）」レコードです。

  設問3：

  (1) 漏えいしたコードサイニング署名鍵（APP_SIGN_KEY）とストアAPIキー（STORE_API_KEY）を悪用し、悪意あるコードを仕込んだ偽のPアプリに正規の署名を施して公式Jストアに不正配信するサプライチェーン攻撃が懸念されます。

  (2) 漏えいしたSTORE_API_KEYを悪用されないよう、J社の開発者Webサイト管理画面から直ちに「削除（無効化）」します。

  (3) HSM内部で暗号化演算（署名生成）を行い、内部の秘密鍵を外部に取り出せない（エクスポート不可）ため、秘密鍵の漏えい・盗難を防止できます。

  (4) 影響: 旧コードサイニング証明書が失効されたため、既存のPアプリがOSの署名検証に失敗して起動できなくなります。 対応: 新しい証明書で再署名された最新版アプリへアップデート（更新）します。

午後 問４　リスクアセスメント

• 攻撃・原因 → 影響（成立の流れ）

  起点：百貨店を装う標的型メールの添付を開封

  攻撃の進行：未知マルウェアが配送管理PCから共有ID・パスワードを窃取

  結果・補足：社外からSサービスへログインし顧客情報を漏えいする、という脅威・脆弱性・影響を一続きに評価する

• 対策・確認

  SサービスはW社プロキシの送信元IPだけを許可し、PCではEDRの振る舞い検知、メール訓練、必要URLだけのプロキシ許可を組み合わせる。

  既存対策を差し引いた発生可能性と影響から残留リスクを再評価する

  設問別の補足知識（全3設問）

  設問1：

  ア：IDとPWの取扱いに関係する既存状況は，研修（10），不正の動機付け（11），共有PWのメール周知（12），机上の付箋（13）である。

  イ・ウ：貸与アカウントでは全Z情報を参照できるため被害は「大」。発生頻度「低」と表3を組み合わせると総合評価は「C」となる。

  エ：表1項番3のアクセス元制限を使い，W社プロキシのIPアドレスだけを許可すれば，社外からの不正ログインを防止できる。

  設問2：

  あでは，表2の状況と矛盾しない未知マルウェアの侵入経路を具体化する。いでは，侵入からZ情報の漏えいまでを途切れなくつなぐ。

  うは各経路に実際に関係する表2の項番だけを選ぶ。え・おを図3の基準で判定し，表3からかを決める。きは，選んだ攻撃経路を直接低減する追加策にする。

  公式例は標的型メール，水飲み場型，誘導メール経由の三つであり，状況設定と整合する別シナリオも認められる。

  設問3：

  a：誤送信による漏えいに関係するのは，メール対策（5），研修（10），共有PWのメール周知（12）である。

  b：脆弱性を踏み台にして課長PCへ侵入する経路には，マルウェア対策（2），パッチ適用（3），FWの通信制御（4）が関係する。