応用情報技術者試験 午前「情報セキュリティ」の練習問題10問です。ブロック暗号の利用モード、チャレンジレスポンス認証、アクセス制御モデル（MAC・DAC・RBAC）、WAFと侵入検知・防御、SQLインジェクション対策に加え、ハッシュ関数とデジタル署名・公開鍵基盤（PKI）、多要素認証とシングルサインオン、ネットワークへの攻撃、Webアプリ攻撃対策（XSS・CSRF）、標的型攻撃とゼロトラスト・多層防御など、応用情報レベルで問われやすいテーマを集めました。
応用情報の午前セキュリティは「似た仕組みの違いを言えるか」で決まる
この分野は、用語の名前を覚えただけでは得点になりません。出題の多くは、役割や仕組みがよく似た二つ・三つを並べ、どこが決定的に違うかを選ばせます。ITパスポートや情報セキュリティマネジメント試験が「それは何をするものか」を問うのに対し、応用情報は一段踏み込み、動作の順序・使う鍵・防御が効く層まで区別させます。したがって、対策は用語を単独で暗記するのではなく、「似て非なるもの」をペアや三つ組で束ねて押さえるのが近道です。
下の対応表は、この10問で扱う取り違えやすい組を、見分けの決め手とともに並べたものです。選択肢を読むときは、この決め手のどこをずらして誤りを作っているかに注目すると、正誤の判断が速くなります。
| 取り違えやすい組 | 見分けの決め手（ここがずれると誤答になる） |
|---|---|
| ECB／CBC／CTRモード | ECBは同じ平文が同じ暗号文になりパターンが露呈する。CBCは直前の暗号文と連鎖させてパターンを隠す。CTRはカウンタ値を使いストリーム暗号的に動く |
| MAC／DAC／RBAC | 権限を「誰が」決めるか。MACは組織のポリシーが強制し、DACは資源の所有者の裁量で決め、RBACは役割に権限を紐づける |
| WAF／IDS／IPS | WAFはアプリケーション層の通信を検査して遮断する。IDSは検知して通知するだけで止めない。IPSは検知に加えて遮断まで行う |
| ハッシュ／デジタル署名／公開鍵証明書 | ハッシュは完全性の検証に使う。署名は秘密鍵で付け公開鍵で検証し否認防止を実現する。証明書は認証局がその公開鍵の持ち主を保証する |
| XSS／CSRF／SQLインジェクション | XSSはブラウザ上でスクリプトを実行させる（対策はエスケープ）。CSRFは意図しない操作を強制する（対策はトークン）。SQLインジェクションはSQL文を改変する（対策はプレースホルダ） |
| DoS／DDoS・DNSキャッシュポイズニング・ARPスプーフィング・中間者攻撃 | DDoSは多数の端末から高負荷を送りサービスを止める。DNSキャッシュポイズニングは名前解決を偽り誘導する。ARPスプーフィングはMACアドレスの対応を偽装する。中間者攻撃は経路に割り込んで盗聴・改ざんする |
午前でこの区別が曖昧なままだと、午後の記述問題で行き詰まります。午前は「プレースホルダ」という語を選べれば正解になりますが、午後では「入力値をSQL文の構造から切り離すから安全になる」という理由まで書かせます。攻撃と防御を〈なぜそうなるか〉で解く習慣が、そのまま午後の得点力に直結します。まずは10問で、自分がどの組を取り違えやすいかを確かめてください。つまずいた組は、解説の末尾リンクから関連記事へ進み、なぜそうなるかまで押さえ直しましょう。
Q1. 共通鍵によるブロック暗号の利用モードに関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
CBC（Cipher Block Chaining）モードは、直前の暗号文ブロックと今回の平文ブロックを排他的論理和（XOR）で結合してから暗号化する連鎖方式です。これにより、同じ平文ブロックが繰り返し現れても暗号文は毎回変わり、ECB（Electronic Codebook）モードで問題となる「同一平文が同一暗号文になりパターンが露呈する」弱点を緩和できます。先頭ブロックには初期化ベクトル（IV）を用います。
A はECBの性質を逆に説明したうえ用途も不適切、B はCBCを独立暗号化（ECBの性質）と取り違え、D はCTR（カウンタ）モードがカウンタ値を鍵ストリームに用いるストリーム暗号的な動作をする点を否定しており、いずれも適切ではありません。
Q2. パスワードを平文でネットワークに流さないチャレンジレスポンス認証の仕組みの説明として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
チャレンジレスポンス認証は、サーバが毎回異なるランダム値（チャレンジ）を送り、利用者側がそのチャレンジとパスワードから導いた秘密情報をもとにレスポンス（ハッシュ値など）を計算して返す方式です。パスワードそのものはネットワークを流れず、チャレンジが毎回変わるため、通信を盗聴して同じ応答を再送するリプレイ攻撃を受けにくいという利点があります。
B はパスワードを平文送信する点でチャレンジレスポンスの目的に反し、C は固定値のため盗聴・再送に弱く、D は生体認証の説明でチャレンジレスポンスの定義ではないため、いずれも適切ではありません。
Q3. アクセス制御モデルである強制アクセス制御（MAC）・任意アクセス制御（DAC）・ロールベースアクセス制御（RBAC）の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
MAC（Mandatory Access Control・強制アクセス制御）は、資源と利用者に付与したセキュリティラベル（機密度）に基づき、組織のポリシーでアクセスを強制的に制御する方式で、個人の裁量で権限を変更できません。DAC（Discretionary Access Control・任意アクセス制御）は、資源の所有者の裁量でアクセス権を設定できる方式です。RBAC（Role-Based Access Control）は、業務上の役割（ロール）に権限を紐づけ、利用者にはロールを割り当てる方式で、権限管理を整理しやすくします。
A はMACとDACの説明が逆、B もDACとMACが逆、C はRBACがロールを用いない方式という誤りで、いずれも適切ではありません。
Q4. ネットワークセキュリティ機器であるWAF・IDS・IPSの役割の説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容（アプリケーション層）を検査し、SQLインジェクションやクロスサイトスクリプティングなどの不正なリクエストを遮断する機器です。IDS（Intrusion Detection System・侵入検知システム）は不正な通信や攻撃の兆候を検知して通知するのが主な役割で、IPS（Intrusion Prevention System・侵入防止システム）は検知に加えて該当通信の遮断まで自動で行う点が違いです。
A はWAFをパケットフィルタリング専用とする誤り、C はIDSとIPSの役割が逆、D は復号できる構成（リバースプロキシ型WAFなど）で実際に機能するため、いずれも適切ではありません。
Q5. WebアプリケーションにおけるSQLインジェクション対策として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
SQLインジェクションは、利用者の入力値をそのままSQL文に連結することで、攻撃者が意図しないSQLを実行させ、データの不正取得や改ざんを招く攻撃です。最も有効な対策はプレースホルダ（プリペアドステートメント）を用いて、SQL文の構造と入力値（パラメータ）を明確に分離することです。これにより入力値がSQLの命令として解釈されなくなります。あわせて、入力値の検証や、データベース接続アカウントへの最小権限の付与を組み合わせると、被害の抑制につながります。
B は脆弱なコードそのもの、C はHTTPS暗号化と入力値処理は別問題でSQLインジェクションを防げない、D は最小権限の原則に反し被害を拡大させるため、いずれも適切ではありません。
Q6. ハッシュ関数・デジタル署名・公開鍵基盤（PKI）に関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
ハッシュ関数は、任意長の入力から固定長のハッシュ値を求める一方向性の関数で、ハッシュ値から元のメッセージを逆算するのは困難です。メッセージの完全性検証に使われます。デジタル署名は、送信者が自分の秘密鍵でメッセージのハッシュ値を暗号化して付与し、受信者は送信者の公開鍵で検証します。これにより改ざん検知（完全性）と否認防止を実現します。そして、その公開鍵が確かに本人のものであることは、認証局（CA）が発行する公開鍵証明書によって保証されます。これらを支える基盤を公開鍵基盤（PKI）と呼びます。
A はハッシュ関数の一方向性を否定する誤り、B は署名生成と検証で使う鍵が逆（生成は秘密鍵・検証は公開鍵）、C は公開鍵証明書が認証局による保証を含む点に反するため、いずれも適切ではありません。
Q7. 多要素認証とシングルサインオン（SSO）に関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
多要素認証は、認証の3要素である「知識情報（パスワードなど）」「所持情報（スマートフォンやICカードなど）」「生体情報（指紋や顔など）」のうち、異なる種類の要素を2つ以上組み合わせて本人確認を強化する方式です。シングルサインオン（SSO）は、一度の認証で複数のサービスを利用できるようにする仕組みで、SAMLやOpenID Connectなどが使われます（OpenID Connectは認証の連携、OAuthは認可の委譲を担います）。
A は同じ知識情報を2つ重ねても多要素にならない（要素の種類が同じ）ため誤り、C はサービスごとに毎回入力させるSSOの目的に反する誤り、D はOAuth・OpenID Connectが認証・認可の連携の仕組みである点に反するため、いずれも適切ではありません。
Q8. ネットワークへの攻撃手法であるDoS／DDoS・DNSキャッシュポイズニング・ARPスプーフィング・中間者攻撃の区別として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
DoS／DDoS攻撃は、大量の通信や処理を送りつけてサービスを停止・低下させる攻撃で、多数の端末から分散して行うものをDDoS（分散DoS）と呼びます。DNSキャッシュポイズニングは、DNSサーバに誤った名前解決情報を覚え込ませ、利用者を偽サイトへ誘導する攻撃です。ARPスプーフィングは、偽のARP応答を送ってIPアドレスとMACアドレスの対応を偽り、通信を横取りする攻撃です。中間者攻撃は、通信経路に割り込んで両者の通信を盗聴・改ざんする攻撃です。
A はDDoSが多数の端末から大量の通信を送る攻撃である点に反する誤り、B はDNSキャッシュポイズニングを総当たり攻撃と取り違えた誤り、D は中間者攻撃が第三者の通信に割り込む点に反する誤りであるため、いずれも適切ではありません。
Q9. Webアプリケーションへの攻撃であるクロスサイトスクリプティング（XSS）とクロスサイトリクエストフォージェリ（CSRF）の違いと対策として、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
クロスサイトスクリプティング（XSS）は、Webページに不正なスクリプトを埋め込み、それを閲覧した利用者のブラウザ上で実行させる攻撃です。対策は、利用者の入力や画面への出力に対するエスケープ処理（無害化）が基本となります。クロスサイトリクエストフォージェリ（CSRF）は、ログイン中の利用者になりすまして、本人が意図しない処理（設定変更や送金など）をWebアプリに実行させる攻撃です。対策には、推測困難なトークンをリクエストに付与し、サーバ側で正当なリクエストかを検証する方法が有効です。
B はXSSをランサムウェアと取り違えた誤り、C はCSRFをXSSと取り違え対策も不正確な誤り、D は通信の暗号化とこれらの攻撃対策は別問題であるため、いずれも適切ではありません。
Q10. 標的型攻撃への備えとなるゼロトラストと多層防御の考え方として、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
標的型攻撃は、特定の組織や個人を狙い、業務メールを装うなどして執拗に侵入を試みる攻撃です。外部との境界で防ぐ境界防御だけでは防ぎきれないため、近年は侵入を前提とした備えが重視されます。ゼロトラストは「社内だから信頼する」を前提とせず、すべてのアクセスを都度検証する考え方です。多層防御は、対策を何重にも重ねて1つ突破されても次で食い止める考え方です。さらに、端末上の不審なふるまいを検知・対応するEDRなどを組み合わせ、侵入後の被害拡大を抑えます。
A は標的型攻撃が特定組織を狙う点に反する誤り、B はゼロトラストが内部通信も検証する考え方である点に反する誤り、C は多層防御が防御を何重にも重ねる考え方である点に反する誤りであるため、いずれも適切ではありません。
関連する情報セキュリティの基礎を確認したい時は、インシデント対応とは や マルウェアとは も参考になります。
他の分野もまとめて力試ししたい時は、応用情報技術者 学習ロードマップから各分野の問題集へ進めます。試験全体の出題範囲や勉強の進め方を先に押さえたい場合は、応用情報技術者試験の入門ガイドが起点になります。