Getting your questions ready
Getting your questions ready
英語版クイズをもとにAIで日本語で作成しました。出典は日本語版ウィキペディアにリンクしています。
コンピュータセキュリティは、コンピュータシステムを災害や誤用、不正アクセスから守り、機密性・完全性・可用性を維持するための分野です。インターネットが普及した20世紀末以降、その重要性は飛躍的に高まりました。 このクイズでは、脆弱性や攻撃手法の名称、侵入検知システムやハニーポットといった防御の仕組み、日本の国家資格や民間資格、そして世界初の大規模ワーム事件として知られる1988年のモリスワームの経緯まで幅広く出題します。 IT業界で働く人も、これから学ぶ人も、基礎知識の確認にどうぞ。
全30問の答えと解説。クイズで遊ぶ
Q 01コンピュータセキュリティは、より広い何という分野の一部とされる？
情報セキュリティ
コンピュータシステムを災害、誤用、不正アクセスなどから守ることを指し、この語はしばしば安全性を保つための仕組みや技術そのものを指すのにも使われる。
Q 02修正ファイルのリリース前に脆弱性を突く攻撃を何という？
ゼロデイ攻撃
脆弱性と攻撃の種類には、このほかポートスキャン、盗聴、権限昇格攻撃、ソーシャル・エンジニアリング、トロイの木馬、ルートキットなどがある。
Q 03一般にセキュリティと相反する性質をもつとされるものは？
利便性
セキュリティ確保のために利用者が頻繁に認証を求められるとシステムは使いづらくなり、逆に要求しなければ情報が悪用される恐れがある、というジレンマである。
Q 04物理的セキュリティで応用される、指紋認証などの技術の総称は？
バイオメトリクス
ICカードと並んで応用されることが多い。古来の保安・警備に相当する物理的な対策は、コンピュータセキュリティ上は補完要素として重要とされる。
Q 05設計者の意図しない場面で不正利用を可能にする脆弱性を何という？
セキュリティホール
ソフトウエアが複雑になりすぎたことがこうした脆弱性を生む原因とされる。
Q 06セキュリティが維持すべき3要素は、機密性、完全性とあと一つは？
可用性
この3要素はハードウェア、ソフトウェア、データ、ネットワークのいずれについても維持することが求められる。
Q 07クラッカーを誘い込んで調査するためのおとりの設定を何という？
ハニーポット
1台のコンピュータをおとりにする仕組みで、ネットワーク1式を丸ごとおとりにする発展形も存在する。
Q 08格納領域をはみ出す大容量データを送り付けて誤動作させる攻撃は？
バッファオーバーフロー攻撃
サーバ停止など予期せぬ動作を引き起こさせる攻撃で、バッファオーバーランはクロスサイトスクリプティングやSQLインジェクションと並ぶ代表的な脆弱性とされる。
Q 09作成者によれば、モリスワームが書かれた本来の目的は？
インターネットの大きさを測る
損害を与える意図はなかったとされるが、1つのコンピュータに複数回侵入し、そのたびに起動されたプロセスが負荷となってマシンを利用不能にしてしまった。
Q 10初期のワーム「モリスワーム」の別名は？
インターネットワーム
数千台のマシンをサービス不能に追い込み、報道によって注目された世界初のワームと見なされている。
Q 11ネットワーク上の動作を監視し、侵入の試みを検知するシステムの略称は？
IDS
日本語では侵入検知システムと呼ばれる。防御用のツールにはほかにファイアウォール、サンドボックス、脆弱性検査ツール、アンチウイルスソフトウェアなどがある。
Q 12情報処理技術者試験を実施するIPAを所管する省庁は？
経済産業省
IPAは情報処理推進機構の略で、独立行政法人。応用情報技術者試験や基本情報技術者試験、ITパスポート試験などもこの試験制度に含まれる。
Q 13ロバート・T・モリスが1999年にMITで就いた職は？
准教授
ワーム事件の後の一時期、モリスは名前がネットに出ることを避け、Viawebのスナップショットには偽名で載っていた。
Q 14インターネットの歴史が始まったとされる年代は？
Q 21ISACAが認定する「公認情報システム監査人」の略称は？
CISA
同じISACAの資格に公認情報セキュリティマネージャーがある。シスコ技術者認定（CCNA、CCNP、CCIE）やLPICなども民間資格として挙げられる。
Q 22国家資格「情報処理安全確保支援士」が創設されたのは何年？
2017年
略称はRISS（登録情報セキュリティスペシャリスト）。従来の試験を登録制の名称独占資格に移行する形で創設された。
Q 23利用者側向けの試験「セキュマネ」が実施されているのは何年から？
2016年
ITエンジニア側ではなく利用者側を対象とする点が特徴。同じく利用者側の試験だった情報セキュリティアドミニストレータ試験は2008年まで実施されていた。
Q 24モリスワームがMITから放たれたのは1988年の何月何日？
1960年代
20世紀末にインターネットが普遍的に普及したことで、コンピュータセキュリティは非常に重要な課題となった。
Q 15中継点が確定されないため盗聴の恐れがあるとされる通信方式は？
パケット通信
電話網のような回線交換のシステムとの対比で語られる欠点。技術的には暗号化で対処でき、暗号技術は純粋数理であり高価な工作機械や稀少元素を必要としない。
Q 16使いやすさを損なわずにセキュリティを高める解の一例とされるシステムは？
シングルサインオン
こうした方法を見つけることがコンピュータ・セキュリティ研究の目標とされる。研究では暗号化方式や認証方式を道具として用いる。
Q 17インターネットなどの設計思想が前提にしているとされる考え方は？
性善説
従来のコンピュータシステムのほとんどが利便性を優先させたシステムであることと合わせて、セキュリティの改善がむずかしい理由とされる。
Q 18ノートパソコンのケンジントンロックの管理も含まれる物理的対策は？
筐体管理
パソコンの筐体カバーが開けられたことの検出・警報なども含む。操作者が端末を離れると自動的にロックされる離席ロック機構や、補助記憶装置への入出力制限機構も物理的対策の例。
Q 19モリスワームが既知の脆弱性を利用したUNIXのメール転送プログラムは？
sendmail
ほかにFingerプロトコルやrsh/rexecの脆弱性、推測しやすいパスワードも利用して動作した。
Q 20クラッカーを誘い込むためにネットワーク1式を用意する仕組みは？
ハニーネット
必ずしも実際のネットワークである必要はなく、仮想コンピュータと仮想ネットワーク上にも作られ、クラッカーからは仮想システムであることが分からない。
11月2日
作者ロバート・T・モリスは当時コーネル大学の学生だったが、起源を隠すためにMITから放った。
Q 252018年11月から中国国内で毎年開催されているハッキングコンテストは？
天府杯
中国ではセキュリティ研究者らが海外のハッキングコンテストに参加することを禁止しており、その代わりとして国内で開かれている。海外の著名イベントにはDEF CONやPwn2Ownがある。
Q 2619世紀末に国勢調査の集計のために誕生した機械は？
タビュレーティングマシン
センシティブな情報を機械が扱った歴史はコンピュータより古い。1940年代のコンピュータ誕生後しばらくして、センシティブな情報がコンピュータで扱われるようになった。
Q 27モリスワーム本体が侵入できた、DECのVAXと並ぶサン・マイクロシステムズの機種は？
Sun-3
いずれもBSD 4.xが動作する機種に限られた。ただしC言語で書かれた「grappling hook」と呼ばれるコンポーネントは他の機種でも動作し、ネットワークやディスクを圧迫した。
Q 28ルートキットが仕掛けられていないか検査するUNIX系のプログラムは？
chkrootkit
Linux系でも動作する検査用の道具。端末の不審な動きを検知する仕組みとしては、EDR（Endpoint Detection and Response）も挙げられる。
Q 29協調型セキュリティの例として挙げられるNECの製品は？
InfoCage
協調型セキュリティとは、セキュリティソフトウエアを組み合わせて連携させることで強度を高める考え方で、この製品は他社の製品と連携して実現している。
Q 30コンピュータサービス技能評価試験（CS試験）を実施する団体は？
中央職業能力開発協会
公的検定試験に位置づけられる。民間資格にはCISSP、CEH、OSCP、AWS認定セキュリティ・スペシャリティなどがある。