午後I 問2 セキュリティインシデント対応

IoT機器の普及に伴い，利用者が専門知識なしに容易に機器を設置できるようになる中，開発者がセキュリティを考慮していなかったり，利用者が脆弱性修正プログラムを適用していなかったりするケースが増えている。 本問では，ルータやNASを題材として，IoT機器のインターネット接続に使われる技術，仕組みを理解するとともに，脆弱性を作り込んでしまうことの多いWeb機能についてセキュリティの観点から正しく実装する能力を問う。

問2では，IoT機器の製品を題材に，セキュリティインシデント対応と脆弱性対策について出題した。全体として正答率は平均的であった。 設問2(3)は，正答率が平均的であった。本文に示した認証なしでアクセスできるURLでは除外リストとの比較に漏れがないように，URLデコードを行った上で，“ ../ ”などを含んだパス名を正規化してから，除外リストとの比較を行う必要があることを理解してほしい。 設問3(2)は，正答率が平均的であった。ファームウェアのアップデート時にアーカイブファイルを展開するために使っているtarコマンドが，製品Xでは不要なオプションも使える設定であり，本設問は，そのようなオプションの悪用を防ぐ対策を問うているので，sudoの設定でオプションの使用を制限するなど，具体的に解答してほしい。 設問4は，正答率が低かった。インターネット上でIoT機器を検出する方法と，それを抑止する方法を知っておいてほしい。