午後II 問1 Webセキュリティ

企業グループでは，グループ会社がそれぞれ多数のWebサイトを構築している場合がある。さらに，そうしたWebサイトのセキュリティ品質を一定に保つための脆弱性診断を第三者に委託している場合と自社で実施している場合がある。 本問では，Webサイトに対する脆弱性診断を題材として，各種脆弱性に関する知識，それらを発見するためのツールの利用方法と注意点に関する知識，及び脆弱性診断を自社で実施する上での課題を解決する能力を問う。

問1では，Webサイトに対する脆弱性診断を題材に，脆弱性診断で注意すべき点と脆弱性に関する知識や対策について出題した。全体として正答率は平均的であった。 設問2(2)は，正答率が低かった。“入力したスクリプトが二つ先の画面でエスケープ処理されずに出力”という具体的な事象に着目して，ツールVの設定を行う必要があった。脆弱性診断に使用するツールやマニュアルを正確に理解することは基本的なことである。脆弱性がある場合のWebアプリケーションの動き及びツールでの脆弱性を検知する方法も踏まえて，脆弱性診断を行ってほしい。 設問2(3)は，正答率が低かった。診断対象URL自体を誤って解答した受験者が多かった。拡張機能を用いると，診断対象URLの応答だけでなく，別のURLの応答も判定対象になる。データを入力する画面のURLとそのデータが出力される画面のURLが異なるということに着目してほしい。 設問4(2)は，正答率が低かった。XSSを悪用した攻撃の手口は，様々あり，大きな被害にもつながり得る。対策を考える際にも必要な知識となるので，よく理解してほしい。