問4 セキュリティ診断

脆弱性は一つ一つが軽微でも，複数組み合わせて悪用されると，重大な被害につながることがある。また，診断ツールで検出される脆弱性以外にも，想定される攻撃に対して，セキュリティ対策が不足しているといった脆弱性もある。診断者がこういった脆弱性も報告に含めることで，その後，システムのセキュリティが大きく向上することがある。 本問では，個人情報を取り扱うWebサイトに対するセキュリティ診断を題材に，診断ツールで検出された脆弱性について，悪用された場合の被害を想定する能力及び被害を低減するための対策を立案する能力を問う。

問4では，個人情報を取り扱うWebサイトに対するセキュリティ診断を題材に，診断ツールで検出された脆弱性について，悪用された場合の被害及び被害を低減するための対策について出題した。全体として正答率は平均的であった。 設問1(2)は，正答率が高かった。セッションフィクセーション脆弱性について，よく理解できていた。 設問1(5)fは，正答率が低かった。攻撃による被害を軽減するHTTPヘッダーについて，設定した場合の効果をよく理解してほしい。 設問2gは，正答率が低かった。攻撃の後の流れに合っていない解答が散見された。Webサイトの全体の機能を考慮し，脆弱性を組み合わせて悪用する攻撃を考える能力を培ってほしい。 設問3は，正答率がやや低かった。被害を軽減できない誤答が散見された。Webサイトでは，取り扱う情報の機密性などに応じた，認証やアクセス制限が必要である。それぞれのWebサイトの特性を考慮したセキュリティ対策を策定する能力を培ってほしい。