問1 コンサルティング業務で利用するSaaS

インシデント発生時は，インシデント対応を行うとともに，インシデントが攻撃によるものなのかどうか，脆弱性が悪用されたのかどうかを調べた上で，適切な再発防止策を検討する必要がある。 本問では，Webアプリケーションの脆弱性を悪用されたインシデントを通して，セキュアプログラミングに対する理解，並びにHTML及びECMAScriptを読み解いて問題点及び原因を認識し，対策を講じる実践的能力を問う。

問1では，従業員によるWebアプリケーションへの攻撃を題材としたインシデントを通して，脆弱性の分析，攻撃手法の特定，及び対策の立案について出題した。全体として正答率は平均的であった。 設問1は，正答率がやや低かった。Content Security Policy（CSP）を理解することは，堅牢なWebシステムを開発及び構築する上で重要である。リソース読込みの制御を適切に行うために，CSPの内容や緩和効果について理解を深めてほしい。 設問2は，(1)～(4)の正答率が高かった。図3及び図4から攻撃内容を読み取ることができている受験者が多かった。一方で，(5)の正答率がやや低かった。CSPによる制御を回避する攻撃手法について考察することは，攻撃者によるスクリプト実行を防ぐ対策を立案する上で重要である。CSPの仕組みについて理解を深めてほしい。 設問4は，正答率が低かった。脆弱性を検出し修正するための開発プロセスを出題したが，“ログ分析を行う”や“IDの棚卸しを行う”，“アノマリ検知の仕組みを導入する”などの運用プロセスでの対策，“権限チェックを行う”，“多要素認証の仕組みを導入する”などの修正機能の追加，及び“WAFを導入する”などのセキュリティ製品導入に関する解答が散見された。開発プロセスに対する理解を深めてほしい。