収録問題 70問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
顧客データを許可された利用者だけが読める状態は、CIAのどの要素ですか？
答え： 機密性（Confidentiality）
機密性は情報を認可された主体だけへ開示する考え方です。
fileが変更されていないことを確認する主な手段はどれですか？
答え： 信頼済みhash値との比較
cryptographic hashは内容の変化を検出し、完全性確認に利用できます。
passwordとsecurity keyを組み合わせる認証は何ですか？
答え： 異なる要素を使う多要素認証
知識要素と所持要素を組み合わせるためMFAになります。
対称暗号が大量dataの暗号化に適する主な理由は？
答え： 一般に非対称暗号より高速だから
対称暗号は高速ですが、共有keyを安全に配布・保管する必要があります。
本番firewall rule変更前に最も重要なchange managementは？
答え： 影響評価、承認、test、rollback手順を用意する
管理された変更は可用性とsecurityへの影響を事前評価し、失敗時の復旧を可能にします。
経営者を装い緊急送金を要求する標的型messageは何ですか？
答え： Business Email Compromise
BECは信頼される人物や取引先を装い、送金や情報提供を誘導します。
fileを暗号化し復号と引換えに金銭を要求するmalwareは？
答え： ransomware
ransomware対策にはoffline backup、patch、権限制限、検知と対応訓練が重要です。
Web queryへ' OR 1=1 --のような入力が観測された。疑う攻撃は？
答え： SQL injection
parameterized queryと入力検証により、入力をSQL構文として解釈させないことが重要です。
利用者browserで攻撃者のscriptを実行させるWeb脆弱性は？
答え： Cross-Site Scripting
XSSはoutput encoding、安全なtemplate、CSP等で緩和します。
多数のsourceからserviceへtrafficを集中させる攻撃は？
答え： Distributed Denial of Service
DDoSは大量trafficで資源を枯渇させ、service可用性を低下させます。
patch公開前から悪用される未修正脆弱性は一般に何と呼ばれますか？
答え： zero-day vulnerability
zero-dayにはbehavior検知、segmentation、最小権限等の多層防御が重要です。
同じpasswordを他serviceへ試す攻撃は？
答え： credential stuffing
credential stuffingは使い回されたID/passwordを自動試行します。MFAと使い回し防止が有効です。
正規vendor updateへmalwareが混入するattack分類は？
答え： software supply-chain attack
署名検証、SBOM、依存固定、vendor評価等で供給網riskを低減します。
server設定不備を本番前に自動検出する有効な対策は？
答え： secure baselineとのconfiguration scan
baseline比較とpolicy-as-codeは設定driftや危険な値を早期検出できます。
Zero Trustの基本原則として適切なのは？
答え： 位置だけで信頼せず、継続的に検証して最小権限を与える
Zero Trustは明示的検証、最小権限、侵害前提を重視します。
侵害された端末から重要serverへの横移動を抑える設計は？
答え： network segmentationと厳格なaccess control
segmentationはtrust boundaryを分け、侵害範囲と横移動を制限します。
公開Web serverを内部DBから分離する代表的な配置は？
答え： Web tierをDMZ、DBを内部segmentへ配置する
tier分離と必要portだけの許可により、公開system侵害時の影響を抑えます。
保存dataと通信dataの両方を保護する組合せは？
答え： storage encryptionとTLS
at restとin transitは異なるcontrolで保護します。Base64は暗号化ではありません。
service停止時も業務を継続するため複数regionへ配置する狙いは？
答え： resilienceとavailabilityの向上
障害domainを分離することで単一region障害への耐性を高めます。
RPOが4時間とは何を意味しますか？
答え： 許容できるdata損失量が最大約4時間分
RPOは許容data損失、RTOは目標復旧時間を表します。
SIEMの主な役割は？
答え： 複数sourceのlogを集約・相関しalertと調査を支援する
SIEMはeventを集中分析し、検知・triage・調査のcontextを提供します。
EDRがendpointで提供する主な機能は？
答え： behavior監視、検知、調査、隔離などのresponse
EDRはendpoint telemetryを収集し、不審activityの検知と対応を支援します。
脆弱性scanでcriticalが検出された後の適切な流れは？
答え： 資産・露出・悪用可能性を検証し優先対応後に再scanする
risk-based vulnerability managementは検証、優先付け、修復、再確認を循環させます。
緊急patch適用前にも可能な限り行うべきことは？
答え： 影響確認、backup/rollback準備、承認記録、適用後monitoring
緊急時も簡略化したchange controlと復旧準備で二次障害を抑えます。
退職者accountへの最優先対応は？
答え： 承認済みoffboarding時刻にaccessを無効化しcredentialを回収する
joiner-mover-leaver processでaccess lifecycleを人事eventと同期させます。
特権accountの安全な運用として適切なのは？
答え： 通常作業用と分離しMFA・PAM・session記録を使う
特権利用を限定・承認・記録し、通常activityから分離します。
incident responseで封じ込め前に重要な初動は？
答え： scope・影響をtriageし、証拠保全と連絡経路を確立する
初動は状況把握、証拠chain、関係者連携を保ちつつ封じ込め判断につなげます。
感染端末をnetwork隔離する目的は？
答え： 横展開と外部通信を抑えつつ調査対象を保持する
isolationはcontainmentであり、eradicationとrecoveryは別工程です。
forensic image取得時にhashを記録する理由は？
答え： 取得後に証拠の完全性を検証するため
取得時と分析時のhash一致は証拠が変化していないことを示します。
SOARを導入する代表的な狙いは？
答え： 定型的なalert enrichmentとresponse手順を自動化する
SOARはplaybookで反復作業を自動化し、analystが高価値判断へ集中できるようにします。
資産inventoryがsecurity運用に重要な理由は？
答え： 所有者・重要度・software・patch状態を把握し対応範囲を決められる
守る対象を知らなければpatch、monitoring、incident scopeを適切に管理できません。
security logの時刻がsystemごとにずれる問題への対策は？
答え： 認証済みNTP等で時刻同期しtimezoneも標準化する
正確な時刻はevent correlation、timeline、証拠性に不可欠です。
riskを数値化する際のALEの基本式は？
答え： SLE × ARO
単一損失期待値SLEに年間発生率AROを掛け、年間損失期待値ALEを見積ります。
riskを移転する例は？
答え： cyber insuranceを契約する
保険は財務的影響の一部を第三者へ移しますが、責任や全損失が消えるわけではありません。
第三者vendor評価で最初に把握すべきことは？
答え： 扱うdata、接続範囲、下請け、control、incident通知義務
data flowとaccess、契約責任を把握して固有riskと残余riskを評価します。
policy・standard・procedureの関係として適切なのは？
答え： policyが方針、standardが必須基準、procedureが具体手順
階層を分けるとgovernance要求を実装可能なcontrolと作業へ落とせます。
data ownerの主な責任は？
答え： data分類とaccess要件を決定する
ownerはdataのbusiness価値とriskに基づき分類、利用、保護要件を承認します。
tabletop exerciseの目的は？
答え： scenarioを議論して役割・判断・連絡・手順のgapを発見する
tabletopは低riskでresponse planと関係者連携を検証します。
phishing訓練後の適切な改善は？
答え： 結果を集計し、責めずに対象別教育とreporting改善へ使う
awareness活動はbehavior改善と早期reportを促し、指標で継続改善します。
例外承認に必要な要素は？
答え： business理由、risk owner、代替control、期限、定期review
例外は透明にriskを受容・緩和し、恒久化しないよう期限と再評価を設けます。
管理者が保守作業を行う2時間だけ特権を付与したい。最も適切な方式は？
答え： 承認に基づくjust-in-time特権付与と自動失効
just-in-time accessは承認された時間だけ特権を有効化し、常設特権によるattack surfaceを減らします。
決済systemのtest環境で、元のcard番号へ戻せる対応表を安全に保管しつつ実値を置換したい。適切な技術は？
答え： tokenization
tokenizationは機密値を非機密tokenへ置換し、対応表を保護されたtoken vaultで管理します。
利用者へMFA通知を何度も送り、誤って承認させる攻撃は？
答え： MFA fatigue attack
MFA fatigueは大量のpush通知で利用者の混乱や操作ミスを狙います。number matchingや耐phishing認証が有効です。
正規domainと一文字だけ異なるdomainを登録し、login pageへ誘導する手口は？
答え： typosquatting
typosquattingは入力間違いに似たdomainを悪用します。domain監視、browser保護、利用者教育が対策になります。
攻撃者がPowerShellや標準system toolを使い、追加malware fileを置かずに活動している。この特徴は？
答え： fileless attackとliving off the land
正規toolを悪用する攻撃はsignatureだけでは見逃しやすく、process chain、command line、behaviorの監視が重要です。
標的組織の職員が頻繁に利用する業界siteを侵害し、閲覧者へmalwareを配布する攻撃は？
答え： watering hole attack
watering holeは標的が集まるsiteを侵害して間接的に感染させます。browser更新やWeb分離、behavior検知が有効です。
会議室に置かれた「給与改定」と書かれたUSB memoryを社員が接続して感染した。利用された手法は？
答え： baiting
baitingは興味を引く物や内容で危険な操作を誘います。removable media制御と教育が対策です。
remote workerへ、利用者・端末・application単位でcloud security controlを提供したい。適切なarchitectureは？
答え： SASEとZTNA
SASEはnetworkとsecurity機能をcloud edgeで統合し、ZTNAは明示的検証に基づくapplication accessを提供します。
IaaS上のvirtual machineへOS patchを適用する責任は通常誰にありますか？
答え： cloud customer
shared responsibility modelではproviderが物理基盤等を守り、IaaS customerはguest OS、application、data、設定を管理します。
古いprotocolを使う工場OT機器を交換できない。enterprise networkからの侵害波及を最も抑える設計は？
答え： OTを分離zoneへ置き、industrial firewallとjump hostで必要通信だけ許可
OTでは可用性制約を考慮しつつzone分離、allowlist通信、管理経路統制、passive monitoringでriskを下げます。
複数application serverへtrafficを振り分け、故障nodeを自動的に除外したい。必要な構成は？
答え： load balancerとhealth check
health check付きload balancerは正常nodeだけへtrafficを送り、冗長構成の可用性を活かします。
社員が顧客番号を大量にpersonal cloud storageへuploadする動きを検知・遮断したい。適切なcontrolは？
答え： content inspectionを行うDLP
DLPはdata分類やpattern、送信先に基づいて機密dataの持出しを検知・警告・遮断します。
applicationのdatabase passwordをsource codeから除去し、定期rotationしたい。最も適切な方法は？
答え： secrets managerへ保存し、workload identityで取得して自動rotation
secrets managerは暗号化保管、access control、audit、rotationを提供し、codeへの秘密埋込みを避けます。
既知のmalware command-and-control domainへの端末通信をDNS段階で遮断し、調査用に記録したい。適切な対策は？
答え： DNS filteringまたはsinkhole
DNS filteringは悪性domainの名前解決を遮断し、sinkholeは安全な宛先へ誘導して感染端末の特定にも使えます。
既存alertがない状態で、攻撃者がservice accountを悪用しているという仮説をtelemetryから能動的に検証する活動は？
答え： threat hunting
threat huntingは仮説、threat intelligence、endpoint・identity・network telemetryを使って潜在侵害を能動的に探します。
本番clusterへ未署名container imageがdeployされるのを防ぎたい。適切なcontrolは？
答え： 署名検証を行うadmission policy
署名とadmission controlを組み合わせると、承認済みpipeline由来で完全性を確認できるimageだけを許可できます。
corporate emailが侵害されたincidentで、response teamの連絡を安全に継続する方法は？
答え： 事前承認したout-of-band連絡手段を使う
主要channel侵害に備えて、安全な代替連絡先、認証方法、利用条件をincident planで事前定義します。
business impact analysisで最初に明確にすべき内容は？
答え： 重要業務、依存関係、停止影響、復旧優先度
BIAは業務停止の時間的・財務的・法的影響と依存resourceを整理し、RTO/RPOや復旧順序の根拠にします。
privacy riskを下げるdata lifecycle方針として最も適切なのは？
答え： 目的に必要なdataだけ収集し、期限後は検証可能な方法で削除
data minimization、purpose limitation、retention、secure disposalを組み合わせると保有dataと漏えい影響を減らせます。
重要dataを扱うvendor契約へ含めるsecurity条項として最も適切なのは？
答え： control要件、incident通知期限、audit権、data返却・削除、再委託条件
契約で責任、assurance、報告、data lifecycle、fourth-party riskを明確にし、継続監視とexit時の統制を可能にします。
公開WebサーバーのTLS秘密鍵が外部へ流出したと判明しました。侵入経路の封じ込めと並行して行う鍵管理対応はどれですか？
答え： 旧証明書を失効させ、新しい鍵で再発行する
漏えいした鍵は再利用せず、安全な環境で鍵ペアを生成して証明書を再発行します。旧証明書の失効に加え、同じ鍵を共有していた配備先の更新と侵害範囲の調査も必要です。
画像取込APIが利用者指定URLへ接続するため、内部管理画面へのSSRFが懸念されています。画像取得先は提携先の固定ドメインだけです。中核となる制御はどれですか？
答え： 許可先と解決IPを検証し、転送先も制限する
SSRFではサーバー自身の到達権限が悪用されます。固定の許可先、名前解決結果、リダイレクトを検証し、ネットワーク側の送信制限も組み合わせて内部宛て通信を防ぎます。
Cookie認証の送金画面で、利用者が別サイトを開いた際に意図しない送金要求が送られました。状態変更要求に追加すべき対策はどれですか？
答え： 送金要求に含むCSRFトークンを検証する
ブラウザがCookieを自動送信する性質を利用したCSRFです。セッションに結び付いた予測困難なトークンの検証を行い、SameSite属性や送信元検証も多層防御として使います。
パスワード再設定リンクを一度利用した後、同じリンクから再びパスワードを変更できました。直接の再発防止策はどれですか？
答え： 再設定トークンを使用時に原子的に失効させる
再設定トークンには十分な乱数性、有効期限、単回使用を設けます。同時要求でも二度使われないよう、消費とパスワード更新の整合性をサーバー側で保証します。
同じ重要度の業務を担う2台のサーバーに脆弱性があります。一方はCVSSが高いものの隔離済み、他方は外部公開中で実悪用が確認されています。最初に修復する判断はどれですか？
答え： 実悪用と外部露出が重なるサーバーを優先する
深刻度だけでなく、実悪用、到達可能性、業務影響、既存の緩和策を合わせて優先順位を決めます。CISA KEVなどの情報は実悪用を把握する材料であり、未掲載なら安全という意味ではありません。
社内LANへ接続した端末のパッチ状態が基準未達でした。NACで、修復を可能にしつつ業務システムを保護する扱いはどれですか？
答え： 修復先だけへ到達できる隔離VLANへ移す
基準未達端末を修復用ネットワークへ分離し、更新サーバーなど必要な接続だけ許可します。修復後は再評価してから通常アクセスへ戻します。
業務端末では承認された署名済みアプリだけを実行可能にしたいと考えています。中心となる端末制御はどれですか？
答え： 承認済みアプリを指定する実行許可リスト
実行許可リストは承認された発行元やファイルなどを基準に、実行可能なアプリを限定します。署名があるだけで信頼せず、承認範囲と更新手順も管理します。
認証ログで、数百アカウントに対して同じ少数の一般的なパスワードが低頻度で試されています。最も合致する攻撃はどれですか？
答え： 多数利用者へのパスワードスプレー攻撃
パスワードスプレーは少数の候補を多数の利用者に試し、利用者単位のロックアウトを避けようとします。アカウント横断の相関検知や多要素認証を組み合わせます。
通常の管理者認証が外部IdP障害で使えなくなりました。緊急管理用アカウントの設計として適切なのはどれですか？
答え： 別の認証経路を用意し、利用時に即時通知する
緊急アクセスは通常経路と共通の障害要因を避け、安全に保管した認証情報、強固な認証、利用監視、定期的な動作試験を組み合わせます。通常業務の共有アカウントにはしません。
検知ルールの通知100件をすべて調査したところ、20件が攻撃で80件が誤検知でした。このルールの適合率（Precision）はいくつですか？
答え： 20%（真陽性件数を通知総数で割る）
適合率はTP / (TP + FP)なので20 / 100 = 20%です。見逃した攻撃数は与えられていないため再現率は算出できず、適合率だけで検知能力全体を評価してはいけません。