収録問題 70問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
顧客データを許可された利用者だけが読める状態は、CIAのどの要素ですか？
答え： 機密性（Confidentiality）
機密性は情報を認可された主体だけへ開示する考え方です。
ファイルが変更されていないことを確認する主な手段はどれですか？
答え： 信頼済みハッシュ値との比較
cryptographic hashは内容の変化を検出し、完全性確認に利用できます。
パスワードとセキュリティキーを組み合わせる認証は何ですか？
答え： 異なる要素を使う多要素認証
知識要素と所持要素を組み合わせるためMFAになります。
対称暗号が大量データの暗号化に適する主な理由はどれですか？
答え： 一般に非対称暗号より高速だから
対称暗号は高速ですが、共有キーを安全に配布・保管する必要があります。
本番ファイアウォールルール変更前に最も重要な変更管理はどれですか？
答え： 影響評価、承認、テスト、ロールバック手順を用意する
管理された変更は可用性とセキュリティへの影響を事前評価し、失敗時の復旧を可能にします。
経営者を装い緊急送金を要求する標的型メッセージは何ですか？
答え： Business Email Compromise
BECは信頼される人物や取引先を装い、送金や情報提供を誘導します。
ファイルを暗号化し復号と引換えに金銭を要求するマルウェアはどれですか？
答え： ransomware
ランサムウェア対策にはオフラインバックアップ、パッチ、権限制限、検知と対応訓練が重要です。
Webアプリのクエリへ' OR 1=1 --のような入力が観測された。疑う攻撃はどれですか？
答え： SQL injection
パラメータ化クエリと入力検証により、入力をSQL構文として解釈させないことが重要です。
利用者ブラウザで攻撃者のスクリプトを実行させるWeb脆弱性はどれですか？
答え： Cross-Site Scripting
XSSは出力エンコーディング、安全なtemplate、CSP等で緩和します。
多数の送信元からサービスへトラフィックを集中させる攻撃はどれですか？
答え： Distributed Denial of Service
DDoSは大量トラフィックで資源を枯渇させ、サービス可用性を低下させます。
パッチ公開前から悪用される未修正脆弱性は一般に何と呼ばれますか？
答え： zero-day vulnerability
zero-dayにはbehavior検知、segmentation、最小権限等の多層防御が重要です。
同じパスワードを他サービスへ試す攻撃はどれですか？
答え： credential stuffing
credential stuffingは使い回されたID/passwordを自動試行します。MFAと使い回し防止が有効です。
正規ベンダーの更新へマルウェアが混入する攻撃の分類はどれですか？
答え： software supply-chain attack
署名検証、SBOM、依存固定、ベンダー評価等で供給網リスクを低減します。
サーバー設定不備を本番前に自動検出する有効な対策はどれですか？
答え： secure baselineとのconfiguration scan
baseline比較とpolicy-as-codeは設定ドリフトや危険な値を早期検出できます。
Zero Trustの基本原則として適切なのはどれですか？
答え： 位置だけで信頼せず、継続的に検証して最小権限を与える
Zero Trustは明示的検証、最小権限、侵害前提を重視します。
侵害された端末から重要サーバーへの横移動を抑える設計はどれですか？
答え： network segmentationと厳格なアクセス制御
segmentationは信頼境界を分け、侵害範囲と横移動を制限します。
公開Webサーバーを内部DBから分離する代表的な配置はどれですか？
答え： Web tierをDMZ、DBを内部segmentへ配置する
tier分離と必要portだけの許可により、公開システム侵害時の影響を抑えます。
保存データと通信データの両方を保護する組合せはどれですか？
答え： ストレージ暗号化とTLS
at restとin transitは異なる制御で保護します。Base64は暗号化ではありません。
サービス停止時も業務を継続するため複数リージョンへ配置する狙いはどれですか？
答え： resilienceとavailabilityの向上
障害ドメインを分離することで単一リージョン障害への耐性を高めます。
RPOが4時間とは何を意味しますか？
答え： 許容できるデータ損失量が最大約4時間分
RPOは許容データ損失、RTOは目標復旧時間を表します。
SIEMの主な役割はどれですか？
答え： 複数ソースのログを集約・相関しアラートと調査を支援する
SIEMはイベントを集中分析し、検知・triage・調査のコンテキストを提供します。
EDRがエンドポイントで提供する主な機能はどれですか？
答え： behavior監視、検知、調査、隔離などのレスポンス
EDRはエンドポイントテレメトリを収集し、不審activityの検知と対応を支援します。
脆弱性スキャンで緊急度Criticalが検出された後の適切な流れはどれですか？
答え： 資産・露出・悪用可能性を検証し優先対応後に再スキャンする
risk-based vulnerability managementは検証、優先付け、修復、再確認を循環させます。
緊急パッチ適用前にも可能な限り行うべきことはどれですか？
答え： 影響確認、backup/rollback準備、承認記録、適用後monitoring
緊急時も簡略化したchange controlと復旧準備で二次障害を抑えます。
退職者アカウントへの最優先対応はどれですか？
答え： 承認済み退職手続き時刻にアクセスを無効化し認証情報を回収する
入社・異動・退職（JML）のプロセスでアクセス権のライフサイクルを人事イベントと同期させます。
特権アカウントの安全な運用として適切なのはどれですか？
答え： 通常作業用と分離しMFA・PAM・セッション記録を使う
特権利用を限定・承認・記録し、通常activityから分離します。
インシデント対応で封じ込め前に重要な初動はどれですか？
答え： scope・影響をtriageし、証拠保全と連絡経路を確立する
初動は状況把握、証拠の連鎖（chain of custody）、関係者連携を保ちつつ封じ込め判断につなげます。
感染端末をネットワーク隔離する目的はどれですか？
答え： 横展開と外部通信を抑えつつ調査対象を保持する
isolationはcontainmentであり、eradicationとrecoveryは別工程です。
フォレンジックイメージ取得時にハッシュを記録する理由はどれですか？
答え： 取得後に証拠の完全性を検証するため
取得時と分析時のハッシュ一致は証拠が変化していないことを示します。
SOARを導入する代表的な狙いはどれですか？
答え： 定型的なalert enrichmentとレスポンス手順を自動化する
SOARはplaybookで反復作業を自動化し、アナリストが高価値判断へ集中できるようにします。
資産インベントリがセキュリティ運用に重要な理由はどれですか？
答え： 所有者・重要度・software・パッチ状態を把握し対応範囲を決められる
守る対象を知らなければパッチ、monitoring、incident scopeを適切に管理できません。
セキュリティログの時刻がシステムごとにずれる問題への対策はどれですか？
答え： 認証済みNTP等で時刻同期しタイムゾーンも標準化する
正確な時刻はevent correlation、timeline、証拠性に不可欠です。
リスクを数値化する際のALEの基本式はどれですか？
答え： SLE × ARO
単一損失期待値SLEに年間発生率AROを掛け、年間損失期待値ALEを見積ります。
リスクを移転する例はどれですか？
答え： サイバー保険を契約する
保険は財務的影響の一部を第三者へ移しますが、責任や全損失が消えるわけではありません。
第三者ベンダー評価で最初に把握すべきことはどれですか？
答え： 扱うデータ、接続範囲、下請け、制御、インシデント通知義務
データフローとアクセス、契約責任を把握して固有リスクと残余リスクを評価します。
ポリシー・標準・手順の関係として適切なのはどれですか？
答え： ポリシーが方針、標準が必須基準、手順が具体手順
階層を分けるとgovernance要求を実装可能な制御と作業へ落とせます。
データオーナーの主な責任はどれですか？
答え： データ分類とアクセス要件を決定する
オーナーはデータのbusiness価値とリスクに基づき分類、利用、保護要件を承認します。
机上演習の目的はどれですか？
答え： scenarioを議論して役割・判断・連絡・手順のgapを発見する
tabletopは低リスクでresponse planと関係者連携を検証します。
フィッシング訓練後の適切な改善はどれですか？
答え： 結果を集計し、責めずに対象別教育とレポーティング改善へ使う
awareness活動はbehavior改善と早期reportを促し、指標で継続改善します。
例外承認に必要な要素はどれですか？
答え： business理由、リスクオーナー、代替制御、期限、定期レビュー
例外は透明にリスクを受容・緩和し、恒久化しないよう期限と再評価を設けます。
管理者が保守作業を行う2時間だけ特権を付与したい。最も適切な方式はどれですか？
答え： 承認に基づくjust-in-time特権付与と自動失効
just-in-time accessは承認された時間だけ特権を有効化し、常設特権による攻撃対象領域（アタックサーフェス）を減らします。
決済システムのテスト環境で、元のカード番号へ戻せる対応表を安全に保管しつつ実値を置換したい。適切な技術はどれですか？
答え： tokenization
tokenizationは機密値を非機密トークンへ置換し、対応表を保護されたトークン保管庫で管理します。
利用者へMFA通知を何度も送り、誤って承認させる攻撃はどれですか？
答え： MFA fatigue attack
MFA fatigueは大量のpush通知で利用者の混乱や操作ミスを狙います。number matchingや耐フィッシング認証が有効です。
正規ドメインと一文字だけ異なるドメインを登録し、ログインページへ誘導する手口はどれですか？
答え： typosquatting
typosquattingは入力間違いに似たドメインを悪用します。ドメイン監視、ブラウザ保護、利用者教育が対策になります。
攻撃者がPowerShellや標準システムツールを使い、追加マルウェアファイルを置かずに活動している。この特徴はどれですか？
答え： fileless attackとliving off the land
正規ツールを悪用する攻撃は署名だけでは見逃しやすく、プロセスの連鎖、コマンドライン、振る舞いの監視が重要です。
標的組織の職員が頻繁に利用する業界サイトを侵害し、閲覧者へマルウェアを配布する攻撃はどれですか？
答え： watering hole attack
watering holeは標的が集まるサイトを侵害して間接的に感染させます。ブラウザ更新やWeb分離、behavior検知が有効です。
会議室に置かれた「給与改定」と書かれたUSBメモリを社員が接続して感染した。利用された手法はどれですか？
答え： baiting
baitingは興味を引く物や内容で危険な操作を誘います。removable media制御と教育が対策です。
リモートワーカーへ、利用者・端末・アプリケーション単位でクラウド型のセキュリティ制御を提供したい。適切なアーキテクチャはどれですか？
答え： SASEとZTNA
SASEはネットワークとセキュリティ機能をクラウドエッジで統合し、ZTNAは明示的検証に基づくアプリケーションアクセスを提供します。
IaaS上の仮想マシンへOSパッチを適用する責任は通常誰にありますか？
答え： cloud customer
shared responsibility modelではproviderが物理基盤等を守り、IaaS customerはguest OS、アプリケーション、データ、設定を管理します。
古いプロトコルを使う工場OT機器を交換できない。社内ネットワークからの侵害波及を最も抑える設計はどれですか？
答え： OTを分離zoneへ置き、industrial firewallとjump hostで必要通信だけ許可
OTでは可用性制約を考慮しつつzone分離、allowlist通信、管理経路統制、passive monitoringでリスクを下げます。
複数アプリケーションサーバーへトラフィックを振り分け、故障ノードを自動的に除外したい。必要な構成はどれですか？
答え： load balancerとhealth check
health check付きload balancerは正常ノードだけへトラフィックを送り、冗長構成の可用性を活かします。
社員が顧客番号を大量に個人のクラウドストレージへアップロードする動きを検知・遮断したい。適切な制御はどれですか？
答え： content inspectionを行うDLP
DLPはデータ分類やpattern、送信先に基づいて機密データの持出しを検知・警告・遮断します。
アプリケーションのデータベースパスワードをソースコードから除去し、定期ローテーションしたい。最も適切な方法はどれですか？
答え： シークレット管理サービスへ保存し、ワークロードIDで取得して自動ローテーション
シークレット管理サービスは暗号化保管、アクセス制御、audit、ローテーションを提供し、コードへの秘密埋込みを避けます。
既知のマルウェアのC2（指令）ドメインへの端末通信をDNS段階で遮断し、調査用に記録したい。適切な対策はどれですか？
答え： DNS filteringまたはsinkhole
DNS filteringは悪性ドメインの名前解決を遮断し、sinkholeは安全な宛先へ誘導して感染端末の特定にも使えます。
既存アラートがない状態で、攻撃者がサービスアカウントを悪用しているという仮説をテレメトリから能動的に検証する活動はどれですか？
答え： threat hunting
threat huntingは仮説、threat intelligence、エンドポイント・アイデンティティ・ネットワークテレメトリを使って潜在侵害を能動的に探します。
本番クラスターへ未署名コンテナイメージがデプロイされるのを防ぎたい。適切な制御はどれですか？
答え： 署名検証を行うadmission policy
署名とadmission controlを組み合わせると、承認済みパイプライン由来で完全性を確認できるイメージだけを許可できます。
社内メールが侵害されたインシデントで、対応チームの連絡を安全に継続する方法はどれですか？
答え： 事前承認したout-of-band連絡手段を使う
主要channel侵害に備えて、安全な代替連絡先、認証方法、利用条件をincident planで事前定義します。
ビジネスインパクト分析（BIA）で最初に明確にすべき内容はどれですか？
答え： 重要業務、依存関係、停止影響、復旧優先度
BIAは業務停止の時間的・財務的・法的影響と依存リソースを整理し、RTO/RPOや復旧順序の根拠にします。
プライバシーリスクを下げるデータライフサイクル方針として最も適切なのはどれですか？
答え： 目的に必要なデータだけ収集し、期限後は検証可能な方法で削除
data minimization、purpose limitation、保持、secure disposalを組み合わせると保有データと漏えい影響を減らせます。
重要データを扱うベンダー契約へ含めるセキュリティ条項として最も適切なのはどれですか？
答え： 制御要件、インシデント通知期限、audit権、データ返却・削除、再委託条件
契約で責任、assurance、報告、データライフサイクル、fourth-party riskを明確にし、継続監視とexit時の統制を可能にします。
公開WebサーバーのTLS秘密鍵が外部へ流出したと判明しました。侵入経路の封じ込めと並行して行う鍵管理対応はどれですか？
答え： 旧証明書を失効させ、新しい鍵で再発行する
漏えいした鍵は再利用せず、安全な環境で鍵ペアを生成して証明書を再発行します。旧証明書の失効に加え、同じ鍵を共有していた配備先の更新と侵害範囲の調査も必要です。
画像取込APIが利用者指定URLへ接続するため、内部管理画面へのSSRFが懸念されています。画像取得先は提携先の固定ドメインだけです。中核となる制御はどれですか？
答え： 許可先と解決IPを検証し、転送先も制限する
SSRFではサーバー自身の到達権限が悪用されます。固定の許可先、名前解決結果、リダイレクトを検証し、ネットワーク側の送信制限も組み合わせて内部宛て通信を防ぎます。
Cookie認証の送金画面で、利用者が別サイトを開いた際に意図しない送金要求が送られました。状態変更要求に追加すべき対策はどれですか？
答え： 送金要求に含むCSRFトークンを検証する
ブラウザがCookieを自動送信する性質を利用したCSRFです。セッションに結び付いた予測困難なトークンの検証を行い、SameSite属性や送信元検証も多層防御として使います。
パスワード再設定リンクを一度利用した後、同じリンクから再びパスワードを変更できました。直接の再発防止策はどれですか？
答え： 再設定トークンを使用時に原子的に失効させる
再設定トークンには十分な乱数性、有効期限、単回使用を設けます。同時要求でも二度使われないよう、消費とパスワード更新の整合性をサーバー側で保証します。
同じ重要度の業務を担う2台のサーバーに脆弱性があります。一方はCVSSが高いものの隔離済み、他方は外部公開中で実悪用が確認されています。最初に修復する判断はどれですか？
答え： 実悪用と外部露出が重なるサーバーを優先する
深刻度だけでなく、実悪用、到達可能性、業務影響、既存の緩和策を合わせて優先順位を決めます。CISA KEVなどの情報は実悪用を把握する材料であり、未掲載なら安全という意味ではありません。
社内LANへ接続した端末のパッチ状態が基準未達でした。NACで、修復を可能にしつつ業務システムを保護する扱いはどれですか？
答え： 修復先だけへ到達できる隔離VLANへ移す
基準未達端末を修復用ネットワークへ分離し、更新サーバーなど必要な接続だけ許可します。修復後は再評価してから通常アクセスへ戻します。
業務端末では承認された署名済みアプリだけを実行可能にしたいと考えています。中心となる端末制御はどれですか？
答え： 承認済みアプリを指定する実行許可リスト
実行許可リストは承認された発行元やファイルなどを基準に、実行可能なアプリを限定します。署名があるだけで信頼せず、承認範囲と更新手順も管理します。
認証ログで、数百アカウントに対して同じ少数の一般的なパスワードが低頻度で試されています。最も合致する攻撃はどれですか？
答え： 多数利用者へのパスワードスプレー攻撃
パスワードスプレーは少数の候補を多数の利用者に試し、利用者単位のロックアウトを避けようとします。アカウント横断の相関検知や多要素認証を組み合わせます。
通常の管理者認証が外部IdP障害で使えなくなりました。緊急管理用アカウントの設計として適切なのはどれですか？
答え： 別の認証経路を用意し、利用時に即時通知する
緊急アクセスは通常経路と共通の障害要因を避け、安全に保管した認証情報、強固な認証、利用監視、定期的な動作試験を組み合わせます。通常業務の共有アカウントにはしません。
検知ルールの通知100件をすべて調査したところ、20件が攻撃で80件が誤検知でした。このルールの適合率（Precision）はいくつですか？
答え： 20%（真陽性件数を通知総数で割る）
適合率はTP / (TP + FP)なので20 / 100 = 20%です。見逃した攻撃数は与えられていないため再現率は算出できず、適合率だけで検知能力全体を評価してはいけません。