令和7年度春期情報処理安全確保支援士（午後試験問4）解説

Posted at 2026-10-30

令和7年度春期情報処理安全確保支援士（午後試験問4）解説

テーマ: 公開IT資産管理・ドメイン名管理・サブドメインテイクオーバー・WHOIS・外部公開資産探索・ポートスキャン・脆弱性スキャン・CVSS v4.0・KEVカタログ・脆弱性対応

この問題の全体像
本問は、製造業のV社における公開IT資産管理と脆弱性管理の見直しを題材にしています。利用を終了したCDNサービスに対応するDNSレコードの残存、事業部が独自に契約した外部サービスの管理漏れ、不要な公開Webサーバ、導入ソフトウェアと脆弱性対応の管理不備を、どのように発見し、是正し、継続管理するかが問われます。

解答では、表1～表6、図1～図3のつながりを追い、「どの情報を、どのサービスで検索し、その結果を次の調査へどうつなげるのか」を具体的に整理することが重要です。

表記について
「問題文からの引用」は、問題冊子の本文、表又は図から、解答根拠となる箇所を引用形式で示しています。引用後の「着眼点・注目ポイント」で判断方法を整理し、その後に正解と解説を示します。

設問1 〔利用終了後のDNS設定〕について

1. 下線①で変更したサーバと設定内容について

問題文からの引用

「CDN事業者のサービスを利用してWebサーバを立ち上げ、1か月間商品のキャンペーンを行った。このWebサーバには、その会社のサブドメインを使用した。キャンペーン後すぐに、CDNサービスを解約したが、今になって、そのサブドメインが海外の会社の広告サイトとして使われていることが発覚した。」

「V社でも、CDN事業者のサービスを利用してWebサーバを立ち上げてキャンペーンを行った後、CDNサービスを解約した経緯があったので、緊急に確認した。その結果、問題があることが分かり、①図1中のサーバの設定を変更した。」

着眼点・注目ポイント
V社のサブドメインをCDN事業者へ向けるために登録していたDNSレコードが、サービス解約後も残っている状況です。図1でDNSレコードを管理するサーバと、削除すべきレコードを答えます。

正解:
- サーバ名: 権威DNSサーバ
- 変更内容: 終了したサブドメインのCNAMEレコードを削除する。
解説: CNAMEレコードがCDN事業者のホスト名を参照したまま残っていると、CDNサービスの解約後に第三者がその参照先を利用可能な状態にした場合、V社のサブドメインから第三者のコンテンツが表示されるおそれがあります。そこで、V社ドメインの正式なDNS情報を保持する権威DNSサーバから、利用を終了したサブドメインのCNAMEレコードを削除します。

学習上の補足: このような状態は、一般にサブドメインテイクオーバーにつながる構成として知られています。サービス終了時には、クラウドやCDN側の解約だけでなく、対応するDNSレコードの削除まで確認する必要があります。

設問2 〔未登録の公開IT資産の発見〕について

1. (1) 図2の空欄a・bについて

問題文からの引用

表1のIT資産管理：「事業部が他社データセンター、クラウドサービス又はレンタルサービスを契約して、サーバなどを利用する場合については、IT資産管理台帳に登録していない。」

図2：「次の未登録の公開IT資産を調査し、その一覧を回答すること」

着眼点・注目ポイント
図2にはクラウドサービスのケースが既に記載されています。表1の同じ箇所に並ぶ、残り二つの外部利用形態を抜き出します。解答は順不同です。

正解:
- a：レンタルサービスを契約して利用した公開IT資産
- b：他社データセンターを契約して利用した公開IT資産
解説: V社データセンターやV社DMZに設置するサーバは、情シ部への申請を通じて台帳へ登録されます。一方、表1では、事業部が独自に契約したクラウドサービス、レンタルサービス、他社データセンターの資産をIT資産管理台帳へ登録していないと明記されています。したがって、この三つを調査対象にします。

2. (2) 空欄cについて

問題文からの引用

「IPアドレスの割当て、ドメイン名の登録などに関する情報をレジストラ又はレジストリに問い合わせることができます。そのための標準プロトコルとして、[ c ] が用意されており、RFC 3912で定義されています。」

着眼点・注目ポイント
RFC 3912で定義され、IPアドレスやドメイン名の登録情報を照会するプロトコルを答えます。英字10字以内です。

正解: WHOIS
解説: WHOISは、ドメイン名やIPアドレスの登録情報を照会するためのプロトコルです。本問では、組織名、担当者識別番号、ネームサーバ、割当て情報などの確認に利用します。

3. (3) 図3の空欄あ～うについて

問題文からの引用

Xサービスは、組織名、ドメイン名、ネームサーバ名、ドメイン名の担当者識別番号などから検索できる。

Yサービスは、GIP又はGIPの担当者識別番号から検索できる。

Zサービスは、ドメイン名、GIP又は組織名から、GIP、FQDN、ポート番号、OS、応答メッセージ情報などを検索できる。

着眼点・注目ポイント
手順1では組織名からGIP・ドメイン名・FQDNを広く抽出する必要があります。手順2ではGIPの登録情報、手順3ではドメイン名の登録情報を詳しく調べます。

正解: あ：Z、い：Y、う：X
解説: 手順1では、組織名「V社」を検索語にしてGIPとFQDNを取得できるZサービスを使います。手順2ではGIPを起点に組織名や担当者識別番号を取得するためYサービスを使います。手順3ではドメイン名を起点に組織名や担当者識別番号を取得するためXサービスを使います。

図3の流れを一行で表すと: V社 → Zサービス → FQDN・GIP → YサービスでGIPの登録情報を確認／Xサービスでドメイン名の登録情報を確認 → Fリスト作成となります。あ～うは、この検索順序から判断します。

4. (4) 図3の空欄d～hについて

問題文からの引用

「手順1：[ あ ]サービスを用い、検索キーワードとして[ d ]を入力して、検索し、検索結果として[ e ]及び[ f ]を得る。」

「手順2-1：手順1の結果を基に、[ い ]サービスを用い、検索キーワードとして[ g ]を指定して、検索し、検索結果として[ g ]の組織名及び[ g ]の[ h ]を得る。」

着眼点・注目ポイント
Fリストに必要な情報は、GIP、ドメイン名、FQDNと、それぞれの登録組織、部署、担当者です。図3では、Zサービスで得たGIPとFQDNを起点にし、FQDNからドメイン名を特定してXサービスの検索へつなげます。表3～表5の検索項目と結果を順に対応させます。

正解: d：オ、e：ア、f：イ、g：ク、h：キ

空欄	正解	内容
d	オ	V社
e	ア	FQDN
f	イ	GIP
g	ク	ドメイン名
h	キ	担当者識別番号

手順ごとの読み解き

Zサービスへ組織名のV社を入力し、V社に関連するFQDNとGIPを得ます。
得られたGIPをYサービスで検索し、GIPの組織名と担当者識別番号を得ます。
担当者識別番号をYサービスで検索し、GIPの部署名と担当者名を得ます。
得られたFQDNからドメイン名を特定し、Xサービスで検索して、ドメイン名の組織名と担当者識別番号を得ます。
担当者識別番号をXサービスで検索し、ドメイン名の部署名と担当者名を得ます。
以上の結果からFリストを作成します。

選択肢の解説

ア（FQDN）: eの正解。 Zサービスで組織名を検索すると、関連するFQDNを取得できます。
イ（GIP）: fの正解。 Zサービスの検索結果からGIPを取得し、Yサービスで詳細を照会します。
ウ（GIP割振り元の事業者名）: 不適切です。Zサービスで取得できる情報ですが、図3で作成するFリストの項目ではなく、X・Yサービスの後続検索へつなげる値でもありません。
エ（OS）: 不適切です。公開資産の技術情報としては有用ですが、図3のFリスト作成手順の空欄には入りません。
オ（V社）: dの正解。 手順1では組織名「V社」を検索語にします。
カ（位置情報）: 不適切です。Zサービスで取得可能ですが、Fリストの必要項目ではありません。
キ（担当者識別番号）: hの正解。 GIP又はドメイン名の詳細検索で得た識別番号を使い、担当者名や部署名を照会します。
ク（ドメイン名）: gの正解。 手順3では、FQDNから特定したドメイン名をXサービスへ入力し、組織名と担当者識別番号を取得します。
ケ（ポート番号）: 不適切です。後続の公開サービス確認には役立ちますが、登録者情報をまとめるFリストの空欄には入りません。
コ（メールアドレス）: 不適切です。担当者識別番号による検索結果の一つですが、空欄hは次の検索へつなぐ識別番号です。

設問3 〔調査漏れ資産への対応〕について

1. (1) 下線②の調査方法について

問題文からの引用

「SSHでは接続できませんでしたが、公開サービスはWebだけが稼働しているようだということが、X、Y、Zサービス以外の②調査から分かりました。」

着眼点・注目ポイント
どのネットワークサービスが外部公開されているかを確認するには、対象GIPのポート状態を調べます。40字以内です。

正解: ポートスキャンでWebのポートだけが開いていることを確認する。
解説: ポートスキャンを実施すれば、SSHに対応するポートが閉じ、HTTP又はHTTPSに対応するWebのポートだけが開いていることを確認できます。これにより、外部から利用可能なサービスを把握できます。

注意: 自組織で管理権限を持つ資産であることを確認した上で実施します。本問では、V社が管理すべき公開IT資産を確認する調査です。

2. (2) 下線③の調査方法について

問題文からの引用

「利用OSやSWもバージョンが古く、多くの脆弱性が内在しているようだということが、③別の調査から分かりました。」

着眼点・注目ポイント
OSやソフトウェアの既知の脆弱性を確認する具体的な調査方法を答えます。40字以内です。

正解: 脆弱性スキャナーを実行して、脆弱性の有無を確認する。
解説: 脆弱性スキャナーは、対象サーバから得た応答や製品・バージョン情報などを基に、既知の脆弱性がないかを検査します。ポートスキャンが公開中のサービスを確認するのに対し、脆弱性スキャンはそのサービスやソフトウェアの弱点を確認します。

調査	主な確認対象	本問で分かること
ポートスキャン	開いているポートと公開サービス	Webのポートだけが開いていること
脆弱性スキャン	OS・SW・公開サービスの既知の脆弱性	古いOSやSWに脆弱性があること

3. (3) 下線④の二つの場合の対応について

問題文からの引用

「表6の結果1の公開IT資産を継続利用する場合としない場合のそれぞれの場合にK事業部が行うべき具体的な対応方法を伝えます。」

着眼点・注目ポイント
古いOS・ソフトウェアに多数の脆弱性がある資産です。継続利用するなら、攻撃を受けないよう一旦停止して修正します。利用しないなら、公開状態を直ちに解消して廃棄します。

正解:
- 継続利用する場合: 一旦、サービスを停止し、脆弱性を修正後に再開する。
- 継続利用しない場合: 速やかにネットワークから切り離し、機器を廃棄する。
解説: 継続利用する場合、脆弱な状態のまま公開を続けると攻撃を受ける可能性があるため、先にサービスを停止します。更新プログラムの適用や設定変更などで脆弱性を修正し、安全を確認してから再開します。利用しない場合は、まずネットワークから切り離して外部公開を止め、その後に機器を廃棄して、不要な資産が攻撃対象として残らないようにします。

記述上のポイント: 継続利用する場合は「停止→修正→再開」、利用しない場合は「切離し→廃棄」という順序まで書きます。

設問4 〔脆弱性管理の改善〕について

1. (1) 下線⑤のCVSS最新バージョンについて

問題文からの引用

「脆弱性についての⑤CVSSの深刻度と⑥KEVカタログへの掲載の有無に基づいて判断するのがよいです。」

着眼点・注目ポイント
問題文が求めるCVSSの最新バージョン番号を4字以内で答えます。

正解: 4.0
解説: 本問で求められているCVSSの最新バージョン番号は4.0です。CVSSは、脆弱性の深刻度を共通の尺度で評価するために用いられます。本問では、深刻度だけでなく、KEVカタログへの掲載有無も組み合わせて対策の優先度を決めます。

2. (2) 下線⑥のKEVカタログのフルスペルについて

問題文からの引用

「KEVカタログのフルスペルを、解答群の中から選び、記号で答えよ。」

着眼点・注目ポイント
KEVのKはKnown、EはExploited、VはVulnerabilitiesです。

正解: ウ（Known Exploited Vulnerabilities catalog）

選択肢の解説

ア（Key Exploited Vulnerabilities catalog）: 不適切です。KはKeyではなくKnownです。
イ（Key Exposure Vulnerabilities catalog）: 不適切です。KとEの両方が異なります。
ウ（Known Exploited Vulnerabilities catalog）: 正解です。 実際に悪用されたことが確認された既知の脆弱性を扱います。
エ（Known Exposure Vulnerabilities catalog）: 不適切です。EはExposureではなくExploitedです。

3. (3) KEVカタログへ掲載される主な条件について

問題文からの引用

「KEVカタログに掲載される脆弱性はどのようなものか。掲載される条件のうち主なものを、20字以内で答えよ。」

着眼点・注目ポイント
名称のExploitedに着目します。単に脆弱性が公表されているだけではなく、実際の悪用が確認されています。

正解: 実際に悪用された。
解説: 本問では、KEVカタログへ掲載される主な条件を「実際に悪用された」と整理しています。そのため、CVSSの深刻度だけでは判断しにくい「現実に狙われているか」という観点を、対応優先度へ反映できます。

4. (4) 下線⑦の脆弱性管理の改善策について

問題文からの引用

表1の脆弱性管理：
「1. サーバに導入したSWの脆弱性情報は、情シ部が脆弱性のニュースを毎日見て確認している。」
「2. 情シ部が、脆弱性のニュースで話題になった脆弱性情報全てを全部門に連絡している。」

目標K-3：「重要な脆弱性を事業部が修正したかどうかを情シ部が確認できるようにする。」

着眼点・注目ポイント
ニュースで話題になったものを一律配信する運用から、資産台帳にあるソフトウェアを対象に継続監視し、該当部門へ優先度を伝え、対策完了まで確認する運用へ変えます。

正解:
- 項番1: 情シ部がIT資産管理台帳にあるSWについて、重要な脆弱性情報が発表されていないかを継続的に確認する。
- 項番2: 該当SWを保有する管理部門に対策の優先度を連絡し、対策実施を確認する。
解説: 項番1では、脆弱性ニュースの話題性ではなく、自社が保有するソフトウェアを起点に重要な脆弱性を継続監視します。項番2では、全ての部門へ一律に情報を送るのではなく、該当ソフトウェアを保有する部門へ対策優先度を伝え、実施状況まで情シ部が確認します。これにより、目標K-3の「重要な脆弱性を事業部が修正したかどうかを情シ部が確認できる」を実現します。

改善前後の違い: 改善前は「ニュースを見て全部門へ連絡し、各部門が取捨選択する」運用でした。改善後は「保有ソフトウェアを基準に対象を特定し、優先度を付けて担当部門へ連絡し、完了を確認する」運用になります。

観点	改善前	改善後
確認の起点	脆弱性ニュース	IT資産管理台帳に登録されたSW
連絡先	全部門	該当SWを保有する管理部門
連絡内容	話題になった脆弱性情報	対策の優先度を含む該当情報
情シ部の確認	各部門の判断に委ねる	対策実施まで確認する

問題全体の流れ

利用を終了したCDNサービスに対応するCNAMEレコードを削除します。
各事業部へ、クラウド、レンタルサービス、他社データセンターで利用する公開IT資産を照会します。
Zサービスで組織名からGIP・FQDNを抽出し、X・Yサービスで登録者情報を補完します。
事業部の回答と情シ部が作成したFリストを突合し、調査漏れを特定します。
ポートスキャンと脆弱性スキャンで公開サービスと脆弱性を確認します。
資産を継続利用する場合は修正して再開し、利用しない場合は切り離して廃棄します。
CVSS v4.0の深刻度とKEV掲載有無を使って脆弱性対応の優先度を決めます。
情シ部が、該当ソフトウェアを保有する部門へ優先度を連絡し、対策完了を確認します。

学習上の重要ポイント

1. サービス解約とDNSレコード削除を一体で管理する

CDNやクラウドサービスを解約しても、DNSレコードが残っていれば、そのサブドメインが第三者に悪用される可能性があります。利用終了手順にはDNS設定の確認を含めます。

2. 自己申告と外部観測を組み合わせる

各事業部への照会だけでは、古い契約や組織変更による調査漏れが起こります。外部検索サービスの結果と突合することで、未把握の公開IT資産を発見しやすくなります。

3. ポートスキャンと脆弱性スキャンの目的を区別する

ポートスキャンは、外部公開されているサービスを確認します。脆弱性スキャンは、公開中のサービスやソフトウェアに既知の脆弱性があるかを確認します。

4. 深刻度と悪用実績を組み合わせる

CVSSは技術的な深刻度を表します。KEVカタログは実際に悪用された脆弱性を示します。両方を使うことで、深刻度と現実の脅威を踏まえて対応優先度を決められます。

5. 脆弱性管理は対策完了の確認まで行う

脆弱性情報を配信するだけでは、修正が完了したか分かりません。対象資産と管理部門を特定し、優先度を伝え、対策実施を追跡します。

記述式設問の解答作成ポイント

設問1: サーバ名だけでなく、「終了したサブドメイン」「CNAMEレコード」「削除」の三要素を書きます。
設問3 (1): 「ポートスキャン」と「Webのポートだけが開いていること」の両方を書きます。
設問3 (2): 「脆弱性スキャナーの実行」と「脆弱性の有無の確認」を対応させます。
設問3 (3): 継続利用時は停止・修正・再開、非継続時は切離し・廃棄の順序を明記します。
設問4 (4): 項番1は継続監視、項番2は対象部門への優先度連絡と実施確認まで書きます。

解答一覧

設問1: 権威DNSサーバ、終了したサブドメインのCNAMEレコードを削除する。
設問2 (1): a レンタルサービスを契約して利用した公開IT資産、b 他社データセンターを契約して利用した公開IT資産（順不同）
設問2 (2): c WHOIS
設問2 (3): あ Z、い Y、う X
設問2 (4): d オ、e ア、f イ、g ク、h キ
設問3 (1): ポートスキャンでWebのポートだけが開いていることを確認する。
設問3 (2): 脆弱性スキャナーを実行して、脆弱性の有無を確認する。
設問3 (3): 継続利用する場合は一旦サービスを停止し、脆弱性を修正後に再開する。利用しない場合は速やかにネットワークから切り離し、機器を廃棄する。
設問4 (1): 4.0
設問4 (2): ウ
設問4 (3): 実際に悪用された。
設問4 (4): 項番1は、情シ部がIT資産管理台帳にあるSWについて重要な脆弱性情報が発表されていないか継続的に確認する。項番2は、該当SWを保有する管理部門に対策の優先度を連絡し、対策実施を確認する。

参照資料

IPA「令和7年度春期情報処理安全確保支援士試験午後試験問4」（問題文）
IPA「令和7年度春期情報処理安全確保支援士試験解答例」（問4の解答例・出題趣旨）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

令和7年度春期 情報処理安全確保支援士（午後試験 問4）解説