令和7年度秋期情報処理安全確保支援士（午後試験問3）解説

Last updated at 2026-10-30Posted at 2026-10-28

令和7年度秋期情報処理安全確保支援士（午後試験問3）解説

テーマ: DNSSEC・DoH・DoT・インターネットバンキング・トランザクション署名・接続元IPアドレス制限・VPN・SAML・MFA・URLフィルタリング・端末コンプライアンス

この問題の全体像
本問は、P社におけるインターネットバンキングの変更と、HTTPSを利用するVPNサービスによるリモートワーク環境の導入を題材にしています。前半ではDNS関連プロトコル及びインターネットバンキングの認証手順を、後半では固定グローバルIPアドレス、URLフィルタリング、MFA、接続ログを組み合わせた運用設計を読み解きます。

表記について
「問題文からの引用」は、問題冊子の本文、表又は図から、解答根拠となる箇所を引用形式で示しています。引用後の「着眼点・注目ポイント」で読み方を整理し、その後に正解と解説を示します。

設問1 〔DNS通信の安全性〕について

1. (1) 空欄 a について

問題文からの引用

「[ a ]：応答にデジタル署名を付与する。」

着眼点・注目ポイント
DNS応答へデジタル署名を付与し、応答の真正性と完全性を検証する仕組みを答えます。解答条件は英字10字以内です。

正解: DNSSEC
解説: DNSSEC（Domain Name System Security Extensions）は、DNS応答に付与されたデジタル署名を検証するための仕組みです。検証によって、名前解決結果の出所と、応答が途中で改ざんされていないことを確認できます。DNS通信そのものを暗号化する方式ではない点に注意します。

混同しやすい点: DNSSECはDNS応答の真正性・完全性を検証します。一方、DoHとDoTはDNSの問合せ・応答を暗号化して通信経路上で保護する方式です。

2. (2) 空欄 b について

問題文からの引用

「[ b ]：HTTPSを用いてDNS通信する。」

着眼点・注目ポイント
「HTTPSを用いて」が決め手です。DNS over HTTPSの略称を答えます。解答条件は英字5字以内です。

正解: DoH
解説: DoH（DNS over HTTPS）は、DNSメッセージをHTTPSで送受信する方式です。HTTPSを用いるため、DNS通信はTLSによって暗号化されます。

3. (2) 空欄 c について

問題文からの引用

「DoT：[ c ]を用いてDNS通信を暗号化する。」

着眼点・注目ポイント
DoTはDNS over TLSの略称です。方式名に含まれる暗号化プロトコルをそのまま答えます。解答条件は英字5字以内です。

正解: TLS
解説: DoTは、DNS通信をTLSで暗号化する方式です。DoHがHTTPSを利用するのに対し、DoTはDNS通信をTLS上で直接保護します。

設問2 〔偽サーバを介したIB取引〕について

1. 空欄 d について

問題文からの引用

「図4の(13) [ d ]」

「数字入力トークンは、口座番号と時刻情報を基に認証番号を生成し、表示する。」

着眼点・注目ポイント
図4の(13)は、偽のサーバからY-IBへ送られる情報として読み取ります。表5では候補が二つしかないため、(13)と(17)が通信のどの位置にあるかを図4で区別することが重要です。

正解: イ（攻撃者による書換え前の口座番号）
解説: 図4の(13)では、偽のサーバがY-IB側へ「攻撃者による書換え前の口座番号」を送ります。ここでいう書換え前とは、偽のサーバが利用者向け画面の表示内容を加工する前の値です。Y-IB側では、この口座番号を基に後続の取引処理が進みます。

2. 空欄 e について

問題文からの引用

「図4の(17) [ e ]」

「図5 ポップアップ画面」では、偽のサーバから送られた数字を数字入力トークンに入力し、トークンに表示される認証番号を送信するよう求めている。

着眼点・注目ポイント
図4の(17)は、図5のポップアップを受け取った後、操作担当者が数字入力トークンへ入力する情報です。図5の注記に「図4の(16)で送られてきた数字」とあるため、偽のサーバが表示した数字とトークンへの入力値を対応付けます。

正解: ア（攻撃者口座の口座番号）
解説: 図5では、ポップアップに表示された数字を数字入力トークンへ入力するよう求めています。この数字が「攻撃者口座の口座番号」に当たるため、空欄eはアです。数字入力トークンは、入力された口座番号と時刻情報から認証番号を生成します。

選択肢の解説

ア（攻撃者口座の口座番号）: 空欄eの正解です。図5のポップアップで操作担当者に入力させる数字に対応します。
イ（攻撃者による書換え前の口座番号）: 空欄dの正解です。偽のサーバが利用者向け表示を書き換える前に扱っていた口座番号に対応します。

図4を読む際の注意: 抽出テキストだけでは矢印の向きや配置を追いにくいため、(13)と(17)は図4の通信方向、図5の注記、表5の選択肢を併せて確認します。解答は公式解答例の「d：イ、e：ア」に合わせています。

なぜZ-IBの方がリスクを下げられるか: 問題文では、Z-IBのカメラ付きトークンが、二次元コードを基に取引内容と認証番号を表示すると説明されています。利用者は、PC画面だけでなく独立したトークンの表示で取引内容を確認できるため、口座情報の改ざんに気付きやすくなります。

設問3 〔Kサービス設定サイトの接続元制限〕について

1. 図8の下線①について

問題文からの引用

「Kサービス設定サイトへのアクセスはP社内だけからできるよう制限する。」

「M-FWのインターネット側インタフェース：a1.b1.c1.d1」

「Kサービス設定サイトへのアクセスを許可する接続元IPアドレスを設定することができる。」

着眼点・注目ポイント
「P社内からのアクセス」を外部サービス側で識別するには、P社内からインターネットへ出る際のグローバルIPアドレスを指定します。表3から、M-FWのインターネット側IPアドレスを抜き出します。

正解: Kサービス設定サイトへのアクセスが許可される接続元IPアドレスをa1.b1.c1.d1に制限する。
解説: P社内の社有PCがKサービス設定サイトへアクセスすると、外部からはM-FWのインターネット側グローバルIPアドレスであるa1.b1.c1.d1からの通信として見えます。このIPアドレスだけを許可すれば、Kサービス設定サイトへのアクセスをP社内に限定できます。

注意: Kサービスには契約者専用の固定グローバルIPアドレスを指定する機能もありますが、それを許可するとリモートワーク中のKサービス経由でも設定サイトへアクセスできてしまいます。本設問の要件は「P社内だけ」です。

設問4 〔段階的な利用計画〕について

1. (1) 空欄 f について

問題文からの引用

「各取引先サービスで接続元IPアドレス制限を行っている。各取引先サービスでは、M-FWのグローバルIPアドレスからの接続は許可されている。」

「Kサービス経由でのインターネットアクセス時の送信元IPアドレスとして、契約者専用のKサービス用固定グローバルIPアドレスを指定することができる。」

着眼点・注目ポイント
Kサービス利用後は、取引先サービスから見える送信元IPアドレスがM-FWではなく、P社専用のKサービス用固定グローバルIPアドレスになります。既存の接続元IPアドレス制限へ、新しい送信元を追加する必要があります。

正解: 各取引先サービスへの接続を許可するIPアドレスとして、P社専用のKサービス用固定グローバルIPアドレスを登録してもらう。
解説: 取引先サービスは、許可済みのM-FWのIPアドレス以外からの接続を拒否します。Kサービス経由で利用するには、KサービスがP社向けに使用する固定グローバルIPアドレスを、取引先側の許可リストへ登録してもらう必要があります。

2. (2) 下線②で追加する宛先について

問題文からの引用

「M-FWのファイアウォール機能では社内からのHTTP通信を禁止とし、HTTPS通信の宛先はKサービスだけを許可する。」

「Kソフトは、利用者が、PCのWebブラウザからKサービス設定サイトにHTTPSでアクセスしてダウンロードし、インストールする。」

「情報システム係は、あらかじめダウンロードしておいた最新の脆弱性修正プログラムを社有PCに適用する。」

着眼点・注目ポイント
新規PCは、Kサービスへ接続する前にKソフトを入手する必要があります。また、本文でKサービスの利用対象外とされた通信、Kサービスへ接続する前に必要な通信、及びKサービスの認証に必要な通信を洗い出します。

正解: Z-IB、OSベンダーのOSアップデート配布サイト、認証基盤サービス及びKサービス設定サイトへのHTTPS通信
解説: Kサービスだけを許可すると、Kソフトの入手前にKサービス設定サイトへ到達できず、初期導入が成立しません。また、本文の条件に従い、初期設定・認証・IB利用に必要なHTTPS通信をM-FWで追加許可する必要があります。公式解答例では、Z-IB、OSアップデート配布サイト、認証基盤サービス、Kサービス設定サイトが対象です。

なぜ「Kサービスだけ」では不足するか: Kソフトをまだ導入していないPCは、Kサービス経由の通信を開始できません。そのため、Kソフトを取得するKサービス設定サイトなど、Kサービス利用開始前から必要な宛先をM-FWで許可する必要があります。また、本文の方針上、Z-IBはKサービス利用の対象外です。

各宛先の役割:

Z-IB: 経理係が利用するインターネットバンキングです。本文ではIB利用をKサービス必須化の対象外としています。

OSアップデート配布サイト: Kサービス接続前の初期設定で、最新の脆弱性修正プログラムを適用するために必要です。

認証基盤サービス: KサービスのSAML認証及びMFAに用います。

Kサービス設定サイト: Kソフトのダウンロードとインストールに必要です。

設問5 〔MFAの代替手段とOS移行促進〕について

1. (1) 空欄 g について

問題文からの引用

「先行利用では、利用中に社有スマホが故障し、認証ができないという問題が発生した。」

「管理者のアカウントで、認証方式を表2の認証方式3に変更する。」

「認証方式1：利用者ごとにあらかじめ登録した1件の電話番号へのSMS通知による認証」

着眼点・注目ポイント
認証方式3では、利用者が認証方式1又は2を選べます。社有スマホの認証アプリが使えない場合に備え、別の端末でSMSを受信できるようにします。P社は緊急時に個人所有スマホの利用を許可しています。

正解: 認証方式1の電話番号として、個人所有スマホの電話番号を登録する。
解説: 通常時は社有スマホの認証アプリを使い、故障時には個人所有スマホへのSMS通知を選べるようにします。認証方式を3へ変更するだけでは、認証方式1で使う電話番号が未登録なら代替認証を利用できないため、個人所有スマホの電話番号の登録までが必要です。

運用上の注意: 本問では、社有スマホ故障時の代替手段として個人所有スマホを使う方針です。実運用では、登録・変更時の本人確認や、電話番号変更時の更新手順も併せて管理する必要があります。

2. (2) 下線③の施策について

問題文からの引用

「Kサービス接続時に、接続元PCのOSのバージョン、OSの脆弱性修正プログラム適用状況、マルウェア定義ファイルのバージョンをチェックし、接続の可否を判定できる。」

「アカウント名、PCのシリアル番号、PC情報及び接続可否はログに記録される。」

「社有PCは、バージョンXから、バージョンYへのOSの移行中である。」

着眼点・注目ポイント
KサービスのログにはOSバージョンとアカウント名が記録されます。これを使えば、バージョンXを使っているPCと利用者を特定できます。各部には情報セキュリティ推進者がいるため、所属部を通じて移行を促します。

正解: Kサービス接続時のログからOSがバージョンXの社有PCを抽出し、アカウント名から利用者を特定後、利用者の所属する部の情報セキュリティ推進者に報告し、バージョンYへの移行を促してもらう。
解説: Kサービスは接続時のPC情報とアカウント名を記録するので、旧OSであるバージョンXを使用している端末を検索できます。対象利用者を特定し、各部の情報セキュリティ推進者へ連携することで、既存のOS移行管理体制を活用してバージョンYへの移行を促進できます。

不十分になりやすい解答: 「バージョンXの接続を拒否する」だけでは、利用者や情報セキュリティ推進者へ移行を働き掛ける施策が示されません。公式解答例は、ログによる抽出、利用者の特定、所属部への報告、移行促進までを一連の施策としています。

構成と通信経路の整理

P社内からの通常通信はM-FWを経由し、外部からはa1.b1.c1.d1を送信元として見えます。
Kサービス利用時は、P社専用のKサービス用固定グローバルIPアドレスを送信元にできます。
取引先サービス側では、新しい送信元IPアドレスを許可リストへ追加する必要があります。
KサービスはSAMLでVサービスの認証基盤をIdPとして利用し、MFAを組み合わせます。
KサービスのURLフィルタリングを利用するHTTPS通信では、Kサービスが接続元PC側とアクセス先側のHTTPS通信をそれぞれ終端します。
初期導入・認証・IB利用などに必要な宛先は、M-FWで直接HTTPS通信を許可します。
Kサービスの接続ログを使い、OSバージョンXの端末と利用者を特定して、バージョンYへの移行を促します。

学習上の重要ポイント

1. DNSSECとDNS通信の暗号化を区別する

DNSSECはDNS応答へデジタル署名を付与して真正性・完全性を検証します。DoHとDoTは通信経路を暗号化します。保護する対象が異なります。

2. 認証番号だけでなく、認証対象の取引内容を確認する

数字入力トークンが口座番号を基に認証番号を生成しても、利用者が入力させられた口座番号の意味を理解していなければ、偽サーバに誘導される余地があります。カメラ付きトークンのように、独立した端末上で取引内容を確認できる仕組みは、改ざんの発見に役立ちます。

3. 接続元IPアドレス制限では通信経路の変化を追う

VPNやクラウド型セキュリティサービスを導入すると、外部サービスから見える送信元IPアドレスが変わることがあります。既存の許可リストを、新しい固定グローバルIPアドレスへ対応させる必要があります。

4. VPN導入前に必要な通信を考える

VPNソフトのダウンロード、認証、OS更新など、VPN接続を確立する前に必要な通信があります。「VPN以外を全て拒否」とすると初期設定が成立しないため、導入手順から必要な宛先を洗い出します。

5. ログを利用者への是正活動につなげる

端末状態を記録するだけでなく、旧OS端末の抽出、利用者の特定、管理担当者への連携、移行の働き掛けまで設計することで、OS移行を促進できます。

記述式設問の解答作成ポイント

設問3: 「P社内だけ」と「a1.b1.c1.d1」を両方書き、どの設定項目を制限するかを明示します。
設問4 (1): 「取引先に依頼すること」「P社専用のKサービス用固定グローバルIPアドレス」「接続許可」の三要素を入れます。
設問4 (2): 宛先名だけでなく、「HTTPS通信」を許可することまで書きます。
設問5 (2): ログからの抽出だけで終わらず、利用者特定、情報セキュリティ推進者への報告、バージョンYへの移行促進までつなげます。

解答一覧

設問1 (1): a DNSSEC
設問1 (2): b DoH、c TLS
設問2: d イ、e ア
設問3: Kサービス設定サイトへのアクセスが許可される接続元IPアドレスをa1.b1.c1.d1に制限する。
設問4 (1): 各取引先サービスへの接続を許可するIPアドレスとして、P社専用のKサービス用固定グローバルIPアドレスを登録してもらう。
設問4 (2): Z-IB、OSベンダーのOSアップデート配布サイト、認証基盤サービス及びKサービス設定サイトへのHTTPS通信
設問5 (1): 認証方式1の電話番号として、個人所有スマホの電話番号を登録する。
設問5 (2): Kサービス接続時のログからOSがバージョンXの社有PCを抽出し、アカウント名から利用者を特定後、利用者の所属する部の情報セキュリティ推進者に報告し、バージョンYへの移行を促してもらう。

参照資料

IPA「令和7年度秋期情報処理安全確保支援士試験午後試験問3」（問題文）
IPA「令和7年度秋期情報処理安全確保支援士試験解答例」（問3の解答例・出題趣旨）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

令和7年度秋期 情報処理安全確保支援士（午後試験 問3）解説