設問1
(1) 脆弱性の有無によってサーバからのレスポンスに違いがないから
DOM型XSSの場合"#"以降の文字列はサーバに送信されません。
そのため、サーバから見るとリクエスト、レスポンスの内容を見ても正規なのか、攻撃なのか判断ができません。
レスポンスが返ってきたタイミングでブラウザに入っているJavascript等を利用して攻撃用スクリプトを実行します。
(2) スクリプトを分析し、フラグメント識別子の値の変化による挙動を確認する。
反射型XSSは攻撃スクリプトを含むデータを対象のWebに入力し、その結果、Webサイトに脆弱性があるかどうかを確認する。
しかし、DOM型XSSの場合、レスポンスに含まれないため脆弱性の有無が判断できない。
そのため、DOM型ではWebサイトのソースコードを分析し、"#"から始まるフラグメント識別子を利用したスクリプトの存在を確認する。
その後、スクリプトの挙動を確認することで脆弱性の有無を検知します。
(3) Rポータルが利用しているスクリプトがCookieの値を利用している場合
HttpOnly属性を指定すると、スクリプトからサーバ(もしくはWebブラウザ等)に保存されているCookieに参照できなくなります。
(document.cookieというメソッド?に格納されたCookieの参照をしなくなる。)
設問2
・踏み台サーバの操作記録機能によって、ログインした利用者のデスクトップ画面、実行したコマンド、及びキーボード入力を記録する。
R団体では共通管理者アカウントが正しく利用されていることを確認できるように踏み台サーバで証跡(ログ)を取っていました。
とっているログ、機能は表3のすぐ下に記載があるため、ほぼ丸パクリして解答すればよさそうです。
設問3
(1) a:WebAPサーバ b:DBサーバ c:ODBC ルール:9
WebAPサーバとDBサーバのセグメントが分かれた場合、通信を行う際にFWを経由することになります。
WebAPサーバとDBサーバの通信ではODBCというものを用いて通信を行っているため、それを許可してあげる必要があります。
さらに、運用管理PCからFWを経由したDBサーバへの通信はなくなるため、フィルタリングルール:9も不要になります。
(2) 人事総務課の職員が踏み台サーバを経由して、DBサーバに共通管理者アカウントでログインする行為
DBサーバへのアクセスは「システム運用課員によるログインと、WebAPサーバからの接続」だけが許可されていました。
設問3(2)より、DBサーバがサーバセグメントに移動してきています。
問題文を見ると人事課の人事データ更新について詳細に記述されています。その中に、人事異動が大量に発生する場合、踏み台サーバから人事サーバにログインし、処理を行うとあります。
表3項番3を確認するとアクセス先はすべてのサーバが対象になっているため、サーバセグメントに移動してきたDBサーバも対象になります。
また、表3にはシステム企画課や設定第1課の管理者権限でのサーバセグメントへのアクセス許可はされていないため、解答にはなりません。
(3) 検出事項:2
設問3(2)を踏まえて、人事総務課の職員さんが踏み台サーバ経由でDBサーバへアクセスできることが可能であることがわかりました。
追加すべき問題点は管理者用アカウントが共通であることです。
その問題を記述しているのは検出事項:2です。
設問4
(1) 制作パートナに渡すCCIの数
事前に確認する事項で、「e」の次には機密性の話をしているのでそれ以外で考えます。
図7はコンテナ方式について事細かに記載がありますが、CCIを必要な分だけ渡すと、フワッと書いてあります。
コンテナ方式は1度インストールしてしまえば他PCでの利用はできません(インストール自体は複数PCでも可能)
そのため、渡す数をはっきり決めておかないと不正利用につながる可能性も考えられます。
(2) CCをインストールしたPCを協力者宛てに輸送
これは解答を読んでも疑問が残ります。
パソコンを海外の協力者に輸送できるのならインストールしてしまう前に、CCIのメディアを輸送してしまえばいいような気がします。
これはちょっと確認中です。
(3) DRMサーバへの通信を制作パートナのグローバルIPアドレスからだけに制限する。
FWで行えるのはIPアドレス、ポート番号による制御くらいでWAFのようにパケットの中身を確認することはできません。
(ものによると思いますが・・・)
そのため、送信元IPアドレスが制作パートナのグローバルIPアドレスのみアクセス可能になるよう制御を掛けることがFWでできる対策だと考えられます。