情報及び情報システムの利用におけるセキュリティ対策の適用（暗号利用、マルウェア対策、脆弱性対応など）
この領域で問われること
暗号利用、マルウェア対策、脆弱性対応など、日々の運用で適用する対策を問う領域である。技術の用途を正しく対応づけ、多層防御の考え方で説明できるかがポイントになる。
暗号利用
- 共通鍵暗号（AES）は高速だが鍵配送が課題であり、公開鍵暗号（RSA、楕円曲線）は鍵配送と署名に使う。実際の通信はTLSのように両者を組み合わせたハイブリッド方式が多い。
- ハッシュ（SHA-256）は完全性の確認に使い、パスワードはソルト付きのストレッチングで保存する。暗号化とハッシュを混同しない。
- デジタル署名は完全性、真正性、否認防止に寄与する。鍵管理と失効の仕組みが運用の要になる。
マルウェア対策と脆弱性対応
- パターンマッチだけでは未知のマルウェアに弱い。振る舞い検知、EDR、サンドボックス、実行ファイルの許可制を組み合わせる。
- ランサムウェアに備え、バックアップをネットワークから隔離し、復元手順を定期的に検証する。
- 脆弱性はCVEやJVNで情報を収集し、CVSSの深刻度に業務影響と露出状況を加味して適用優先度を決める。適用できない場合はWAFやポート制限で緩和する。
例題で確認
公開WebサーバにCVSS 9.8の脆弱性が公表された。しかし該当機能は未使用で外部公開もされていない。この場合は影響を評価した上で計画的に適用する。逆にCVSS 7.5でも外部公開され認証不要で攻撃可能なら緊急対応とする。CVSSは環境により補正して判断する。
失点しやすい点
暗号化すれば安全だと考える（鍵管理が抜ける）。パスワードを復号可能な暗号で保存する。マルウェア対策を端末だけに限定する。CVSSの値だけで優先度を決める。診断とペネトレーションテストを混同する。