平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17

アプリケーションセキュリティ

SQLインジェクションの問題

• アWeb アプリケーション中でシェルを起動しない。 ／ chroot 環境で Web サーバを稼働させる。
• イセッション ID を乱数で生成する。 ／ TLS によって通信内容を秘匿する。
• ウパス名やファイル名をパラメタとして受け取らないようにする。 ／ 重要なファイルを公開領域に置かない。
• エプレースホルダを利用する。 ／ データベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

この問題の用語

• プレースホルダ問合せ文の値の部分を、あとから当てはめる形にしておく書き方です。値を文と分けて渡すので、文の使い回しや不正な文の混入防止に役立ちます。
• セッション利用者がつながってから終わるまでの、一続きのやり取りのことです。識別のためのIDが割り当てられ、同じ利用者のやり取りとしてまとめます。
• TLS通信の中身を途中で読まれたり書き換えられたりしないよう、暗号にして届ける取り決め。つないだ相手が本物かも確かめます。
• データベースたくさんのデータを決まった形で貯め、探したり書き換えたりできるようにした仕組み。多くの人が同時に使うことを前提にしています。
• アカウントシステムを使う人ごとに割り当てられる、利用のための資格や識別名です。利用者IDとパスワードなどの組で、本人を見分けて使わせます。
• アクセス権限「アクセス権」と同じ意味です。参照だけができる許可と、書き換えもできる許可のように、種類に分けて示すときによく使われる言い方です。

出典：平成28年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17

同じ用語が出る問題

• 令和7年度 秋期 午前Ⅱ 問17：IEEE 802.1Xの問題（セッション）
• 令和7年度 春期 午前Ⅱ 問6：デジタル証明書に関する記述（TLS）
• 令和7年度 春期 午前Ⅱ 問4：カミンスキー攻撃への対策（プレースホルダ）
• 令和6年度 秋期 午前Ⅱ 問25：業務処理統制に該当するもの（アクセス権限）
• 令和5年度 春期 午前Ⅱ 問17：SQLインジェクションの問題（アカウント）

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）