基本情報技術者試験
基本情報技術者 科目A公開問題：セキュリティの7問（攻撃・暗号・認証・組織）
基本情報技術者試験の科目A公開問題から、ドライブバイダウンロード、SQLインジェクション対策、WAF、暗号の危殆化、2要素認証、CSIRTの7問を解けます。名前が似た攻撃・組織を取り違えない見分け方をまとめました。
基本情報技術者試験
令和5年度 科目A 公開問題 問9
IPA 公表問題
ドライブバイダウンロード攻撃に該当するものはどれか。
答えと選択肢ごとの根拠を見る
正解：ウ（利用者が悪意のある Web サイトにアクセスしたときに，Web ブラウザの脆弱性を悪用して利用者の PC をマルウェアに感染させる。） IPA 公表の解答例による
ア × 誤り 名前の「ドライブ」と「ダウンロード」から，ハードディスクを盗んでデータを公開する攻撃だと考えた
ハードディスクの窃盗とデータの公開は，物理的な盗難と情報漏えいの話。ドライブバイダウンロード攻撃の「ドライブ」はハードディスクのことではなく，通りがかり（drive-by）のように，サイトを見ただけで感染させられることを指す。
イ × 誤り ダウンロードが出てくるマルウェアの攻撃は，すべてドライブバイダウンロードだと考えた
添付ファイルを開かせて感染させ，ファイルを暗号化して金銭を要求するのは，ランサムウェアの手口。感染のきっかけが利用者自身によるファイルの実行なので，閲覧しただけで感染するドライブバイダウンロードとは違う。
ウ ○ 正しい
ドライブバイダウンロード攻撃は，悪意のあるWebサイトを見ただけで，ブラウザなどの脆弱性を突かれてマルウェアを勝手にダウンロード・実行させられる攻撃。利用者がファイルを選んで開いたり，インストールを承諾したりしなくても感染する点が特徴。
エ × 誤り 利用者が気付かないうちに入り込む攻撃は，どれもドライブバイダウンロードだと考えた
無償ソフトに不正プログラムを紛れ込ませる手口。利用者自身がダウンロードとインストールの操作をしているので，閲覧しただけで脆弱性を突かれて感染するドライブバイダウンロードとは違う。
基本情報技術者試験
令和6年度 科目A 公開問題 問10
IPA 公表問題
SQL インジェクションの対策として，有効なものはどれか。
答えと選択肢ごとの根拠を見る
正解：エ（プレースホルダを使って命令文を組み立てる。） IPA 公表の解答例による
ア × 誤り 出力するURLの確認を，SQLインジェクションの対策だと考えた
これは，リンクのURLに「javascript:」などを入れさせないための対策で，クロスサイトスクリプティングに効く。SQLインジェクションは，入力値がSQL文の一部として解釈されることで起きるため，画面に出すURLをそろえても防げない。
イ × 誤り パラメータの扱いに気をつける対策は，どれもSQLインジェクションに効くと考えた
ファイル名を外から指定させない対策は，サーバ内の想定外のファイルを読み書きされるディレクトリトラバーサルなどを防ぐためのもの。狙われるのがSQL文ではなくファイルのパスなので，SQLインジェクションの対策にはならない。
ウ × 誤り 外部から取り込む資源を制限すれば，データベースへの攻撃も防げると考えた
外部のスタイルシートを取り込ませない対策は，悪意のあるスタイルシートで画面を書き換えたり情報を盗まれたりするのを防ぐもの。データベースへの命令を組み立てる処理とは関係がなく，SQLインジェクションの対策にならない。
エ ○ 正しい
プレースホルダは，SQL文の骨組みを先に決め，入力値を後から値としてだけ埋め込む方法。入力値にSQLの記号や命令が含まれていても，文の構造は変わらず，ただの文字列として扱われる。SQLインジェクションの代表的な実装上の対策になっている。
基本情報技術者試験
令和5年度 科目A 公開問題 問10
IPA 公表問題
図のような構成と通信サービスのシステムにおいて，Web アプリケーションの脆弱性対策のための WAF の設置場所として，最も適切な箇所はどこか。ここで，WAF には通信を暗号化したり，復号したりする機能はないものとする。
原文の図は，上からPC（3台）→インターネット→ファイアウォール→SSL アクセラレータ→Web サーバ→データベースサーバの順に機器が縦に並び，その間の通信にa～dの記号が付いている。当サイトで次の表に描き直した。
| 記号 | 通信がつながる機器（上→下） | 通信の種類 |
|---|---|---|
| a | インターネット → ファイアウォール | HTTPS |
| b | ファイアウォール → SSL アクセラレータ | HTTPS |
| c | SSL アクセラレータ → Web サーバ | HTTP |
| d | Web サーバ → データベースサーバ | データベースアクセス用サービス |
答えと選択肢ごとの根拠を見る
正解：ウ（c） IPA 公表の解答例による
ア × 誤り インターネットからの入口に置くものなので，最も外側のaが適切だと考えた
aの通信はHTTPSで暗号化されている。WAFには復号する機能がないという条件なので，中身を見られず，Webアプリケーションへの攻撃を調べられない。
イ × 誤り ファイアウォールの次に置けば，外からの攻撃を最初に防げると考えた
bもまだHTTPSで，暗号化された状態。復号の前なので，WAFは通信の中身（リクエストの内容）を読めない。
ウ ○ 正しい
SSLアクセラレータで復号された後のcはHTTPの平文になっている。WAFはここでリクエストの中身を調べ，Webアプリケーションの脆弱性を突く攻撃を検査できる。しかもWebサーバの手前なので，不正な通信をWebサーバに届く前に防げる。
エ × 誤り 守りたいデータがあるデータベースの手前が最適だと考えた
dはWebサーバとデータベースサーバの間で，Webサーバに届いた後の通信。Webアプリケーションへの攻撃は，Webサーバを通った後では防ぎきれず，WAFはWebサーバの手前に置く。
基本情報技術者試験
令和7年度 科目A 公開問題 問9
IPA 公表問題
暗号の危殆化に該当するものはどれか。
答えと選択肢ごとの根拠を見る
正解：ウ（あるハッシュ関数においてハッシュ値が同じになるデータの組みを現実的な時間内で発見する方法が見つかった。） IPA 公表の解答例による
ア × 誤り 証明書の有効期限切れも，暗号の危殆化だと考えた
有効期限切れは，証明書を更新すれば済む運用上の問題。暗号アルゴリズムそのものの安全性が下がったわけではないので，危殆化には当たらない。
イ × 誤り 鍵の漏えいも，暗号の危殆化だと考えた
鍵が漏れたのは，鍵の管理が破られた事故。その鍵を替えれば，同じアルゴリズムを使い続けても安全性は保てる。アルゴリズムの強さが下がったことを指す危殆化とは別の話。
ウ ○ 正しい
暗号の危殆化は，計算機の性能向上や解読方法の発見で，アルゴリズムの安全性が保てなくなること。ハッシュ値が衝突するデータの組みを現実的な時間で見つけられるなら，そのハッシュ関数は改ざん検出などに使えなくなるので，危殆化に当たる。
エ × 誤り 暗号が破られて復号できるようになったら，すべて危殆化だと考えた
公開されたのは，攻撃者が使った特定のランサムウェアの復号鍵。暗号アルゴリズム自体が破られたのではなく，被害を受けたファイルを戻せるようになっただけで，危殆化とは違う。
基本情報技術者試験
令和7年度 科目A 公開問題 問10
IPA 公表問題
WAF の説明はどれか。
答えと選択肢ごとの根拠を見る
正解：ア（Web サイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。） IPA 公表の解答例による
ア ○ 正しい
WAFはWeb Application Firewallの略で，Webアプリケーションへの通信の中身を調べ，SQLインジェクションなどの攻撃に当たるものを遮断する。
イ × 誤り Wi-Fiに関わる語から，無線LANの規格だと考えた
無線LANの暗号化方式の規格はWPA2やWPA3など。WAFとは別のもの。
ウ × 誤り 攻撃を検知する製品なので，ログを集めて分析するものだと考えた
ログを集めて脅威を分析するのはSIEMの説明。WAFは，通信の中身を見て，その場で攻撃を遮断する。
エ × 誤り Firewallの語が入っているので，複数の機能をまとめた製品だと考えた
複数のセキュリティ機能を一つにまとめて管理するのはUTM（統合脅威管理）の説明。WAFはWebアプリケーションの保護に絞った仕組み。
基本情報技術者試験
令和8年度 科目A 公開問題 問9
IPA 公表問題
2 要素認証に該当する組みはどれか。
答えと選択肢ごとの根拠を見る
正解：ウ（パスワード認証，静脈認証） IPA 公表の解答例による
ア × 誤り 別々の仕組みを二つ使っているので2要素だと考えた
クライアント証明書も，ハードウェアトークンも，持っているものによる認証（所持）。同じ種類の要素を二つ使っているので，2要素認証ではない。
イ × 誤り 方式の違う二つを使っているので2要素だと考えた
静脈も指紋も，身体の特徴による認証（生体）。同じ種類の要素の組合せなので，2要素認証には当たらない。
ウ ○ 正しい
パスワードは知っていること（知識），静脈は身体の特徴（生体）。種類の違う二つの要素を組み合わせているので，2要素認証に当たる。
エ × 誤り 入力を二回求められるので2要素だと考えた
パスワードも秘密の質問の答えも，知っていることによる認証（知識）。同じ種類の組合せで，2要素認証ではない。
基本情報技術者試験
令和8年度 科目A 公開問題 問10
IPA 公表問題
情報セキュリティに関する専門組織の説明のうち，CSIRT の説明として，最も適切なものはどれか。
答えと選択肢ごとの根拠を見る
正解：ウ（発生したセキュリティインシデントに対し，インシデント対応を行う組織） IPA 公表の解答例による
ア × 誤り 脆弱性への対応をする組織は，すべてCSIRTだと考えた
自社の製品やサービスの脆弱性に対応する組織は，PSIRTの説明。CSIRTは，製品の脆弱性ではなく，発生したインシデントへの対応が中心。
イ × 誤り 監視してインシデントを見つける組織がCSIRTだと考えた
システム監視やログ分析で，インシデントの兆候を見つける運用を担うのは，SOCの説明。CSIRTは，見つかったインシデントへの対応を担う。
ウ ○ 正しい
CSIRTは，セキュリティインシデントが起きたときに，状況の確認，被害の拡大防止，復旧の支援などの対応を行う組織。「発生したインシデントに対応する」という点が，検知を担うSOCとの違い。
エ × 誤り 標的型攻撃を支援する組織は，CSIRTのことだと考えた
標的型サイバー攻撃の相談を受け，被害の低減と攻撃の連鎖の遮断を支援するのは，J-CRATの説明。CSIRTは，インシデントが起きた組織の側で対応を進める役割で，相談を受けて外から支援する組織とは立場が違う。
解説
この7問で問われること
この7問は攻撃の名前や組織の略称を聞き、似た別のものを選択肢に並べています。問われているのは「どの手口か」「どの対策が有効か」「何が危殆化か」「どの組織か」「どこに置く装置か」「どの組合せが2要素か」で、定義を知っていれば短時間で解けます。名前の字面から意味を想像すると外しやすい問題です。
7問を並べると、攻撃の手口と対策（ドライブバイダウンロード、SQLインジェクション、WAFの2問）、暗号と認証（危殆化、2要素認証）、組織（CSIRT）に分かれます。WAFは令和5年度に設置場所、令和7年度に機能が問われていて、同じ装置を別の角度から聞く出題です。
令和5年度 問9（ドライブバイダウンロード攻撃）：感染のきっかけを利用者が作ったか
答えはウ（ドライブバイダウンロード攻撃）です。四つの選択肢はどれもダウンロードかマルウェアが出てきます。見分けるのは感染のきっかけです。正解のウは「悪意のあるWebサイトにアクセスしたときに、Webブラウザの脆弱性を悪用して」感染させる手口で、サイトを見ただけで感染します。
- アはハードディスクを盗む話で、「ドライブ」の字面に引かれた選択肢です。ここでのdrive-byは「通りがかり」の意味です。
- イはメールの添付ファイルを開かせ、感染したPCのファイルを暗号化する手口です。ファイルを開くのは利用者の操作です。
- エは無償ソフトに不正プログラムを混ぜる手口です。ダウンロードもインストールも利用者が自分で行っています。
利用者が何も選ばないうちに感染する手口かを問題文で探すと、イとエを外せます。
令和6年度 問10（SQLインジェクション対策）：狙われる先がSQL文かどうか
答えはエ（プレースホルダを使って命令文を組み立てる）です。「有効なもの」を聞く問題で、四つとも入力値の扱いに関する対策です。解く手がかりは各対策が何を守るためのものかを一言にすることです。
アは出力するURLを制限する対策で、クロスサイトスクリプティングに有効です。イはファイル名を外から指定させない対策で、ディレクトリトラバーサルなどに有効です。ウは外部のスタイルシートを取り込ませない対策で、画面の書き換えや情報の窃取を防ぎます。どれも外部からの入力を警戒する点は同じですが、守る先がSQL文ではありません。
エのプレースホルダはSQL文の骨組みを先に決めて、入力値を後から値としてだけ埋め込みます。入力にSQLの記号が混じっていても文の構造が変わらないので、SQLインジェクションに有効です。
令和5年度 問10（WAFの設置場所）：暗号が解けたあとで、Webサーバの手前
答えはウ（c）です。問題文の条件は、WAFに通信を暗号化・復号する機能がないことです。WAFは通信の中身を調べて、Webアプリケーションの脆弱性を突く攻撃を見つけます。暗号化されたままでは中身が読めないので、暗号を解いたあとの場所に置く必要があります。
構成を見ると、SSLアクセラレータで復号されたあとのcが、平文のHTTPになっています。しかもWebサーバの手前なので、不正な通信をWebサーバに届く前に止められます。
- aはインターネットとファイアウォールの間、bはファイアウォールとSSLアクセラレータの間で、どちらもHTTPSの暗号化された状態です。入口に近いほうが早く防げると考えた選択肢ですが、WAFは中身を読めません。
- dはWebサーバとデータベースサーバの間です。Webアプリケーションへの攻撃はWebサーバに届いたあとでは防ぎきれず、WAFはWebサーバの手前に置きます。
装置を置く場所の問題は、その装置が通信の何を見るのかを先に決めてから、構成の中でそれが見える場所を探します。
令和7年度 問9（暗号の危殆化）：アルゴリズムの強さが下がったか
答えはウ（ハッシュ値が衝突するデータの組みを現実的な時間で見つける方法が見つかった）です。この問題で問われる暗号の危殆化は、暗号アルゴリズムそのものの安全性が保てなくなることです。ウはハッシュ関数の衝突が見つかる話で、改ざん検出に使えなくなるので危殆化に当たります。
残りの三つは危殆化に見えて別の話です。アは証明書の有効期限切れで、更新すれば済みます。イは秘密鍵の漏えいで、鍵を替えれば同じアルゴリズムを使い続けられます。エはランサムウェアの復号鍵が公開された話で、暗号の方式が破られたわけではありません。選択肢が「何が破れたのか」を鍵・証明書・特定のマルウェアの鍵・アルゴリズムのどれにしているかを見ます。
令和7年度 問10（WAFの説明）：Webサイトへのアクセス内容を見る
答えはア（アクセス内容を監視し、攻撃とみなす通信を遮断する）です。WAFはWeb Application Firewallの略で、Webアプリケーションへの通信の中身を調べ、SQLインジェクションのような攻撃に当たるものを遮断します。令和5年度 問10では置く場所を聞かれましたが、この問題は機能そのものを聞いています。
- イは無線LANの暗号化方式の規格で、WPA2やWPA3の説明に当たります。Wi-Fiという語から無線LANの話だと考えた選択肢です。
- ウは様々なシステムの動作ログを一元的に集めて、脅威になる事象を見つける仕組みで、SIEMの説明です。攻撃を検知する点が似ていますが、集めるのはWebへのアクセスに限らないログです。
- エはファイアウォールの機能に加えて、マルウェア対策や侵入検知など複数のセキュリティ機能をまとめた製品で、UTM（統合脅威管理）の説明です。名前にFirewallが入っているため選びやすい選択肢です。
名前の中の語（Wi-Fiアライアンス、Firewall）に引かれず、何を見張って何をするのかを、選択肢の説明文で確かめます。
令和8年度 問9（2要素認証）：要素の種類が違う組みか
答えはウ（パスワード認証、静脈認証）です。2要素認証は知識（知っていること）、所有（持っているもの）、生体（身体の特徴）の三つのうち、種類の違う二つを組み合わせる認証です。パスワードは知識、静脈は生体なので、種類が違う二つの組合せになっています。
誤答は、二つ使っていても要素の種類が同じか、別の種類になっていない組合せです。
- アのクライアント証明書とハードウェアトークンは、どちらも持っているものです。
- イの静脈認証と指紋認証は、どちらも身体の特徴です。
- エのパスワードと秘密の質問の答えは、どちらも知っていることです。
「二つの仕組みを使っているから2要素」「入力を二回求められるから2要素」と考えると外します。それぞれを知識・所有・生体のどれかに振り分けて、種類が重ならない組みを選びます。
令和8年度 問10（CSIRT）：「発生した」インシデントに対応するか
答えはウ（発生したセキュリティインシデントに対し、インシデント対応を行う組織）です。四つとも組織の説明で、誤答の三つは、それぞれ別の組織の説明をそのまま書いています。
- アは自社の製品やサービスの脆弱性に対応するPSIRTです。
- イはシステム監視やログ分析で検知を担うSOCです。
- エは標的型サイバー攻撃の相談を受けて支援するJ-CRATです。
見分ける言葉は検知か、対応か、製品の脆弱性か、外からの支援かです。この問題の解き方としてはCSIRTを「起きたあとの対応」と覚えておくと、SOCとの取り違えを避けられます。実際のCSIRTは事前の備えも担います。
他の選択肢が何の説明だったかを言う
誤答の選択肢は、別の用語の説明、別の組合せ、別の場所や出来事のどれかになっていました。たとえば、令和5年度 問9のアはHDD盗難、イはメール経由の感染、令和6年度 問10のアはクロスサイトスクリプティング対策、イはディレクトリトラバーサル対策、令和7年度 問9のアは証明書の期限切れ、令和7年度 問10のウはログを集める仕組み、令和8年度 問9のイは生体どうしの組合せ、問10のイはSOCの説明でした。答えを選んだあとで、残りがこのどれに当たるかを言えれば、次に同じ用語が別の形で出ても迷いにくくなります。
受験の手順は「今の基本情報技術者試験の受け方」に、科目Aのほかの分野は「基本情報技術者 科目A公開問題：スクラムと日程管理（プロジェクトマネジメント）の7問」と「基本情報技術者 科目A公開問題：設計とインフラ（E-R・多相性・クラウド・ping）の5問」と「基本情報技術者 科目A公開問題：開発手法とツール（スタブ・コーディング規約・ローコード）の4問」と「基本情報技術者 科目A公開問題：契約・著作権・生成AI・監査の7問」にあります。
参考にした資料（8件）
独立行政法人情報処理推進機構（IPA）（確認）