科目B・擬似言語
科目Bを、読める順番で練習する（5ページ目）
科目Bはアルゴリズム（擬似言語）と情報セキュリティで構成され、独自記法の擬似言語に慣れているかどうかが結果を分けます。 ここでは360問のオリジナル練習問題を、解説つきで1問ずつ確認できます。 このページは241〜300問目です。
擬似言語を読む3つの要点
- 変数の表を書く — 頭の中で追わず、ループ1周ごとに各変数の値を書き出す（トレース）。速さは後からついてきます。
- 境界だけ疑う — ループの開始・終了、配列の端、条件の等号。擬似言語の設問はほぼここで差がつきます。
- 毎日数問、短く — 長文を週末にまとめて読むより、短い問題を毎日トレースするほうが記法に慣れます。
情報セキュリティ60問
アクセス制御A社では、新しい業務システムのアクセス権を利用者一人ひとりに個別に設定してきたが、利用者数が数百人規模に増え、似た職務の人に同じ権限を付け忘れたり、誰がどの…アクセス制御B社では機密文書へのアクセスを役割だけで制御してきたが、同じ役割の社員でも『社内ネットワークからの接続時のみ』『勤務時間内のみ』といった条件で可否を細かく分…アクセス制御C社では、利用者が必要な権限をシステム管理者へメールで直接依頼し、管理者が内容の妥当性を判断せずそのまま付与している。後日、本来不要な権限まで付与されていた…アクセス制御D社の購買システムでは、一人の担当者が取引先の登録・発注・支払承認のすべての権限を持っている。内部監査から、不正な取引先への架空発注と支払が一人で完結できる…アクセス制御E社のサーバでは、一般利用者が日常作業に使うアカウントに、必要時だけ管理者権限へ昇格できる仕組みがある。診断で『一般アカウントが奪われると、保存された認証情…アクセス制御F社の店舗では、レジ端末の業務アプリに店舗ごとの共有アカウントでログインし、複数の従業員が同じIDで操作している。返金処理に不正の疑いが生じたが、誰が操作し…アクセス制御G社では来訪者や短期研修生にゲストアカウントを発行しているが、利用期間の定めがなく、用が済んでも有効なまま放置されている。過去に発行されたゲストアカウントが…アクセス制御H社はシステム保守を外部委託しており、委託先の技術者に自社サーバへの保守用アカウントを発行している。委託先では誰がそのアカウントを使うか流動的で、H社は委託…アクセス制御I社では、従業員の退職手続でアカウントの無効化を情報システム部門へ依頼しているが、依頼が人事から届くのは退職日の数日後で、その間に退職者が自宅から社内システ…アクセス制御J社では、社員が部署を異動した際、異動先で必要な権限は新たに付与されるが、異動元で使っていた権限は削除されずに積み重なっていく。長く在籍した社員ほど不要な権…アクセス制御K社では複数部署が参加する新製品プロジェクトを進めており、参加者全員が共有フォルダ内のすべての資料を閲覧できるよう設定している。フォルダには一部の参加者しか…アクセス制御L社では、繁忙期に応援要員へ基幹システムの一時的な操作権限を付与している。しかし繁忙期が終わっても権限を取り消す手続が個別の記憶頼みで、過去の応援要員の一時…ファイアウォールA社が新設するファイアウォールのルールを設計している。社内方針では『業務に必要な通信だけを許可し、それ以外は通さない』ことを徹底したい。ルール設計の基本方針DMZB社はインターネットに公開するWebサーバと、社内のみで使う基幹データベースサーバを運用している。外部からの攻撃で公開Webサーバが侵害されても、社内の機密…IDSC社では、本番稼働中の基幹システムへの不審な通信を把握したいが、検知の仕組みが正常な業務通信を誤って遮断し業務が止まることだけは絶対に避けたい。まず導入する…WAFD社は外部に公開しているWebアプリに、改修が間に合わない既知の脆弱性が残っており、SQLインジェクションやクロスサイトスクリプティングを狙う不正な入力が日…プロキシE社では、マルウェア感染した社内端末が外部の不正な指令サーバへ勝手に通信し、情報が持ち出される事案を警戒している。社内端末から外部への通信を制御・監視して、…リバースプロキシF社は複数の公開Webサーバを運用しており、各サーバを直接インターネットに晒したくない。外部からの接続を一箇所で受けてサーバ群へ振り分けつつ、各サーバの実体…VPNG社は、社外の従業員が自分の私物PCや出張先の共用PCのWebブラウザだけを使って、社内の特定のWebシステム数種に限ってアクセスできるようにしたい。専用ク…無線LANセキュリティH社が新たに構築する社内無線LANで、通信の盗聴に対する強度を最も高めたい。利用する端末やアクセスポイントは新しい規格に対応している。採用する暗号化方式ネットワークセグメンテーションI社の工場では、製造を制御する制御系機器と、従業員が使う事務系PCが同一のネットワークに混在している。事務系PCがマルウェアに感染した場合でも、製造を止めな…ポートスキャンJ社のセキュリティ担当者が境界の通信ログを点検したところ、同一の外部送信元から、自社の公開サーバの多数のポート番号へ順番に短時間で接続を試みる通信が記録され…IPSK社では通信経路上にIPSをインライン構成で導入し自動遮断を有効にしている。導入後、ある特定の業務システムへの正規通信が攻撃と誤判定されて遮断され、業務に支…無線LAN認証L社の無線LANは全社員が共通の事前共有鍵（パスフレーズ）で接続している。退職者が出ても鍵を変えない限り接続でき、誰がいつ接続したかを利用者単位で管理できな…SQLインジェクションあるWebアプリのログイン処理は、入力されたIDとパスワードを文字列としてSQL文に連結し『該当行が1件以上あれば認証成功』としている。診断で、パスワード欄…クロスサイトスクリプティングあるWebサービスで二つの不具合が報告された。(1)商品レビュー投稿欄に入れたスクリプトがデータベースに保存され、以後そのページを開いた全利用者のブラウザで…クロスサイトリクエストフォージェリある会員サイトの送金処理にCSRF対策としてトークンを導入することになった。開発者が以下の実装案を検討している。CSRF対策として有効に機能する実装はどれかセッション固定攻撃あるWebアプリは、利用者が最初にアクセスした時点でセッションIDを発行し、その後ログインに成功してもセッションIDを変えずに使い続ける。攻撃者が事前に用意…SSRFあるWebアプリには、利用者が指定したURLの画像を取得してプレビュー表示する機能がある。攻撃者がこの機能に社内ネットワークやクラウドの内部管理用アドレスを…OSコマンドインジェクションあるWebアプリは、利用者が入力したホスト名に対してサーバ上でネットワーク疎通確認コマンドを実行し、その結果を画面に表示する。入力値をコマンド文字列に連結し…安全でないデシリアライゼーションあるWebアプリは、利用者のブラウザに保存させた状態データを、サーバ受信時にそのままオブジェクトへ復元（デシリアライズ）して処理に用いている。攻撃者が復元処…クリックジャッキングある会員サイトで、攻撃者が用意した別ページに会員サイトの操作画面を透明な枠として重ね、利用者が無関係なボタンと思って押した操作が実際には会員サイト上の重要操…HTTPセキュリティヘッダあるWebサービスでは出力時のエスケープを進めているが、開発規模が大きく、万一エスケープ漏れが残った場合にスクリプト実行による被害を抑える多層防御を追加した…HTTPセキュリティヘッダあるWebサービスはHTTPSに対応済みだが、利用者がアドレス欄にホスト名だけを入力した最初のアクセスがHTTPで行われ、その通信が経路上で改ざんされて偽サ…クロスサイトスクリプティングあるサイトの検索結果画面は、利用者がURLで渡した検索語を『〇〇の検索結果』という形でHTML本文にそのまま出力している。細工した検索語を含むURLを被害者…SQLインジェクションあるWebアプリの一覧画面は、利用者が選んだ並べ替え対象の列名をSQL文のORDER BY句に直接埋め込んでいる。列名は値ではなく構文要素のためプレースホル…入力値検証A社のWebアプリで、利用者が入力する都道府県コードを検証する処理を実装する。コードは『01』から『47』までの定義済みの値だけが正当である。多様な不正入力…脆弱性診断B社では開発中のWebアプリについて、まだ動作する環境を構築していない段階で、ソースコードに潜む脆弱性をできるだけ早期に洗い出したい。この目的に適した診断手…脆弱性管理C社の脆弱性管理担当者は、診断ツールが報告した多数の脆弱性に対し、限られた人員で修正対応する順序を決めたい。対応の優先度を客観的に判断する指標ソフトウェアサプライチェーンD社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できておらず、新たな深刻な脆弱性が公表されても自社…パッチ管理E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した際、既存機能との不整合で業務が停止した苦い経…ペネトレーションテストF社は脆弱性診断ツールによる網羅的な検査は定期実施しているが、検出された個々の弱点が実際に組み合わさって重要システムへの侵入に至るかを、攻撃者の視点で確かめ…セキュアコーディングG社のWebアプリでは、内部で例外が発生すると、データベースのテーブル名やSQL文、サーバの内部パスを含む詳細なエラーメッセージを利用者の画面にそのまま表示…セキュリティバイデザインH社では、これまでシステム開発の最終工程で脆弱性診断を行い、見つかった問題を都度修正してきた。しかし手戻りが大きく、根本的な設計上の欠陥は修正困難なことも多…セキュアな設定管理I社が導入した管理用ソフトウェアには、出荷時から共通の管理者IDと初期パスワードが設定されており、管理画面が外部ネットワークからもアクセス可能な状態で稼働し…脆弱性診断J社では、機能テストでアプリを実際に動かしている間に、その内部の処理経路まで把握して脆弱性を高精度に検出したい。静的解析だけでは実行時の挙動を捉えられず、外…セキュアコーディングK社のWebアプリでは、利用者が自分の注文明細をURLのパラメタに含む注文番号で参照する。ある利用者が注文番号の数字を別の値に書き換えたところ、他人の注文明…ソフトウェアサプライチェーンL社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正なコードが混入する事態を懸念している。委託元…インシデント対応A社の運用担当者の元へ、監視ツールから『深夜に経理サーバから海外IPへ大量のデータ送信があった』という1件のアラートが届いた。担当者は他にも多数のアラートを…インシデント対応B社の受注処理を担う基幹サーバ1台がマルウェアに感染していると分析で判明した。このサーバを止めると当日の受注業務が完全に停止するが、稼働を続けると社内の他サ…インシデント対応C社では、感染端末を隔離して封じ込めた後、調査で『攻撃者が作成した不正なアカウントと、再侵入用のバックドアプログラムが端末に残っている』ことが判明した。イン…インシデント対応D社では、侵害されたWebサーバの脅威除去（根絶）を終え、業務へ復旧させようとしている。早く再開したいという声が現場から強い。インシデント対応の復旧段階の進…インシデント対応E社では、一連のインシデント対応を終えてシステムを通常運用へ復旧させた。同種の事故を繰り返さないために行うべき、インシデント対応プロセスの最後の段階での活動インシデント対応F社の社員が、業務端末の画面に『ファイルを暗号化した。復号してほしければ支払え』という脅迫文が表示され、ファイルが開けなくなっているのを発見した。端末はまだ…インシデント対応G社で不正アクセスが疑われる端末について、後日の詳細な原因調査や法的手続でも証拠として使えるよう、ディスク内のデータを保全することになった。デジタルフォレン…インシデント対応H社では、各種機器のログやアラートを夜間・休日も含めて常時監視し、攻撃の兆候を早期に検知して一次対応へつなげる専門チームの新設を検討している。このチーム（S…インシデント対応I社の一次対応担当者が、調査の結果『顧客の個人情報が外部に流出した可能性が高い重大インシデント』と判断した。自分の権限では公表や顧客対応の判断ができない。あ…インシデント対応J社のサービスで、利用者の個人データが外部に漏えいした事実が確認された。J社は対応方針を検討している。情報漏えい発覚時の対外対応インシデント対応K社のインシデント調査で、原因が『公開サーバに長期間適用されていなかった既知の脆弱性を突かれたこと』と特定された。再発防止策を立案するうえで、最も適切なもの…インシデント対応L社では、インシデント対応手順書は整備済みだが、実際に事故が起きた際に手順どおり関係者が連携して動けるか不安がある。手順書の実効性を高めるために実施すべき活…
科目Bのトレースを、そのまま画面上で。
登録すると、擬似言語のトレースを1行ずつ画面で追える練習モードと、間違えた問題の解き直しが使えます。科目Aの過去問演習・模試も無料枠で試せます。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。