跳到正文

平成22年度 秋期 ITパスポート試験 問96

这道题的解析和你的作答记录。

問96
頻出度★★★

S 社の T 営業所では,ID カードによる入室管理システムを導入することになった。T 営業所の施設の種類と管理対象者の区分(以下,対象区分という)を表のように分類し,入室許可の有無の区分(以下,許可区分という)の設定を行う。ここで,表は施設に対して入室を許可する対象区分を“○”,入室を許可しない対象区分を“×”で示す。 表 許可区分の設定

施設\対象区分来客者営業課員
執務室×○
応接室○○

施設と対象区分に対する許可区分の設定は,入室管理システムの管理用 PC から,次の設定の形式のとおりに入力する。 〔設定の形式〕 形式1:ポリシ|許可区分 形式2:施設|許可区分|対象区分 注 形式 1 の三つ目の項目は使用しない。 (1) 設定は,形式 1 を 1 行目に記述し,形式 2 を 2 行目以降に必要な行数だけ記述する。 (2) 許可区分には,入室を許可する場合は“ACCEPT”,入室を許可しない場合は“DENY”を記述する。 (3) 形式 1 は,ポリシを記述するための形式であり,最初の項目には“ポリシ”と記述する。ポリシの記述とは,2 行目以降に記述する行のいずれにも該当しない施設と対象区分の組合せに対して,適用する許可区分を指定するものである。 (4) 形式 2 には,施設と対象区分の組合せとそれに対する許可区分を記述する。施設に対して許可区分が同じ対象区分については,コンマで区切って複数記述できる。 (5) 入室が許可されるかどうかは,2 行目以降で記述した行の順に評価される。指定した施設と対象区分の組合せの行が見つかれば,その行の許可区分を適用し,それ以降の行の評価は行わない。 新たに施設や対象区分を追加する際に,形式2による設定に漏れがあった場合,防犯の観点に立ったときの形式1によるポリシの許可区分の設定方法として,適切なものはどれか。

出典 平成22年度 秋期 ITパスポート試験 問96
解説

問 96

  • 错误ア

    「为使其无法进入」这一目的从防范犯罪的思路来看是正确的,但手段错了。根据条件(2),ACCEPT 是允许进入时所写的记述,因此把策略设为 ACCEPT 后,被漏掉的组合将全部可以进入,结果与目的完全相反。目的与手段自相矛盾。

  • イ

    正解 正确答案是 イ。如条件(3)所述,格式1 的策略是对那些与第 2 行及以后(格式2)任何一行都不相符的设施与对象类别的组合所适用的默认值(默认许可类别)。因此,在新增设施或对象类别时,如果漏写了格式2 的记述,该组合就不会与任何单条规则相符,必然由策略的许可类别来判定。从防范犯罪的角度看,凡是无法判断的、未曾预料到的情况一律不予放行是铁则,所以策略应设置为条件(2)中的 DENY(不允许进入)。这样一来,即使出现设置遗漏,未登记的组合也会自动被拒绝进入,不会发生门被打开的事故。イ 是「若设定存在遗漏,为使其无法进入,将其设为 DENY」,目的(不让其进入)与手段(DENY=不允许)正确一致,是唯一相符的选项。

  • 错误ウ

    ACCEPT=可以进入,这一记述本身与条件(2)一致,但方针与防范犯罪的观点相反。它会成为把设置遗漏的组合全部放行的默认允许(黑名单方式),例如忘记阻止来访者进入新增的设施时,就会直接允许其进入。这种设置不会倒向安全的一侧(故障安全 fail-safe),因此不恰当。

  • 错误エ

    根据条件(2),DENY 是不允许进入时所写的记述,因此与「为使其能够进入」这一目的完全相反,记述本身就自相矛盾。这是把 ACCEPT 与 DENY 的含义弄反了的选项。

ここがポイント
  • 格式1 的策略=对于与任何单条规则(格式2)都不相符的组合所适用的默认许可类别。要与条件(5)的求值方式配套理解:从第 2 行起自上而下依次求值,相符那一行的许可类别被适用并就此确定。若直到最后都没有相符的行,策略就会生效。
  • 安全的基本原则是默认拒绝(白名单方式)与故障安全(fail-safe)。只明确列出要允许的内容,其余一律拒绝,这样即使出现设置遗漏或未预料到的新增,也会倒向安全的一侧。出入室管理和防火墙的访问控制都使用同样的思路。
用語
解答問96イ
练这一题

作答记录