問54
頻出度★★★
ファイルサーバの運用管理に関する記述 a～d のうち, セキュリティ対策として有効なものだけを全て挙げたものはどれか。 a アクセスする利用者のパスワードを複雑かつ十分な長さに設定する。 b 許可された IP アドレスの PC だけからアクセスできるように設定する。 c ゲストユーザにもサーバへアクセスできる権限を与える。 d サーバのアクセスログを取得し, 定期的に監査する。
平成26年度 春期 ITパスポート試験 問54
这道题的解析和你的作答记录。
解説
問 54安全对策是否有效，要从「预防」和「发现」两个方面来考虑
- ア
正解 正确答案是 ア「a, b, d」。判断某项做法作为文件服务器的安全对策是否有效，要看它能否「防止非法访问的发生(预防)，或者能否事后检测、追查已经发生的非法行为(发现)」。a 是把口令设置得复杂且足够长的做法，可以让字典攻击和穷举攻击(暴力破解)难以猜中口令，所以有效。b 是把连接来源限定为被许可的 IP 地址的 PC 的设置，即使用户 ID 和口令泄露，也无法从公司外部或未经许可的终端连上来，作为访问控制是有效的。d 是获取访问日志并定期进行审计的做法，它本身并不能阻止入侵，但能够在事后发现非法访问和越权操作，进而查明原因、防止再次发生，作为「检查性控制(发现型控制)」是有效的，而且「会被审计」这种意识本身也能起到抑制违规的作用。另一方面，只有 c 是对本应限制访问的服务器，连访客用户(接近不特定、匿名的用户)也授予访问权限，这违反了只把必要的权限授予必要的人的最小权限原则，反而削弱了安全性。因此有效的是 a、b、d 这三项，不多不少地列出它们的 ア 就是正确答案。
错误イ
「a, d」列出的确实都是有效的做法，但同样有效的 b 被漏掉了。b 的「设置为仅允许从被许可的 IP 地址的 PC 进行访问」是限定连接终端、控制访问的典型安全对策，没有理由把它排除在外。题目要求选出「全部」列出有效项的选项，因此有遗漏的 イ 不是正确答案。
错误ウ
「b, c」虽然包含了作为对策有效的 b，却把削弱安全性的 c 也算作有效项，这一点是错误的。连访客用户都授予服务器的访问权限，等于毫无必要地扩大可以访问的用户范围，非但不是对策，反而增加了威胁。而且有效的 a 和 d 也被漏掉了。
错误エ
「b, d」两项确实都是有效的做法，但漏掉了 a 的「将访问用户的口令设置得足够复杂且足够长」。强化口令是让用户认证不易被攻破的基本且有效的对策，不能把它排除在有效项之外。由于不满足列出全部有效项这一条件，所以是错误的。
ここがポイント
- 安全对策是否有效，要从「预防」和「发现」两个方面来考虑。强化口令(强化认证)和按连接来源 IP 地址进行限制(访问控制)属于事先防止非法访问的预防性对策；获取访问日志并定期审计属于事后检测、追查违规的检查性(发现型)对策，两类都是有效的。
- 访问权限应当遵循最小权限原则，只把业务上必需的范围授予必需的用户。把访问权限扩大到访客用户等不特定的用户不是对策，而是增大风险。另外要注意，对于「从 a~d 中选出全部有效项」这类题型，必须选择有效项不多不少的那个选项。
用語