問76
頻出度★★★
セキュリティ対策の目的①～④のうち, 適切なアクセス権を設定することによって効果があるものだけを全て挙げたものはどれか。 ① DoS攻撃から守る。 ② 情報漏えいを防ぐ。 ③ ショルダハッキングを防ぐ。 ④ 不正利用者による改ざんを防ぐ。
平成26年度 春期 ITパスポート試験 問76
这道题的解析和你的作答记录。
解説
問 76
错误ア
错在包含了 ①。DoS 攻击（拒绝服务攻击）是通过发送大量请求或过大的数据使服务器和网络过载，令正规用户无法使用服务的攻击，它瞄准的是任何人都能连接的公开服务入口。访问权限是决定「通过认证的用户能够对资源做什么」的机制，因此无法抑制在权限判定之前的通信量本身。对策是防火墙、IPS、限制通信量、负载均衡等。另外，正确的 ④ 没有包含在内，所以也不算列举了全部有效的项目。
错误イ
①、③ 两项都是错误的，而且一个正确项（②、④）也没有包含。① 是 DoS 攻击，如前所述用访问权限防不住；③ 肩窥（偷窥屏幕）是从背后偷看正在输入的口令或屏幕显示内容的物理性、人为性行为，信息会在与系统权限设置无关的地方被窃取。这个选项完全不满足题目「只把有成效的项目全部列出」这一条件。
- ウ
正解 正确答案是 ウ「②、④」。访问权限（访问控制）是指针对文件、数据库、系统功能等资源，按用户或用户组分别规定是否允许「读取（查阅）」「写入（更新）」「执行」等操作的机制。因此，只有那些能够依靠有无权限来阻止操作的目的才会有成效。② 防止信息泄露，只要把机密文件的读取权限限定给业务上确有需要的负责人，没有权限的用户就根本无法查阅其内容，这正是设置访问权限直接见效的典型例子。④ 防止非法用户进行篡改同样如此，只要不授予写入、更新、删除权限，数据就无法被改写，因此通过设置访问权限可以防止。允许多数用户只能查阅、而只让少数负责人可以更新的「只读」设置，正是这一思路的直接体现。反过来，① 和 ③ 都是发生在访问权限这种逻辑性权限设置之外的事件，因此没有成效。所以，把有成效的项目全部且仅列出的组合就是 ②、④。
错误エ
④ 是正确的，但错在包含了 ③。针对肩窥（偷窥屏幕，也称 shoulder surfing）的对策，是安装防窥膜、调整屏幕朝向和座位布局、离座时锁定屏幕、输入时确认周围情况等物理性和运营管理方面的措施，无法通过设置访问权限来防止。而且它遗漏了正确的 ②，因此无论如何都算不上「把有成效的项目全部列出」。
ここがポイント
- 访问权限（访问控制）是按用户或用户组规定是否允许对资源进行读取、写入、执行的逻辑性机制。限制读取可直接防止信息泄露，限制写入和更新可直接防止篡改。
- 要点在于能够区分出访问权限防不住的威胁。DoS 攻击（针对可用性的攻击）要靠防火墙、负载均衡等通信层面的对策，肩窥要靠防窥膜、屏幕锁定等物理性和人为管理层面的对策。可以这样整理记忆：在信息安全三要素中，访问权限主要保护的是机密性和完整性，而可用性以及人为、物理方面的威胁需要另外的对策。
用語