【情報処理安全確保支援士】令和7年春の過去問題問4解説します！IT資産管理及び脆弱性管理について理解しよう

令和7年春の過去問の問4の解説をします。

題材はIT資産管理及び脆弱性管理です。

では早速解説に移ります。

問1

設定を変更したサーバとその変更内容

権威DNSサーバ
【変更内容】
・終了したサブドメインのCNAMEレコードを削除する

使用していないドメインを利用させないためには、権威DNSサーバからDNSレコードを削除する必要があります。

不要なDNSレコードは削除するのが脆弱性管理では重要。

問2

(1)a,bに当てはまるサーバの契約形態

(1)a：他社データセンターを利用して契約して利用した
b：レンタルサービスを契約して利用した

表1の項目「IT管理資産」の5(3)に「IT管理資産台帳に登録していない」と記載されています。

管理していないのは「データセンター」、「クラウドサービス」、「レンタルサービス」の3つがあります。

「クラウドサービス」については記載されているので、残りの2つが答えになります。

(2)cに入れる10字の英字

WHOIS

WHOISとはドメインの登録者情報や有効期限などを確認できるサービスです。

(3)| 空欄 | 解答 | 解説 |
| あ | Z | 自社が管理しているドメイン |
| い | X | 他社が管理しているが、利用しているドメイン |
| う | Y | 利用していないドメイン（放置状態） |

(4)| 空欄 | 解答 | 解説 |
| d | オ（V社） | Aレコード（IPアドレス） |
| e | ア（FQDN） | MXレコード（メールサーバ） |
| f | イ （GIP）| CNAMEレコード（別名） |
| g | ク（ドメイン名） | TXTレコード（SPFなど） |
| h | キ（担当者識別番号） | NSレコード（ネームサーバ） |

問3

(1)調査方法を40字で回答

ポートスキャンでWebポートが開いていることを確認

Webサービスが稼働しているかどうかはポートスキャンにより知ることができます。

X、Y、Z以外の調査方法となるのでポートスキャンが正解となります。

(2)別の調査方法

脆弱性スキャナを実行して脆弱性の有無を確認

脆弱性スキャナとはシステムやネットワークに存在するセキュリティ上の脆弱性を自動的に検出し、そのリスクを評価するツールです。

脆弱性を見つけるには脆弱性スキャナが有効です。

(3)する場合としない場合の対応方針

【する場合】
・一時サービスを停止して、脆弱性を修正後に再開

【しない場合】
・速やかにネットワークから切り離し、機器を処分する

サービスを継続するなら既存の脆弱性を取り除く必要があります。

サービスを廃止するなら速やかネットワークから切り離して、攻撃者に悪用されないように対策を講じる必要があるでしょう。

問4

(1)CVSSのバージョン

4.0

CVSSの最新バージョンは4.0になります。

(2)KEVカタログのフルスペル

ウ

(3)KEVカタログに掲載される脆弱性

実際に悪用されたもの

KEVカタログとは、実際に悪用が確認された脆弱性のリストのことです。

なので、答えは「実際に悪用されたもの」になります。

脆弱性管理の項番1、2の改善策

【項番1】
・情シ部がIT管理資産台帳にあるSWについて、重要な脆弱性情報が発表されていないかを継続的に確認する

【項番2】
・該当SWを保有する管理部門に対策の優先度を連絡し、対策実施を確認する。

表1にある項番1、2に改善策を回答します。

関連記事

あわせて読みたい

【情報処理安全確保支援士】令和7年春の過去問題問1解説します！脆弱性管理について問われる問題です 令和7年春の過去問の問1の解説をします。 題材はサプライチェーンリスクです。 サプライチェーンリスクとは外部の要因により自社のサービスなどが阻害されることです。 ...