情報セキュリティ面接質問集

情報セキュリティ職種向けの面接質問集

目次

• アプリケーションセキュリティ
• アーキテクト
• ブルーチーム
• 暗号化
• フォレンジック
• 一般
• インシデント対応
• ネットワーキング
• レッドチーム
• 脆弱性管理
• 謝辞

アプリケーションセキュリティ

• 送信中にデータの暗号化と圧縮の両方を行う必要がある場合、どちらを先に行いますか？また、その理由は？

  • 圧縮は、データ内のパターンを利用してサイズを小さくすることを目的としています。
  • 暗号化は、秘密鍵なしでは解釈できないようにデータをランダム化することを目的としています。
  • 暗号化してから圧縮すると、圧縮は無意味になります。圧縮はランダムなデータには効果がありません。
  • 圧縮してから暗号化すると、攻撃者はメッセージ長（圧縮率）のパターンを見つけてデータに関する情報を得たり、暗号化を無効化する可能性があります（CRIME など）。
  • 参考資料:
    • 暗号化と圧縮はどちらが先か？
    • CRIME

• HTTP ヘッダーインジェクションの脆弱性を悪用すると、攻撃者には何ができるでしょうか？

  • キャリッジリターンとラインフィード（または %0D と %0A）は、攻撃者が HTTP ヘッダーを制御できるようにするための手段です。
  • 攻撃者は Referer ヘッダーを介して XSS を注入する可能性があります。
  • 攻撃者は Cookie を攻撃者が知っている値に設定できます（セッション固定攻撃）。
  • 攻撃者は悪意のあるサーバーにリダイレクトできます。

• 最後に書いたプログラムまたはスクリプトについて説明してください。それはどのような問題を解決しましたか？

  • 候補者がプログラミングの概念を基本的に理解しており、少なくとも簡単なプログラムを書けるかどうかの兆候を探しています。

• パフォーマンスが考慮される高トラフィックの Web サイトで、安全なログインフィールドをどのように実装しますか？

  • TLS（パフォーマンスに関係なく）は必須です。
  • また、サードパーティのライブラリ依存を減らすことで、パフォーマンスが向上し、セキュリティリスクを低減できます (https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5)
  • JS と CSS に関するより厳格な実行ルールを強制するコンテンツセキュリティポリシー (CSP) (https://en.wikipedia.org/wiki/Content_Security_Policy)
  • 既知の信頼できるリソースファイルのみがサードパーティサーバー/CDN から読み込まれるようにする Subresource Integrity (SRI) (https://en.wikipedia.org/wiki/Subresource_Integrity)

• ブルートフォース攻撃への対処方法にはどのようなものがありますか？

  • アカウントロックアウト/タイムアウト
  • API レート制限
  • IP 制限
  • Fail2ban
  • ...など

• クロスサイトリクエストフォージェリ (CSRF) とは何ですか？また、どのように防御しますか？

  • 攻撃者が被害者のブラウザに、被害者の認証情報を使ってリクエストを送信させる攻撃です。
  • 例: 画像タグ (``) が関連するアクションを持つ URL (例: https://foo.com/logout) を指している場合。
  • 防御策には次のようなものがあります（これに限定されません）:
    • Origin ヘッダーと Referer ヘッダーを確認する
    • CSRF トークンまたは nonce を確認する

• クロスサイトスクリプティング (XSS) とは何ですか？XSS にはどのような種類がありますか？XSS を防御するにはどうすればよいですか？

  • XSS は、攻撃者が被害者のブラウザ内で何らかのコード（通常は JavaScript）を実行させる攻撃です。
  • 従来、XSS は格納型 (Stored) と反射型 (Reflected) に分類されてきました。
    • 格納型 XSS は、攻撃者がデータベースに永続化し、被害者に取得・表示されるコードです（例: フォーラム）。
    • 反射型 XSS は通常、悪意のあるコードを含む細工された URL の形をとります。ユーザーがリンクをクリックすると、コードがブラウザ内で実行されます。
  • 最近では、DOM ベース XSS に関する議論があります。これは、攻撃者が DOM 要素を制御できる場合に発生し、サーバーにリクエストを送信せずに XSS を達成します。
  • XSS のカテゴリは重複する傾向があるため、サーバー格納型 XSS、サーバー反射型 XSS、クライアント格納型 XSS（例: 格納型 DOM ベース XSS）、クライアント反射型 XSS（例: 反射型 DOM ベース XSS）のように表現する方がはるかに適切です。
  • 防御策は次のとおりです:
    • 出力エンコーディング（より重要）
    • 入力検証（重要度は低い）

• HTTP は状態をどのように扱いますか？

  • HTTP はステートレスです。
  • 状態は Cookie に保存されます。

アーキテクト

• 重複する情報ドメインにまたがるセキュリティ対策を設計したことはありますか？
• セキュリティアーキテクチャの要件の例をいくつか挙げていただけますか？
• サービス指向アーキテクチャ (SOA) にはどのような特別なセキュリティ上の課題がありますか？
• SaaS コンポーネントを含むセキュリティソリューションを設計したことはありますか？どのような課題に直面しましたか？
• 利害関係者が特定されたセキュリティリスクを許容することを選択したが、あなたが懸念を抱いたプロジェクトに関わったことはありますか？どのように対処しましたか？
• 要件が衝突するさまざまな利害関係者からの要求にどのように対処しますか？
• ソリューションアーキテクトが安全なソリューションを開発することをどのように保証しますか？
• 進化する脅威に対してソリューションが引き続き回復力を持つことをどのように保証しますか？
• 現在最も重要なテクノロジーは何だと思いますか？それをどのように保護しますか？

ブルーチーム

• ネットワーク内のマシンとサードパーティの Web サイト（例: Google）間の HTTP トラフィックログがある場合、送信元ポートと宛先ポートはどのようになりますか？
  • 送信元ポートはポート 1024 より上の番号（別名 エフェメラルポート）になる可能性があります。
  • 宛先ポートは 80 (HTTP) または 443 (HTTPS) になる可能性があります。

暗号化

• エンコーディング、暗号化、ハッシュ化の違いは何ですか？

  • エンコーディングはメッセージの整合性を保証します。簡単に元に戻せます。例: base64
  • 暗号化はメッセージの機密性を保証します。適切な復号鍵を使用した場合にのみ元に戻せます。例: AES256
  • ハッシュ化は一方向関数です。元に戻すことはできません。出力は固定長で、通常は入力よりも小さくなります。

• TLS は対称暗号化と非対称暗号化のどちらを使用しますか？

  • 両方です。
  • 初期の交換は非対称暗号化を使用して行われますが、大量データの暗号化は対称暗号化を使用して行われます。詳細は次の質問を参照してください。
  • 参考資料:
    • https://web.archive.org/web/20150206032944/https://technet.microsoft.com/en-us/library/cc785811.aspx
    • https://en.wikipedia.org/wiki/Transport_Layer_Security

• 誰かが安全な Web サイトを訪れたときに、TLS セッションが設定されるプロセスを説明してください。

  • クライアントは、SSL/TLS バージョンやクライアントが優先する暗号スイートの順序などの暗号化情報をリストした hello メッセージを送信します。このメッセージには、後続の計算に使用されるランダムなバイト文字列も含まれます。クライアントは hello メッセージにデータ圧縮方式を含めることもできます。
  • サーバーは、サーバーが選択した暗号スイート、サーバーのデジタル証明書、および別のランダムなバイト文字列を含む hello メッセージで応答します。サーバーがクライアント証明書認証を要求する場合、サーバーは client certificate request もクライアントに送信します。
  • クライアントはサーバーのデジタル証明書を検証します。
  • クライアントは、サーバーの公開鍵で暗号化されたランダムなバイト文字列を送信し、クライアントとサーバーの両方が、以降のクライアントとサーバー間の暗号化に使用する秘密鍵を計算できるようにします。
  • サーバーがクライアント証明書を要求した場合、クライアントはクライアントのデジタル証明書または「no digital certificate alert」とともに、クライアントの秘密鍵で暗号化されたランダムなバイト文字列を送信します。このアラートは警告にすぎませんが、クライアント認証が必須の場合、一部の実装ではハンドシェイクが失敗します。
  • サーバーはクライアントのデジタル証明書を検証します。
  • クライアントは、計算された秘密鍵で暗号化された finished メッセージを送信します。
  • サーバーは、計算された秘密鍵で暗号化された finished メッセージを送信します。

フォレンジック

一般

• オープンソースプロジェクトは、プロプライエタリプロジェクトよりも安全ですか、それとも安全性が低いですか？

  • どちらのモデルにも長所と短所があります。
  • どちらの陣営にも、安全性の低いプロジェクトの例があります。
  • オープンソースモデルはプロジェクトへの「多くの目」を促しますが、それが必ずしもより安全な製品につながるわけではありません。
  • 重要なのはオープンソースかプロプライエタリかではなく、プロジェクトの品質管理です。

• 情報セキュリティ分野で誰を尊敬していますか？なぜですか？

• セキュリティ関連のニュースはどこから入手していますか？

インシデント対応

ネットワーキング

レッドチーム

脆弱性管理

• どの分類の脆弱性が最も悪用されますか？
• どのくらいの頻度でスキャンすべきですか？
• 外部スキャンと内部スキャンの違いは何ですか？
• 認証付きスキャンと認証なしスキャンの違いは何ですか？
• スキャンはどのように OS をフィンガープリントできますか？
• CVSS スコアとは何ですか？
• スキャンはどのように分割すべきですか？
• さまざまな組織に対して、最初に何をパッチすべきかについてどのようにアドバイスしますか？
• 脆弱性とは何ですか？
• 脆弱性を追跡する業界標準の方法をご存知ですか？
• CVE とは何ですか？また、CVE が提供する標準化が重要なのはなぜですか？
• 脆弱性に関する追加情報を探すには、どこに行きますか？
• エクスプロイトと脆弱性の違いは何ですか？
• 脅威はあるが脆弱性がない場合、それでもリスクがあると言えますか？脆弱性はあるが脅威がない場合はどうですか？
• 最近聞いた脆弱性をいくつか挙げられますか？
• 脆弱性をスキャンするために使用されるツールをご存知ですか？もし知らなければ、何か名前を挙げられますか？
• 企業全体で脆弱性をパッチするために使用されるツールを挙げられますか？
• SCCM とは何ですか？
• 脆弱性を悪用するためによく使用されるオープンソースツールをご存知ですか？
• 一貫して脆弱性があることで知られているソフトウェアを挙げられますか？
• Microsoft のパッチはどのくらいの頻度でリリースされますか（緊急時を除く?
• Microsoft の KB 番号とは何ですか？

謝辞

• Daniel Miessler のブログ