支援士 科目B対策(記述)

SaaSのWebアプリ脆弱性：CSP回避のXSSによるロール昇格

CSPの効果範囲，格納型XSS＋CSRFトークン窃取によるロール昇格，アップロード検証・出力エスケープ，SASTと専門家検査

継続的インテグレーションサービスのセキュリティ（TOTP中継フィッシングとコード署名鍵の漏えい）

CIサービスへの不正ログイン・シークレット漏えいとその波及（CT/CAA，WebAuthn，HSM，コード署名）

公開IT資産管理と脆弱性管理(サブドメインテイクオーバー・WHOIS・KEV・CVSS)

製造業V社の公開IT資産の洗い出しと脆弱性管理(ASM)の改善を、台帳管理・WHOIS/検索エンジン型調査・CVSS/KEVの優先度判断で問う

IoT製品(ロボット掃除機)開発における脆弱性の組合せ

IoT製品の開発で、DNSキャッシュポイズニング対策・ファームウェア署名・OSコマンドインジェクションとCSRFの連鎖を考える

公開サイトの脆弱性診断結果の優先度判断（CVSS・EPSS）

SQLインジェクション・OpenSSH・クライアント認証などの診断結果を，CVSS基本値・環境値とEPSS値で評価し，対応優先度を決める

メールのドメイン名変更とSPF/DKIM/DMARC導入

社名変更に伴うドメイン変更を機にメールサービスを移行し、SPF・DKIM・DMARCの設定と、一斉配信・メーリングリストでの認証失敗の原因を考える。

Webサイトの診断：XSS・CSRF・認可制御の不備とクラウドのIMDS（SSRF）

ECサイトとクラウド上の商品企画サイトのWebアプリ診断結果から、攻撃の手順と対策（SameSite、認可チェック、IMDS方式2、SSRF対策）を問う

無線LANの偽AP・EAP-TLSとファイル持出し対策

アパレル業のセキュリティ見直しを題材に，偽AP・偽サイトによる認証情報の窃取，HSTS，ファイル共有機能の悪用，MACアドレス偽装，EAP-TLS(RADIUS)，FW設定の見直しを問う

ソフト開発会社のマルウェア感染とログ分析によるインシデント対応

プロキシ・認証ログ等のFツール出力から感染経路と感染拡大を読み取り，暫定対策・追加調査・技術的対策を立案する

リモートワークのVPN攻撃とDDoS対策

VPN-GWへの攻撃(多要素認証の迂回・ステルス化・SPA)とDDoS攻撃への対策を、製造業H社のネットワークで設計する

サプライチェーンリスク対策（委託先管理・SBOM・外部スクリプト・SAST）

システム開発企業L社が，サプライチェーンリスク対策のガイドラインを作成し，過去のインシデント（外部スクリプトの改ざん）への有効性評価と，システムSの点検（アカウント管理・SBOM・ログ取得・SASTの実行箇所）を行う

P社のセキュリティ強化：インターネットバンキング変更とリモートワーク用VPNの導入

DNSSEC・DoH/DoT，インターネットバンキングの口座情報改ざん（偽サーバ経由）とトークン認証，VPNサービス(Kサービス)導入時の接続元IP制限・通信許可・MFA・OS移行促進

ECサイトのWebスキミングによるクレジットカード情報の漏えい

ECサイトのJavaScriptファイルが改ざんされて偽のカード情報入力フォームが表示された事案を題材に、XSS・SQLインジェクションの痕跡の読み取り、改ざんスクリプトの動作、アクセスログによる被害者候補の特定を考える。

百貨店と運送会社の個人情報リスクアセスメント（貸与アカウントのID/PW管理とマルウェア感染）

業務委託先（運送会社）での受注情報（Z情報）の機密性について，リスク特定・リスク分析・リスク評価の手順に沿ってリスクを洗い出し，表2の状況から関連項番を選び，被害の大きさ・発生頻度・総合評価を判定し，管理策（IP制限・EDR・URLフィルタ等）を立案する

ログ出力ライブラリの脆弱性を悪用されたインシデントの調査と再発防止

ログ出力ライブラリの脆弱性（JNDI/LDAP経由のリモートコード実行）で暗号資産採掘ソフトを実行された予約サーバについて，プロセス・アクセスログ・FWログから攻撃の流れを調べ，FWとプロキシのURLフィルタリングによる再発防止策を考える

オンラインゲーム事業者でのサプライチェーン攻撃によるインシデント対応

OSSに混入した悪意あるコードによるコンテナ侵害を題材に、初動対応(証拠保全)・ログ調査・レジストリサーバの被害対処・再発防止を考える

生成AIの社内利用ルールとRAG型社内チャットの情報漏えい対策

シャドーAIの把握と利用規程(情報区分・承認済みツール)、RAGの検索時アクセス制御、間接プロンプトインジェクションによる持ち出し

ランサムウェア被害からの復旧とバックアップ設計

VPN機器経由の侵入でバックアップまで暗号化された製造業の初動・原因分析・復旧順序・再発防止

IDaaSと条件付きアクセス：AiTMフィッシングによる多要素認証の突破と再発防止

パスワードスプレー，AiTM型フィッシングとセッションCookie窃取，レガシー認証の例外，パスキー移行，ゼロトラストと場所ベースの信頼，緊急用アカウント，退職者アカウントの失効

会員APIの診断：オブジェクト・機能レベルの認可不備とJWT検証

REST APIのBOLA・BFLA・マスアサインメント，JWTのalg none・aud未検証，確認コードの総当たりと試行回数制限

委託先管理とソフトウェア部品の脆弱性対応（SBOM・再委託・事故報告・署名）

物流会社K社が，OSS部品の脆弱性公表をきっかけに，SBOMの記載範囲・更新，未承認の再委託，共用アカウント，事故報告の期限，監査権，リリースパッケージの署名を見直す

情報資産台帳に基づくリスクアセスメントと運用状況の点検

精密部品メーカーが台帳をもとにリスク値を算定し、予算内で対策を選び、シャドーIT・アクセス権の棚卸し・内部監査の指摘に対応する。