  |
はてなキーワード: XSRFとは
受けてきた。
覚えているうちにメモ。
午後Ⅰ
＜問2＞
設問1
……ユーザは正確な時刻は覚えていないものなので「日時」にしてみた。
担当者は、この時点では、XSRFでなく不正ログインを疑っている。
設問2
(1)a.クロスサイトリクエストフォージェリ
(2)b.3
(4)e.confirm f.submit
設問3
(1)イ、ウ
……適当。onmouseoverとかでもイケるらしい。ダメだこれは。
(2)g.セッションハイジャック
＜問3＞
設問1
設問2
(1)a.ウ b.エ c.ア d.イ
(2)e.1 f.3
(3)g.オ
(4)h.IdP i.改ざん
(5)事前にIdPとSP間で情報共有し、信頼関係を構築しているから。
ここだけ設問に『具体的に述べよ』って書いてないので、。
抽象的なやつかなと思ってこれに。
設問3
社外から社内IdPへの通信は、ファイアウォールで禁止されているから
接続元IPアドレスを制限する機能によって、社外からアクセスできないから
……地味にFWという略語はでてきていないので、ファイアウォールと記載。
ここの説明はすごく問題に出そうだったので、ぐりぐりとマークしていたからすぐに気づいた。
午後Ⅱ
＜問2＞
設問1
(2)b.ウ d.ア
設問2
(1)e.プロキシサーバ f.URLがC&Cサーバである通信
(2)g.外部メールサーバ h.外部サーバに転送が成功している通信
(3)外部DNS: 内部DNSサーバからの再帰問合わせを許可しない
……よく分からないけど、TXTレコードってSE作業とか以外で問い合わせあるの？
と思ったので、これを問い合わせるのはマルウェアYかなと。
設問3
(2)ウィルススキャンで異常が検出された場合に、システム部が即時検知できること
……「調査及び着手の早期化」の機能要件＝システム部が迅速検知できる、かな。
A社の問題点として、セキュリティパッチ適用の遅さ（どこの会社でもあるよね～）も
あるけど、今回、社員PCのフルスキャン（毎日12:00。これは頻度高い。）から、
連絡受けてシステム部が検知する13:10まで時間かかっているのも問題かなと。
設問4
設問5
業務LANのサーバ間通信は、日次データ転送で用いるプロトコルのみを許可する
……『日次でデータ転送』もぐりぐりマークしていたので使ってみた。
以上
発想がおもしろい。
意図しない行動をさせるトリガーが部屋に混入されていたのがXSSに該当するのね。
攻撃者に権限を悪用されて本人の意図しない処理を実行させられてたとしたら、XSRF攻撃もあったのだろうね。
人間に脆弱性があるのは確かで、悪意のある加害者によって自身の不利益になることをさせられてる人は世の中に多く居るよね。
現実に混入されてるのは、ブラウザにとってのスクリプトのように、人の行動に影響を与えうる情報なのだろうと思う。
本人に意識されない形でそれを行うのは高度な技術だと思うけど、なくはない。
本人の意思に反する行動をさせるのは、特殊な状況が必要だけど不可能ではないだろう。
