情報セキュリティマネジメント 平成29年度 春期 午前 問30

✓ これが正解ア Webサーバで稼働しているサービスを列挙して，不要なサービスが稼働していないことを確認する。

解説

稼働中のサービスを列挙し、不要なものがないと確かめます。

ポートスキャナは、調べたいサーバに対して、外からポートが開いているかどうかを順に確かめていくツールです。この調べ方をポートスキャンといいます。ポートが開いていれば、そこで何らかのサービスが動いていることが分かります。Webサーバの検査で使う目的は、動いているサービスを一覧にして、本来動かす必要のないサービスが動いていないことを確認することにあります。使っていないサービスは、設定の見直しや修正が後回しにされやすく、攻撃の入口になりやすいからです。開いているポートを洗い出し、閉じておくべきものが開いたままになっていないかを点検する、という使い方になります。

ほかの選択肢の解説

• イ Webサーバの利用者IDの管理状況を運用者に確認して，情報セキュリティポリシからの逸脱がないことを調べる。：利用者IDの管理の状況を運用者に聞き取り、方針からの外れがないかを調べるという内容です。人に確かめる手続であって、外からポートの開閉を調べるツールの使い道ではありません。
• ウ Webサーバへのアクセス履歴を解析して，不正利用を検出する。：サーバに残ったアクセスの記録を後から解析し、不正な利用を見つけるという内容です。読む材料が記録である点で、外からポートを順に調べていくやり方とは別の作業になります。
• エ 正規の利用者IDでログインし，Webサーバのコンテンツを直接確認して，コンテンツの脆弱性を検出する。：正規の利用者IDでログインし、コンテンツを直接見て弱点を探すという内容です。中身の作り込みを点検する検査であり、ポートが開いているかを外から確かめるツールの役割ではありません。