応用情報技術者試験 応用情報技術者試験 平成31年度春期 午前 問43: 情報セキュリティにおけるサンドボックスの説明はどれか。

問題本文

情報セキュリティにおけるサンドボックスの説明はどれか。

選択肢

• ア.OS，DBMS，アプリケーションソフトウェア，ネットワーク機器など多様なソフトウェアや機器が出力する大量のログデータを分析する。
• イ.Web アプリケーションの入力フォームへの入力データに含まれる HTML タグ，JavaScript，SQL 文などを他の文字列に置き換えることによって，入力データ中に含まれる悪意のあるプログラムの実行を防ぐ。
• ウ.Web サーバの前段に設置し，不特定多数の PC から特定の Web サーバへのリクエストに代理応答する。
• エ.不正な動作をする可能性があるプログラムを特別な領域で動作させることによって，他の領域に悪影響が及ぶのを防ぐ。

正解

エ. 不正な動作をする可能性があるプログラムを特別な領域で動作させることによって，他の領域に悪影響が及ぶのを防ぐ。

解説

サンドボックスという防御技術の定義を問う問題である。サンドボックス(sandbox=砂場)とは、信頼できないプログラムを保護された隔離領域の中だけで動作させ、たとえ不正な動作をしても外部のシステムやファイルに影響が及ばないようにする仕組みである。マルウェアの疑いがあるプログラムを安全に解析する用途などに使われるため、隔離実行を述べたエが正解である。

選択肢ごとの解説

• ア.多様な機器が出力する大量のログを横断的に収集・分析するのは SIEM の説明であり、サンドボックスではない。
• イ.入力中の HTML タグや SQL 文などを無害な文字列に置き換える(エスケープ処理/サニタイジング)はクロスサイトスクリプティングや SQL インジェクション対策であり、サンドボックスではない。
• ウ.Web サーバの前段でリクエストに代理応答するのはリバースプロキシの説明であり、サンドボックスではない。
• エ.不正動作の可能性があるプログラムを特別な隔離領域で動かし、他領域への悪影響を防ぐという記述はサンドボックスの定義そのものであり正しい。