情報セキュリティスペシャリスト試験のための試験対策カリキュラム
カリキュラムの概要
今回は、実際に実施した情報セキュリティスペシャリスト試験の勉強計画を紹介します。 セキュリティに関する知識がほとんどなかったため、セキュリティの基礎から計画したものです。 平成28年度の春試験の情報セキュリティスペシャリストを受験しました。 勉強を開始したのは平成27年度秋試験終わった後の10月25日からです。 勉強期間は6ヶ月間です。 試験当日の前の週までみっちりやることになってしまいました。
学習項目としては次のような項目です。詳しくは具体的なカリキュラムを見てください。
今回は、過去問が3回分しかできていませんが、学習カリキュラムと並行して、過去問を解ければなお良いです。 情報セキュリティスペシャリストは、春秋と2回試験があるので、過去問もたくさんあります。 今回はセキュリティの基礎学習からやっていますが、セキュリティにある程度詳しい人であれば、過去問を毎週1回分して、わからなかった点を復習するような方法でも合格できそうです。
図書について
情報セキュリティ全体の概要を学ぶ
マスタリングTCP/IP 情報セキュリティ編 : この本で、情報セキュリティの全体像や各項目の概要を学びます。私はこの本をベースに全体の項目を勉強し、足りない部分や深めたい内容を別の図書で学びました。セキュリティのことを何も知らない状態で、最初に手にとった本でした。項目としては網羅されたものだと思います。セキュリティについて、どのような内容が必要かということを理解するのには良いものでした。ただし、ちょっと表現が硬いのか、全般を扱っているためか、説明の内容は少しイメージしにくかったです。
暗号技術を学ぶ
暗号技術入門 第3版 秘密の国のアリス : この本では、暗号技術の全般とPKI、セキュリティプロトコルについて、マスタリングTCP/IPよりも、もう少し突っ込んで学習できます。難しそうな内容が大変わかりやすく解説されているので、暗号技術の入門としては最適です。
ネットワークのセキュリティを学ぶ
実践ネットワークセキュリティ監査―リスク評価と危機管理 : この本では、ネットワーク周りのセキュリティに関する項目を学習します。この本も実際に手を動かして試すことができるので、知識の定着に良いです。ただし、2005年に出版されたものなので、少し情報が古い印象を受けました。その点だけ注意すれば、ネットワークのセキュリティに関して理解が深められます。
サーバのセキュリティを学ぶ
Linuxサーバーセキュリティ徹底入門 オープンソースによるサーバー防衛の基本 : この本で、各サーバの具体的な設定などを手を動かして試すことで知識が定着するようにします。一通りサーバでの注意点が記載されています。ただし、記載内容はそこまで深くありません。ネットで各サーバの注意点を調べた方が良いです。ただ、調べる取っ掛かりとして、この本の内容程度を学んでおくと良さそうです。
試験対策や復習をする
ポケットスタディ 情報セキュリティスペシャリスト 第2版 (情報処理技術者試験) : この本では、通勤・通学中のスキマ時間に、試験の出題傾向や注意点を学びます。少し日本語が分かりづらかったですが、試験のポイントは整理してあると思います。 この本は既にセキュリティがわかっている人が試験対策として使うような本です。セキュリティ初心者がこの本だけ読んでも理解が追いつかないと思います。 また、過去問を解けば傾向がわかるので、時間がある人は過去問をじっくりした方がいいかもしれません。
情報処理教科書 情報セキュリティスペシャリスト 2016年版 : この本は、試験項目とその内容が整理されているので、時間があるときに読み返えすと、学んだことを復習できます。 セキュリティにある程度明るい人であれば、この本と過去問だけで合格できるかもしれません。もう少し具体的なサーバの設定や攻撃を理解したい場合は、ちょっと物足りないです。
具体的なカリキュラム
以下の表が、今回やったカリキュラムです。単に予定したものではなくて、実際にやったものです。 学習した時期についても記載しておきました。ほぼ毎週、何らかの項目を学習しています。 セキュリティの基礎からやったので、時間的にギリギリなカリキュラムになっています。 その分、セキュリティのゼロの人でも、合格が望める程度の知識がつくカリキュラムになっていると思います。 これをベースに、自分の知っているところは除いて、知らないところや復習したい点を追加して、オリジナルのカリキュラムを作成してみてください。
| A | B | C | D | E | |
|---|---|---|---|---|---|
1 | |||||
2 | 情報セキュリティの概要 | 情報セキュリティの分類 | ・マスタリングTCP/IP 情報セキュリティ編 | 2015/10/25～11/1 | |
3 | 情報セキュリティが満たすべき3つの性質 | ||||
4 | セキュリティを構成する要素 | 暗号技術 | |||
5 | ディジタル署名 | ||||
6 | セキュリティプロトコル | ||||
7 | 認証 | ||||
8 | バッファーオーバーフロー対策 | ||||
9 | アクセス制御 | ||||
10 | ファイアウォール | ||||
11 | 暗号技術 | シーザー暗号 | ・マスタリングTCP/IP 情報セキュリティ編 ・暗号技術入門 第3版 秘密の国のアリス | 2015/11/2～11/8 | |
12 | 単一換字暗号 | ||||
13 | 使い捨てパッド（バナーム暗号） | ||||
14 | 共通鍵暗号化方式 | DES | |||
15 | トリプルDES | ||||
16 | AES | ||||
17 | 公開鍵暗号化方式 | RSAの仕組み | |||
18 | ハイブリッド暗号 | ||||
19 | 鍵共有アルゴリズム | ||||
20 | 認証技術 | 主体認証 | ・マスタリングTCP/IP 情報セキュリティ編 ・暗号技術入門 第3版 秘密の国のアリス | 2015/11/9～11/15 | |
21 | 認証プロトコルの基礎 | 脅威モデル | |||
22 | パスワードによる認証プロトコル | ||||
23 | 一方向ハッシュ関数 | ||||
24 | メッセージ認証コード | ||||
25 | デジタル署名 | ||||
26 | 時刻認証 | ||||
27 | ゼロ知識証明 | ||||
28 | ID連携 | ||||
29 | 公開鍵基盤（Public Key Infrastructure） | PKIの構成要素 | ・マスタリングTCP/IP 情報セキュリティ編 ・暗号技術入門 第3版 秘密の国のアリス | 2015/11/16～11/24 | |
30 | 認証局 | ||||
31 | 証明書チェーン | ||||
32 | 証明書の利用 | ||||
33 | 証明書の有効性のチェック | OCSP,SCVP | |||
34 | 証明書に対する攻撃 | ||||
35 | 証明書の種類 | ||||
36 | サーバ証明書 | ||||
37 | クライアント証明証 | ||||
38 | 証明書の標準規格 | X.509 | |||
39 | セキュリティプロトコル | SSL/TLS | SSL/TLSの全体像 | ・マスタリングTCP/IP 情報セキュリティ編 ・暗号技術入門 第3版 秘密の国のアリス | 2015/11/24～11/30 |
40 | SSLとTLSの違い | ||||
41 | Recordプロトコル | ||||
42 | Handshakeプロトコル | ||||
43 | IPsec | IPsecの全体像 | |||
44 | IPsecの処理の概要 | ||||
45 | AH | ||||
46 | ESP | ||||
47 | IKE | ||||
48 | ホストのセキュリティ | バッファーオーバーフローの仕組み | ・マスタリングTCP/IP 情報セキュリティ編 | 2015/12/7～12/13 | |
49 | スタックオーバーフローの仕組み | ||||
50 | ヒープオーバーフローの仕組み | ||||
51 | セキュアOS | セキュアOS | (1)強制アクセス制御(MAC:MandatoryAccess Control)機能 | ・マスタリングTCP/IP 情報セキュリティ編 | 2015/12/14～12/20 |
52 | (2)最小特権機能 | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | |||
53 | LinuxにおけるセキュアOS | SELinux | |||
54 | セキュリティコンテキスト | ||||
55 | SELinuxのコマンドや設定 | ||||
56 | ネットワーク・セキュリティ | ファイアウォール | ・マスタリングTCP/IP 情報セキュリティ編 ・実践ネットワークセキュリティ監査 | 12/21～12/27 | |
57 | 侵入検知システム・侵入防御システム | ||||
58 | WAF（WebApplicationFirewall） | ||||
59 | ネットワークスキャン | ||||
60 | セッションハイジャック | ||||
61 | インターネットにおける攻撃の分類 | ||||
62 | ネットワーク列挙 | ||||
63 | インターネットにおけるホストとネットワークの列挙方法 | Web検索サービス | ・実践ネットワークセキュリティ監査 | 20/15/12/28～2016/1/3 | |
64 | WHOIS問い合わせ | ||||
65 | DNS問い合わせ | DNSゾーン転送 | |||
66 | リバースDNSスイーピング | ||||
67 | SMTPプロービング | ||||
68 | ネットワークスキャニング | ICMPスキャニング | SING | ・実践ネットワークセキュリティ監査 | 2016/1/4～1/11 |
69 | nmap | ||||
70 | 内部IPアドレスの収集 | ||||
71 | サブネットブロードキャストアドレスの特定 | ||||
72 | TCPポートスキャニング | 標準TCPスキャニング | |||
73 | ステルスTCPスキャニング | ||||
74 | スプーフィングおよび第三者中継TCPスキャニング | ||||
75 | UDPポートスキャニング | UDPポートスキャニングのためのツール | |||
76 | IDSおよびフィルタリングの回避 | スキャニングパケットの断片化 | |||
77 | 攻撃ホストの複数化スプーフィング | ||||
78 | ソースルーティング | ||||
79 | 特殊な送信元ポートの利用 | ||||
80 | ローレベルIP監査 | TCPおよびICMPプローブの応答分析 | |||
81 | ICMPメッセージの受動的な監視 | ||||
82 | IPフィンガープリンティング | ||||
83 | TCPシーケンス番号およびIPヘッダID値の予想 | ||||
84 | Webサービスの監査 | Webサービスの特定 | HTTPHEADメソッド | ・実践ネットワークセキュリティ監査 | 2016/1/12～1/118 |
85 | HTTPOPTIONSメソッド | ||||
86 | Webサーバの自動フィンガープリンティング | ||||
87 | SSLトンネルによるWebサーバの特定 | ||||
88 | サブシステムおよびコンポーネントの特定 | WebDAV | |||
89 | OpenSSL | ||||
90 | Web脆弱性の調査 | Web脆弱性を調査するためのツール | |||
91 | MicrosoftIISの脆弱性 | ||||
92 | Apacheの脆弱性 | ||||
93 | OpenSSLの脆弱性 | ||||
94 | HTTPプロキシによる第三者中継 | ||||
95 | HTTP認証に対するブルートフォース攻撃 | ||||
96 | パラメータ操作とフィルタリング回避 | ||||
97 | エラー処理の問題 | ||||
98 | Webアプリケーション監査ツール | ||||
99 | Web アプリケーションに不正なスクリプトや命令を実行させる攻撃 | 不正なスクリプトや命令を実行させる攻撃の種類 | ・情報処理教科書 情報セキュリティスペシャリスト 2016年版 | 2016/1/19～1/25 | |
100 | クロスサイトスクリプティング | ||||
101 | SQL インジェクション | ||||
102 | OS コマンドインジェクション | ||||
103 | HTTP ヘッダインジェクション | ||||
104 | メールヘッダインジェクション | ||||
105 | ディレクトリトラバーサル攻撃 | ||||
106 | Webサービスのセキュリティ | Apacheの基本 | Apacheのインストールと基本 | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/1/26～2/1 |
107 | Webセキュリティの要点 | ||||
108 | Apacheの安全な設定と運用 | apache2.confの基本設定 | |||
109 | apache2.confの主な設定 | ||||
110 | 外部設定ファイル | ||||
111 | Apacheのログ | ||||
112 | ユーザー認証とホストベースのアクセス制御 | 基本認証 | |||
113 | ダイジェスト認証 | ||||
114 | ホストベースのアクセス制御 | ||||
115 | OSのセキュリティ | ブートローダーのパスワード設定 | 起動パラメータ | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/2/2～2/8 |
116 | GRUBのパスワード設定 | ||||
117 | ユーザーアカウントの管理 | 一般ユーザーのログイン管理 | |||
118 | rootログインの禁止 | ||||
119 | suコマンドの利用 | ||||
120 | root権限の利用 | ||||
121 | パスワードの管理 | ||||
122 | サービス管理 | 不要なサービスの停止 | |||
123 | xinetd | ||||
124 | TCPWrapper | ||||
125 | プロセス監視 | psコマンドによるプロセス監視 | |||
126 | topコマンドによるプロセスとシステムの監視 | ||||
127 | ファイルシステムのセキュリティ | パーミッション | 所有者と所有グループ | ||
128 | アクセス権 | ||||
129 | アクセス権の変更 | ||||
130 | SUID、SGID | ||||
131 | スティッキービット | ||||
132 | デフォルトのアクセス権 | ||||
133 | ACL(Access Control List) | ||||
134 | ネットワークのセキュリティ | ネットワークの基本設定 | ネットワーク設定ファイル | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2015/1/9～2/15 |
135 | /etc/hosts | ||||
136 | 基本的なネットワーク管理コマンド | ||||
137 | ネットワーク探査対策 | ||||
138 | ファイアウォール | パケットフィルタリングの仕組み | |||
139 | チェインとテーブル | ||||
140 | iptablesコマンド | ||||
141 | 基本的なパケットフィルタリングの設定 | ||||
142 | iptablesの応用 | ||||
143 | ip tablesコマンド | ||||
144 | CUIツールによるパケットフィルタリング設定 | ||||
145 | システムログ | システムログの管理 | システムログの概要 | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/2/15～2/21 |
146 | ログが保存される仕組み | ||||
147 | syslogの設定 | ||||
148 | rsyslogの設定 | ||||
149 | ログサーバーの設定 | ||||
150 | ログのローテーション | ||||
151 | ログの監視 | ログファイルの監視 | |||
152 | logwatch | ||||
153 | swatch | ||||
154 | サーバの侵入検知 | セキュリティチェックと侵入検知 | ポートスキャンとパケットキャプチャ | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/2/22～2/28 |
155 | nmap | ||||
156 | tcpdump | ||||
157 | Tripwire(ファイル改ざん検知) | ||||
158 | Rootkit Hunter(Rootkit検知) | ||||
159 | fail2ban(侵入防御システム) | ||||
160 | VPNのセキュリティ | IPSec VPN | IPSec VPN概要 | ・実践ネットワークセキュリティ監査 | 2016/3/1～3/6 |
161 | IPSec VPNの攻略 | ||||
162 | IPSecの列挙 | ||||
163 | IKEにおける既知の脆弱性 | ||||
164 | VPNにおける対策 | ||||
165 | DNSサーバのセキュリティ | DNSの基本 | 名前解決 | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/3/7～3/14 |
166 | DNSの仕組み | ||||
167 | DNSサーバーの用語 | ||||
168 | DNSクライアントコマンド | ||||
169 | BINDの基本設定 | BINDのインストール | |||
170 | rndcコマンド | ||||
171 | BINDの設定ファイル | ||||
172 | BINDのログ | ||||
173 | キャッシュサーバーの設定 | named.confの設定 | |||
174 | ゾーンサーバーの基本設定 | named.confの設定 | |||
175 | ゾーンファイルの書式 | ||||
176 | ゾーン転送の制限 | ||||
177 | より安全なBINDの設定と運用 | バージョンの表示 | |||
178 | TSIG | ||||
179 | DNSSEC | ||||
180 | メールサーバのセキュリティ | メールサーバーの基礎 | メールサーバーの仕組み | ・Linuxサーバーセキュリティ徹底入門 ープンソースによるサーバー防衛の基本 | 2016/3/15～3/28 |
181 | Postfixのインストールと基本 | ||||
182 | Dovecotのインストールと基本 | ||||
183 | メールサーバーセキュリティの要点 | ||||
184 | 安全なPostfixの設定 | Postfixの基本設定 | |||
185 | main.cfの主な設定 | ||||
186 | 設定の反映と確認 | ||||
187 | SMTP認証 | ||||
188 | SSL/TLSの利用 | ||||
189 | OP25B対応 | ||||
190 | Postfixのログ | ||||
191 | POP／IMAP | Dovecotの基本設定 | |||
192 | POP/IMAP over SSL | ||||
193 | 試験形式の対策 | 平成21年度春試験 | 午前2問題 | 過去問 | 2016/3/15～3/28 |
194 | 午後1問題 | ||||
195 | 午後２問題 | ||||
196 | 平成23年度春試験 | 午前2問題 | 2016/3/29～4/4 | ||
197 | 午後1問題 | ||||
198 | 午後２問題 | ||||
199 | 平成23年度秋試験 | 午前2問題 | 2016/4/5～4/11 | ||
200 | 午後1問題 | ||||
201 | 午後２問題 | ||||
202 | 試験 | 2016/4/17 |
