分野 E｜セキュリティ・倫理
脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）
今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-25-1 セキュリティ対策のソリューション・サービス』
最終更新
よく出る形
- WAF（Web アプリの防御）の説明を選ぶ（3回分で1問）
- IDS（侵入検知システム）の説明を選ぶ（3回分で1問）
- 問われるとしたら：事例で、使う製品や取る対応を選ぶ形
- 問われるとしたら：製品の役割の a〜c の組合せの形
- 問われるとしたら：脆弱性検査など、脆弱性管理の用語を選ぶ形
覚えること
- 脆弱性：サイバーセキュリティ上の問題となる可能性がある弱点
- 脆弱性管理：OS やソフトウェアの弱点を把握し、更新などで解消すること
- OS アップデート：OS の一部または全部のプログラムを更新すること
- セキュリティパッチ（修正プログラム）：脆弱性などを修正するために配布されるプログラム
- 脆弱性への対応：公開された修正プログラムは、対象の端末を把握して適用する
- 脆弱性検査：システムの弱点を洗い出し、結果を報告書にまとめる作業
- 脆弱性情報の取得：使っている製品の弱点の情報を、公的機関などの公表から集めること
- URL フィルタリング（Web フィルタリング）：危険なサイトへの接続を、URL を基に制限する仕組み
- マルウェア対策ソフト：コンピュータをウイルスから防御するソフトウェア
- ファイアウォール：外部と内部のネットワークの境に置き、不正な侵入を防ぐシステム
- WAF：Web アプリケーションへの通信を監視し、脆弱性への攻撃を防ぐ仕組み
- IDS：不正な通信を検知して、管理者に知らせる仕組み
- IPS（侵入防止システム）：検知に加えて、不正な通信を自動で遮断する仕組み
- EDR：端末の操作や動作を監視し、攻撃を見つけ次第、対処する仕組み
- EDR の位置づけ：端末への侵入を許したあとの被害を抑えることが主な目的
- 参考：今のシラバスの用語例にある DLP、DMZ、VPN、SIEM は、案の用語例にない
ひっかけ
- IDS は検知して知らせるまで、IPS は遮断までを行う
- 脆弱性検査は弱点を見つける作業で、修正する作業ではない
- ファイアウォールを導入しても、OS の弱点は更新で解消する
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
A 社が導入する対策として、最も適切なものはどれか。
A 社は、従業員が使うパソコンについて、マルウェアの侵入を完全には防げない前提で、侵入されたあとに端末の操作や動作を監視し、不審な挙動を見つけ次第、対処できるようにしたいと考えている。
正解：イ EDR
ポイント
侵入を許したあとの端末を守る対策として、どの製品を選ぶかを問う問題です。
考え方と解き方
製品は、守る場所と、守る段階で分かれます。EDR は端末の中の動きを見る製品で、入口で侵入を防ぐ製品とは段階が違います。
- A 社が求めているのは、侵入されたあとに、端末の操作や動作を監視し、不審な挙動を見つけ次第、対処することです。
- この役割を持つ製品は EDR です。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア ファイアウォールは、外部と内部のネットワークの境で不正な侵入を防ぐ物で、侵入されたあとの端末の動作は見ません。
- ウ WAF は、Web アプリケーションへの通信を監視して脆弱性への攻撃を防ぐ物で、端末の動作の監視には使いません。
- エ URL フィルタリングは、危険なサイトへの接続を制限する物で、侵入されたあとの端末の動作の監視には使いません。
覚えておくこと
- EDR：端末の操作や動作を監視し、攻撃を見つけ次第、対処する仕組み
- EDR の位置づけ：端末への侵入を許したあとの被害を抑えることが主な目的
（テーマ・覚えること）
脆弱性管理における、脆弱性検査に該当するものはどれか。
正解：ウ システムに潜む弱点を洗い出し、結果を報告書にまとめること
ポイント
脆弱性管理の活動のうち、脆弱性検査がどれに当たるかを問う問題です。
考え方と解き方
脆弱性管理には、弱点を見つける活動と、弱点を解消する活動があります。更新や適用のように直す活動を、検査と取りちがえやすい所です。
- 脆弱性検査は、システムに潜む弱点を洗い出し、結果を報告書にまとめる作業です。
- したがって、脆弱性検査に該当するのは ウ です。
ほかの選択肢
- ア 修正プログラム（セキュリティパッチ）の適用の説明です。見つかった弱点を解消する作業で、洗い出す作業ではありません。
- イ OS アップデートの説明です。プログラムを更新する作業で、弱点を洗い出す作業ではありません。
- エ 脆弱性情報の取得の説明です。公表された弱点の情報を集める作業で、システムの弱点を洗い出す作業ではありません。
覚えておくこと
- 脆弱性検査：システムの弱点を洗い出し、結果を報告書にまとめる作業
- 脆弱性管理：OS やソフトウェアの弱点を把握し、更新などで解消すること
（テーマ・覚えること）
セキュリティ対策の役割に関する記述として、適切なものだけを全て挙げたものはどれか。
A 社は、従業員のパソコンと社内ネットワークのセキュリティ対策を見直している。
- a URL フィルタリングを導入すると、従業員が危険なサイトへ接続しようとしたときに、その接続を制限できる。
- b ファイアウォールを導入すると、外部と内部のネットワークの境で、不正な侵入を防げる。
- c IDS を導入すると、不正な通信を検知したときに、その通信を自動で遮断できる。
正解：ア a、b
ポイント
URL フィルタリング、ファイアウォール、IDS の役割を、a〜c で判定する問題です。
考え方と解き方
IDS と IPS は名前が似ています。検知して知らせるだけの IDS に、遮断までの役割を求めると、c を適切と判定してしまいます。
- a は適切です。URL フィルタリングは、危険なサイトへの接続を制限する仕組みです。
- b は適切です。ファイアウォールは、外部と内部のネットワークの境に置き、不正な侵入を防ぎます。
- c は不適切です。IDS は不正な通信を検知して知らせる仕組みで、自動で遮断まで行うのは IPS です。
- したがって、適切なのは a、b で、ア です。
ほかの選択肢
- イ c を入れすぎています。IDS が行うのは検知して知らせるところまでで、自動で遮断するのは IPS です。
- ウ a を入れ損ね、c を入れすぎています。URL フィルタリングによる接続の制限は適切です。
- エ a、b を入れ損ねています。適切な記述が a、b にあり、c は不適切です。
覚えておくこと
- URL フィルタリング（Web フィルタリング）：危険なサイトへの接続を、URL を基に制限する仕組み
- IDS：不正な通信を検知して、管理者に知らせる仕組み
- IPS（侵入防止システム）：検知に加えて、不正な通信を自動で遮断する仕組み
（テーマ・覚えること）
B さんの対応として、最も適切なものはどれか。
A 社の B さんは、社内の端末で使っている OS について、提供元が脆弱性を修正する更新プログラムを公開したことを知った。社内の端末には、ファイアウォールとマルウェア対策ソフトが導入されている。
正解：エ 対象の端末を把握した上で、更新プログラムを適用して、脆弱性を解消する。
ポイント
OS の脆弱性を修正する更新プログラムが公開されたときの対応を問う問題です。
考え方と解き方
ファイアウォールやマルウェア対策ソフトが入っていれば、更新しなくても守られると考えると、アやウを選びます。
- 修正プログラム（セキュリティパッチ）は、脆弱性などを修正するために配布されるプログラムです。公開されたら、対象の端末を把握して適用します。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア マルウェア対策ソフトは、ウイルスから防御するソフトウェアで、OS の弱点は直りません。適用しないと、弱点が残ります。
- イ 被害を確認してからでは遅く、弱点を直すために、公開された更新プログラムを適用します。
- ウ ファイアウォールは、外部と内部のネットワークの境で不正な侵入を防ぐ物で、OS の弱点は直りません。
覚えておくこと
- 脆弱性への対応：公開された修正プログラムは、対象の端末を把握して適用する
- セキュリティパッチ（修正プログラム）：脆弱性などを修正するために配布されるプログラム
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。