URLとは？

URLの意味

インターネット上の情報（Webページやファイルなど）の場所を示す表記法。「プロトコル名（httpsなど）」「ドメイン名」「パス」などの要素から構成される。

URLの具体例

「https://www.example.co.jp/news/today.html」は、HTTPSで「www.example.co.jp」というサーバの「/news/today.html」という場所にアクセスすることを表す。

URLは試験でどう引っ掛けられる？

URLとドメイン名・IPアドレスは別物で、ドメイン名はURLを構成する一部分。名前からIPアドレスを調べるのはDNSの役目。正規サイトに似せた綴りのドメインへ誘導する手口を見抜かせる出題もある。

URLと関連する用語

• DNS
• HTTP・HTTPS

URLが出た過去問

• Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。

  正解：あらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。

  要点：再設定は登録済みアドレスへ推測困難なURLを送る

  現パスワードをメールで送る運用は、そもそもパスワードを復元可能な形で保存していることを意味し、経路上での盗み見の危険も伴う。また、その場で入力された新しいメールアドレスへ送ると、なりすましにそのまま渡してしまう。あらかじめ登録済みのアドレス宛てに、推測困難な再設定用URLを送る方式が最も安全である。

  出典：平成28年度 春期 基本情報技術者試験 午前 問40（IPA）

• 情報セキュリティにおいてバックドアに該当するものはどれか。

  正解：アクセスする際にパスワード認証などの正規の手続が必要なWebサイトに、当該手続を経ないでアクセス可能なURL

  要点：バックドアは正規の認証を回避できる裏口の経路

  バックドアとは、正規の認証手続を回避してシステムへ入り込める裏口のことである。攻撃者が侵入後に再訪問できるよう仕掛けたり、開発時のデバッグ用の抜け道が残ってしまったりして生じる。認証を経ずに到達できてしまう隠しURLは、まさにこの裏口に当たる。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問39（IPA）

• A社はIT開発を行っている従業員1,000名の企業である。総務部50名、営業部50名で、ほかは開発部に所属している。開発部員の9割は客先に常駐している。現在、A…

  正解：(一), (五)

  要点：BYODのVPN許可は接続増と私物端末経由の拡散が主リスク

  個人所有PCからのVPN接続を許可すると、これまで接続していなかった客先常駐開発部員の分だけ接続数が増え、回線やVPNサーバの負荷が上がって可用性が損なわれるおそれがあります（一）。また会社が管理していない私物PCが社内ネットワークにつながるため、マルウェアに感染した端末経由で社内へ拡散するリスクが新たに生じます（五）。A社PCの紛失は貸与していない部員には当てはまらず、総務部員の個人所有PC接続は今回の許可対象外です。

  出典：令和4年度 s 基本情報技術者試験 kamokuB 問18（IPA）

• A社は、放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は、人事業務の効率化を図るべく、人事業務の委託を検討することにした。A社が委託する業務(以下…

  正解：B業務に従事する従業員が、攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし、フィッシングサイトに誘導される。その結果、A社の採用予定者の個人情報が漏えいする。

  要点：初期設定が公開だとなりすましメールを作られる

  複合機の初期設定情報はベンダーのサイトで公開されているため、差出人・件名・本文・添付ファイル名の書式を攻撃者が知ることができる。そのため複合機からの通知になりすました電子メールを容易に作れ、受け取った従業員が本文のURLを本物と信じてクリックしてしまう恐れがある。フィッシングサイトで利用者IDとパスワードを詐取されれば、採用予定者の個人情報の漏えいにつながる。このリスクを断つために初期設定からの変更が必要と評価された。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）