ここでは情報処理安全確保支援士各問題リンクの2017年(平成29年)春～2019年(令和元年)秋の解説の中から特にこれはというようなものをまとめていきます。
見返したついでに一部元記事の修正をしたところもあります

2017年(平成29年)春

IPアドレスは情報の最終目的地、MACアドレスは情報の経由地

SAML認証のフローについて

SAML RequestはURL内のクエリ文字列から取得します。
参考 SAML認証ができるまで - Cybozu Inside Out | サイボウズエンジニアのブログ

サーバ証明書のサブジェクトのコモンネームとは、サーバ証明書が有効なサーバのドメイン名のことで、FQDNを記入する

2017年(平成29年)秋

Unicodeの制御文字でRLO(Right-to-Left Override)は左右の文字の並びを逆にする。CRLFは改行の意味

Perfect Forward Secrecy鍵が漏れても過去の暗号文は解読できないような暗号でDHEとECDHEが有名

TCPポートにSYNを送信して応答結果からポートの状態を確認する検査はSYNスキャン
TCPの3wayハンドシェイクはSYN→SYN/ACK→ACKといけば通信成功、RST/ACKなら閉じてて不成立。応答なしでも不成立

日本で金融機関などがよりどころにすべき共通安全対策基準はFISC
電子政府における調達のために参照すべき暗号のリストはCRYPTREC

暗号モジュールに求められるセキュリティ要件の定義はFIPS
内部情報を読まれにくくする耐性は耐タンパ性

2018年(平成30年)春

TXTレコードはスパムメール防止とドメイン所有者の確認に使われ、
IN TXT "v=spf1 +ip:～～～ -all"のような書き方。
この書き方だと～～～(IPアドレス)からの送信を許可する
参考
DNS TXTレコードとは？
SPFレコードの書き方とは？ 記述例を総まとめ
SPFレコードとは(徹底解説)

反射型XSS : 基本的なXSS。リクエストを実行した被害者にスクリプトが戻ってくる。個人情報やcookieが窃取できる。
DOM-based XSS : DOMはHTMLやXMSを扱うためのAPIや構造を定義したもので、サーバー側ではなく、クライアントのブラウザ上でスクリプトが実行される。JavaScriptが悪い。
フラグメント識別子 : Webページ内などの特定情報の場所を指定するもので、支援士問題リンク「https://www.ipa.go.jp/shiken/mondai-kaiotu/2018h30.html#haru_sc」の#以降のこと
HttpOnly属性 : JavaScriptがcookieにアクセスできなくなる設定

GETはURLの後ろに入れた文字列がそのまま記載される、POSTでは記載されない→POSTはアクセスログに残らない
SSHの認証方式はパスワード認証方式と公開鍵認証方式の2つ

安全なウェブサイトの作り方(IPA公式)

2018年(平成30年)秋

STIX : サイバー攻撃活動、攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象からなるサイバー攻撃を記述するための仕様

VLAN : 仮想的にLANセグメントを作る。ポートVLANとタグVLANが有名

時刻を同期させる手段→NTPと同期

CNAME : ドメイン名やホスト名の別名。IPアドレスが変わってもここを参照するので安心

欧州の個人情報保護に関する法規制→GDPR)General Data Protection Regulation)

SPNEGO : スプネゴ SAML同様シングルサインオンを実現するもので、クライアントとサーバの両者が利用可能な認証方式を決定し接続する。

NIST CSF(サイバーセキュリティフレームワーク)はPartial(部分的である)→Risk Informed(リスク所法を活用している)→Repeatable(繰り返し適用可能である)→Adaptive(適応している)

NIST SP 800-51 Rev.2によるとインシデント対応チームは侵入検知、脆弱性や脅威についてのアドバイザリの配信、教育と意識向上、社内外での情報共有の推進を行う。

海外サーバとの時刻同期で気にするべき点→タイムゾーン

2019年(平成31年)春

HDDのコピーをするときにセクタ単位にする理由→空きセクタの情報から削除されたファイルを復元するため

TCP/IPパケットで同一端末間の異なるパケットで同一平文ブロックが現れるのは、TCPは通信経路の作成、IPはデータ転送のプロトコルで両方ともヘッダ部に送信元や送信先に関する情報が記載されるので、ここが同一であることが多い

HTTPSのCONNECTメソッドで、最初の接続要求では平文でWebサーバのホスト名とポート番号が渡る。
暗号通信路確立後はブラックリスト登録できるのがURLのパス部とポート番号だけでホスト部は指定できない。

営業秘密は秘密情報と明記して更に閲覧制限をかけるのは秘密管理性
自社開発で事業に必要な情報を営業秘密にするのは有用性
営業秘密が一般に知られないようにするのは非公知性

電子政府における調達のために参照すべき暗号のリスト(CRYPTREC暗号リスト)

2019年(令和元年)秋

SMTP コマンド

C&Cサーバと通信した不審PCの電源をつけたままにする理由→メモリ上の情報が失われないようにするため

CIS Benchmarks : サイバーセキュリティ防御を実装管理するのに役立つベストプラクティス
FedRAMP : クラウドサービスの情報セキュリティ基準
OWASP ASVS : アプリケーションのセキュリティ要件、テストのリスト
QUIC : 次世代TCPのようなトランスポートプロトコル
X.509 : 公開鍵証明書の標準

User-Agentヘッダフィールド : HTTPでクライアントからリクエストした時にWebブラウザのソフトウェア名称やバージョンを書く場所