令和3年度 秋期 情報処理安全確保支援士試験 午後Ⅱ 問2 テレワーク環境のネットワーク変更とマルウェア感染によるインシデント対応

図5の［詳細］1.に「aは、テレワークの推進に必要な人材・資源を確保するために、必要な予算を割り当てる」とあります。役割の定義で「必要なリソースを確保する」とされているのは経営者なので、aは「ア 経営者」です。

図5の［詳細］2.のbは「情報セキュリティポリシに従い、セキュリティ維持に必要な技術的対策を講じるとともに、定期的に実施状況を点検する」役割です。情報システムへの不正アクセスやマルウェア感染などに備えて技術的対策を講じ、その実施状況を点検するのは情報システムを管理する側なので、bは「イ システム管理者」です。

図5の［詳細］3.のcは「社内システムに、強度の低いパスワードが用いられないように制限を掛ける」役割です。社内システムの設定で制限を掛けるのはシステムを管理する側なので、cは「イ システム管理者」です。

図5の［詳細］4.のdは「パスワードの使い回しを避け、12桁以上の長さで他人に推測されにくいものを設定する」役割です。自分のパスワードを設定し、定められたルールを守るのは利用者なので、dは「ウ テレワーク勤務者」です。

【図表：図5 テレワークセキュリティ規程（抜粋）】の［詳細］の5.に、「電子政府における調達の際にも参照される e 暗号リストを参照し」と記載されています。
日本において、電子政府推奨暗号の安全性を評価・監視し、危殆化していない暗号アルゴリズムのリストとして公開されているものは CRYPTREC 暗号リストです。

高得点のポイント

• 電子政府推奨暗号リストの名称である「CRYPTREC」を正確に記述できていること。

【図表：図6 新NWの内容】の下線①「Bサービスへのアクセスだけ、拠点 VPN サーバから、DC を経由せずに支社に敷設したインターネット接続回線を経由させる」ネットワーク構成について問われています。
このように、特定のクラウドサービス（Bサービスなど）への通信だけをデータセンタ（DC）などを経由させず、各拠点から直接インターネットへアクセスさせるネットワーク構成手法を ローカルブレイクアウト と呼びます。これにより、DCやUTMの処理負荷や通信帯域のひっ迫を軽減できます。

各選択肢の解説

• ア OpenFlow: ネットワーク機器の制御をソフトウェアで行うSDNを実現するための通信プロトコルであり、特定のトラフィックを拠点から直接インターネットへ逃がす構成手法そのものを指す用語ではありません。
• イ Software-Defined Networking: ネットワーク構成をソフトウェアによって動的に制御する概念であり、特定の通信を直接インターネットへアクセスさせる具体的な構成手法の名称ではありません。
• ウ ゼロトラストネットワーク: 全ての通信を信頼せず、アクセスごとに認証・認可を行うセキュリティモデルであり、特定のトラフィックの経路を示す用語ではありません。
• エ ローカルブレイクアウト: 特定の通信を拠点から直接インターネットへ接続させる構成手法です。

新NWのテストにおいて、支社からインターネットへはアクセスできるのにBサービスには接続できないトラブルが発生しました。この原因は、【図表：表1 構成要素の説明（概要）】のBサービスの説明から読み取れます。

1. Bサービスのアクセス制限: Bサービスは、「アクセス制限機能によって、アクセス元IPアドレスが UTMのグローバルIPアドレス の場合だけアクセスが許可される」という仕様です。
2. 新NWでの経路変更: 【図表：図6 新NWの内容】によると、新NWでは「Bサービスへのアクセスだけ、拠点VPNサーバから、DCを経由せずに支社に敷設したインターネット接続回線を経由させる」構成となっています。
3. トラブルの原因: 新NWでBサービスにアクセスすると、通信がDCのUTMを経由しないため、Bサービス側から見たアクセス元IPアドレスが「UTMのグローバルIPアドレス」ではなく「支社のインターネット接続回線のグローバルIPアドレス」になります。その結果、Bサービスのアクセス制限機能によって通信が拒否されました。

高得点のポイント

• Bサービスに設定されている「アクセス元IPアドレスによるアクセス制限機能」が原因であることに言及できていること。
• 経由する回線が変わったことでIPアドレスが一致しなくなり、結果として「通信が拒否された」という論理構造が明確に記述されていること。

【図表：表2 マルウェアの特徴】と、対策本部のGさんの発言から、攻撃者の手法を分析します。

1. マルウェアの通信先: マルウェアα及びマルウェアβには、「C&CサーバのIPアドレス及び FQDN のリスト」が埋め込まれています。
2. Gさんの提案: Gさんは、C&CサーバのIPアドレスと、FQDNのDNS正引き結果のIPアドレスを併せた「IPリスト」を作成し、UTMで拒否する対策を提案しました。
3. P氏の懸念: これに対しP氏は、「攻撃者が行う設定変更によって，すぐにマルウェアαやマルウェアβの通信を遮断できなくなる」と指摘しています。
4. 攻撃者の設定変更: マルウェアはFQDNを使ってC&Cサーバにアクセスできるため、攻撃者は自身が管理する権威DNSサーバの設定を変更し、FQDNに対応するIPアドレスをIPリストに登録されていない別のIPアドレスに変更 することが可能です。これにより、UTMのIPアドレスベースの拒否リストをすり抜けて通信が成立してしまいます。

高得点のポイント

• 攻撃者が、マルウェアに埋め込まれたFQDNに対応するC&Cサーバの「IPアドレス」を変更することに言及できていること。
• FQDNによる通信先指定がマルウェアに埋め込まれているという解析結果を根拠に、IPアドレスベースの遮断が回避されるメカニズムを考察できていること。

【図表：表1 構成要素の説明（概要）】によると、UTMのDNSシンクホール機能は「DNSクエリをチェック し、危険リストに登録されているFQDNの場合は、正規の名前解決を行わずにA社があらかじめ用意したIPアドレスを応答する」機能です。

しかし、【図表：表2 マルウェアの特徴】から、マルウェアα及びマルウェアβには「C&CサーバのIPアドレス及びFQDNのリスト」が埋め込まれています。
マルウェアがリスト内のFQDNではなく、直接「IPアドレス」を使用して C&Cサーバと通信を試みた場合、端末からDNSサーバに対する名前解決（DNSクエリ）は発生しません。
DNSクエリが発生しなければ、DNSシンクホール機能は動作しないため、攻撃者との通信を防ぐことができません。そのため、IPアドレスを用いた通信を遮断するために、UTMのFW機能を用いた通信拒否（IPリストに基づくフィルタリング）を併用する必要があります。

高得点のポイント

• マルウェアがDNSへの問い合わせ（名前解決）を行わずに通信を開始する場合があることに言及できていること。
• マルウェアにIPアドレスのリストが埋め込まれているという事実から、DNSシンクホール機能だけでは直接のIP通信を検知・遮断できないことを論理的に考察できていること。

【図表：表4 感染調査項目】の調査1では、連携端末のイベントログに「αログ、βログ又は f」が存在するかどうかを確認しています。

【図表：図8 初期調査結果（概要）】の「攻撃者の活動の特徴」には、「一部の業務PCでは、全てのイベントログが消去された痕跡があった。全てのイベントログが消去された後、イベントログに イベントログの消去を示すログ が記録されていた。」と記載されています。
イベントログが消去されてしまうと、マルウェア感染を示す「αログ」や「βログ」も失われてしまいますが、消去行為自体を示す「イベントログの消去を示すログ」は残ります。したがって、これもマルウェア感染を疑うための重要な確認項目となります。

高得点のポイント

• 本文中の記述に基づき、「イベントログの消去を示すログ」という文言を正確に抜き出して解答できていること。

確認ツールは、イベントログに「αログ、βログ又はイベントログの消去を示すログ」が存在するかどうかをチェックするものです。
【図表：表2 マルウェアの特徴】によると、マルウェアβは「待機機能」「横展開機能」「遠隔操作機能」のいずれかをランダムに実行します。
このうち、イベントログに「βログ」が記録されるのは、(3) 遠隔操作機能 が実行されたときのみです。

マルウェアβに感染していても、ランダムな実行によってまだ「遠隔操作機能」が選ばれておらず、(1) 待機機能 や (2) 横展開機能 のみが実行されていた場合、イベントログにはβログが記録されません。そのため、確認ツールでは「問題がない（ログが存在しない）」と判定されてしまいます。
しかし、「横展開機能」が実行されていれば、そのPCが起点となって別の機器にマルウェアβの感染を拡大させてしまいます。

高得点のポイント

• マルウェアβの機能のうち、βログが記録されない「横展開機能」や「待機機能」が実行されていたケースについて言及できていること。
• 遠隔操作機能が未実行のため確認ツールをすり抜けるが、横展開機能によって感染拡大を引き起こすというメカニズムを論理的に説明できていること。

連携サーバは現在、「研究部が管理する連携FWを経由してインターネットに接続されている」状態です（【図表：図3 情報連携システムの構成】）。
これを将来的に「連携サーバをDCのDMZに移設し、連携FWを廃止する」ことで、通信経路が変わります。

移設後の構成では、インターネットからの通信はDCの接続境界に設置された UTM を通過するようになります。【図表：表1 構成要素の説明（概要）】のUTMの説明には、「IDS機能：全てのインバウンド通信をチェックし、不審な通信を検知した場合は、システム管理者に通知する」とあります。
したがって、連携サーバをDCのDMZに移設すれば、インターネットからの攻撃をUTMのIDS機能によって即座に検知し、システム管理者に自動的に連絡が行く体制となるため、現状よりも迅速な対応が可能になります。

高得点のポイント

• DCの境界に設置されたUTMの「IDS機能」によって、不審な通信（攻撃）を検知できることに言及できていること。
• IDS機能が攻撃を検知した結果「システム管理者に通知する」ため迅速な対応に繋がるという流れを説明できていること。

P氏の【図表：図9 P氏からのレビュー回答】の指摘1において、「連携サーバに細工されたファイルが置かれていた可能性のある最も早い日付である g にする必要がある」と述べられています。

【図表：表2 マルウェアの特徴】によると、共有フォルダに細工された文書ファイルを置くのは マルウェアβ の横展開機能です。
【図表：図8 初期調査結果（概要）】の「タイムライン」を確認すると、攻撃者がDさんのアカウントを不正利用してマルウェアαを送信し、Fさんの業務PCが感染したのが 7月14日 です。そして「同日中に、攻撃者の遠隔操作によって同業務PCがマルウェアβにも感染した」と記録されています。
したがって、マルウェアβによる活動（細工されたファイルの配置）が開始された可能性がある最も早い日付は、最初の感染日である「7月14日」となります。

高得点のポイント

• タイムラインからマルウェアβへの感染が始まった日付を正しく読み取り、「7月14日」と正確に解答できていること。

【図表：表5 追加した感染調査項目】の調査2は、マルウェアβによる「会員内での感染の広がり」を確認するためのものです。
【図表：表2 マルウェアの特徴】によると、マルウェアβの「遠隔操作機能」が実行されると、「C&Cサーバと通信を確立し、収集した情報をC&Cサーバに送信する」とあります。つまり、会員側の機器がマルウェアβに感染した場合、外部のC&Cサーバへ向けて通信が発生します。

対策本部会議において、Gさんは「マルウェアαとマルウェアβにはC&CサーバのIPアドレスとFQDNのリストが埋め込まれていました。そのIPアドレス、及びそのFQDNのDNSの正引き結果のIPアドレスの二つを併せたIPアドレスのリスト（以下、IPリスト という）を手作業で作成しておき」と述べています。
したがって、感染した機器から発生する不正な通信の宛先は「C&CサーバのIPアドレス」であり、具体的には作成された「IPリストに登録されたIPアドレス」となります。

高得点のポイント

• マルウェアの遠隔操作機能による通信先がC&Cサーバであることを理解し、問題文中の用語である「IPリストに登録されたIPアドレス」を解答に含めることができていること。

【図表：表5 追加した感染調査項目】の「調査2」は、「送信元：任意のIPアドレス、宛先：IPリストに登録されたIPアドレス」という条件で会員FWの通信記録を確認するものです。

マルウェアβは「横展開機能」によって、感染した機器からネットワーク内の別の機器へ感染を拡大させます。
もし、会員内で「連携端末」だけが感染している状態であれば、C&Cサーバ（IPリストのIPアドレス）への不正な通信の送信元は「連携端末のIPアドレス」のみになります。
しかし、連携端末から「ほかのPCやサーバ」へ感染が拡大していれば、それらの機器もC&Cサーバと通信を確立しようとするため、「連携端末以外のIPアドレス」を送信元とする通信記録 が会員FWのログに残ります。
したがって、このような通信記録が存在する会員は、すでに連携端末以外への感染拡大が起きていることが明らかと言えます。

高得点のポイント

• 会員FWのログにおいて、不正な通信の「送信元」IPアドレスに着目できていること。
• 送信元が「連携端末以外のIPアドレス」である通信記録があることが、他のPCやサーバへの感染拡大の証拠となるという論理を説明できていること。

P氏の「既に行っている対応から考えて、感染を拡大させるリスクは相対的に低い」という発言は、Eさんが既に全会員に対して実施した初動対応を指しています。

本文の〔連携サーバ経由の感染状況の確認と感染拡大防止〕において、Eさんは「化学コンの運営責任者を通して、化学コンの全会員に 連携端末を一時的にネットワークから切り離してもらうように連絡し、全ての会員で対応が完了したことを即日確認した」と記載されています。
この対応により、連携端末は会員の内部ネットワーク（他のPCやサーバ）から物理的または論理的に分断されました。そのため、仮に連携端末がマルウェアβに感染していたとしても、ネットワーク経由で行われる「横展開機能」による感染拡大のリスクは低減されていると判断できます。

高得点のポイント

• Eさんの指示によって全会員が実施した「連携端末をネットワークから切り離した」という事実を指摘できていること。
• その対応が一時的な隔離措置であり、感染拡大のリスクを抑え込むための具体的な行動であったことを論理的に記述できていること。