令和3年度 春期 情報処理安全確保支援士試験 午後Ⅰ 問題 問3 長期未起動PCの自動起動（WoL）の導入とマルウェアによる悪用対策

図2の「セキュリティパッチの現状の配信手順」の(2)において、「パッチ担当者は，セキュリティパッチを検証LANのPCに適用し，社内で利用しているアプリケーションプログラムを2日間動作させて [ a ] を確認する」と記載されています。
パッチ適用によって業務アプリケーションが正常に動作しなくなる（副作用が起きる）リスクを防ぐため、本番環境に展開する前に検証LANで動作確認を行います。
したがって、アプリケーションやPCの動作に問題がないこと（正常に動作すること）を確認する必要があります。

高得点のポイント

• アプリケーションやPCの動作に異常（副作用）が発生していないことを確認する旨が含まれていること。
• 問題文の文脈に沿って、論理的に自然な表現でまとめられていること。

本文の〔対策1〕において、下線①は「マルウェア感染がDMZ又はどのLANで起きてもマルウェアからインターネットへの通信が通過することになるL2SW」と指定されています。

1. 図1の「G社のシステム構成（概要）」を確認すると、インターネットとの境界には FW（ファイアウォール）が設置されています。
2. 表1の「G社の機器及びソフトウェアの概要」のFWの項目に「インターネットとの間の通信を許可しているのは DMZ だけである」と記載されています。
3. つまり、内部システムLAN、利用者LAN、検証LANからインターネットへ向かう通信は、必ず一度DMZ（プロキシサーバや外部メールサーバ等）を経由し、そこからFWを通ってインターネットへ抜ける構成になっていると読み取れます。
4. インターネット宛ての通信は全てDMZを経由するため、DMZが接続されている L2SW1 を必ず通過することになります。

高得点のポイント

• 図1のシステム構成と表1のFWの仕様から、DMZとインターネットの通信経路を正確に特定できていること。

設問の対象箇所は〔対策2〕のWoL（Wake on LAN）の動作検証部分です。「PC-XからPC-Yに対し，[ b ] に続けて，起動したいPCの [ c ] を16回繰り返したデータを含む起動パケットを送信し…」と記載されています。

1. WoLにおいてPCを起動させるために送信されるパケットは「マジックパケット」と呼ばれます。
2. マジックパケットのペイロードのデータ構造は、先頭に6バイトの FF:FF:FF:FF:FF:FF を配置し、その直後に起動対象となるPCのMACアドレス（6バイト）を16回繰り返す仕様となっています。
3. したがって、先頭に配置されるデータ [ b ] は FF:FF:FF:FF:FF:FF（選択肢エ）となります。

各選択肢の解説

• ア 00:00:00:00:00:00: 誤り。全て0の値はマジックパケットの先頭データとして規定されていません。
• イ 00:00:00:FF:FF:FF: 誤り。マジックパケットの先頭データとは異なります。
• ウ 00:FF:00:FF:00:FF: 誤り。マジックパケットの先頭データとは異なります。
• エ FF:FF:FF:FF:FF:FF: 正解。マジックパケットの先頭6バイトのデータです。

設問の対象箇所は〔対策2〕のWoL（Wake on LAN）の動作検証部分です。

1. シャットダウン中（電源オフ状態）のPCは、IPアドレスなどのネットワーク層以上の設定を用いて通信することができません。
2. そのため、WoLのマジックパケットはデータリンク層のアドレスである MACアドレス を用いて、対象のネットワークインタフェースカード（NIC）を直接指定して起動させます。
3. マジックパケットのデータ構造として、先頭の FF:FF:FF:FF:FF:FF に続けて、起動したいPCの MACアドレス を16回繰り返して配置します。

各選択肢の解説

• ア IPアドレス: 誤り。シャットダウン中のPCはIPアドレスによる通信（ARPによるアドレス解決など）に応答できないため利用できません。
• イ MACアドレス: 正解。ネットワークインタフェースを物理的に特定し、起動させるために用います。
• ウ 製造番号: 誤り。ネットワーク通信の宛先として用いられる識別子ではありません。
• エ プロダクトID: 誤り。ソフトウェア等の識別子であり、ネットワークの宛先ではありません。
• オ ホスト名: 誤り。ホスト名は名前解決を経てIPアドレスに変換されるため、起動前のPCの指定には使えません。

本文の〔対策2〕において、「資産管理サーバからPC-Yの起動を試みたが，起動しなかった」と記載されています。

1. 図1のシステム構成を確認すると、資産管理サーバは「内部システムLAN」にあり、PC-Yは「検証LAN」に配置されています。これらはルータとして機能する L3SW を挟んで異なるネットワークセグメントに属しています。
2. WoLの起動パケット（マジックパケット）はブロードキャスト通信として送信されます。
3. 通常、ルータ（L3SW）はブロードキャストパケットを他のセグメントへ転送（ルーティング）しません。そのため、内部システムLANから送信された起動パケットは、L3SWで破棄され検証LANに届きません。
4. 別セグメントのPCを起動するには、L3SWにおいてこのUDPブロードキャストパケット（起動パケット）を対象セグメントへ転送（中継）する設定（ヘルパーアドレスなど）に変更する必要があります。

高得点のポイント

• WoLの起動パケット（ブロードキャスト）がルータ（L3SW）を越えられないというネットワーク構成上の制限事項を理解していること。
• L3SWにおいて、パケットを他のセグメント（目的のLAN）へ転送・中継する旨が含まれていること。

図5の「マルウェアRの記事」の活動手順(2)において、「夜間にARPテーブル中のPC全てに pingコマンド を送信し、PCが起動しているかどうかを確認する」と記載されています。

1. pingコマンドは、ICMPエコー要求を指定した宛先に対して送信し、通信可能かどうかを確認するネットワークコマンドです。
2. ネットワーク層の通信を行う ping コマンドを実行して宛先を指定するためには、対象PCの IPアドレス が必要です。
3. マルウェアRは、活動手順(1)で読み取ったARPテーブル（IPアドレスとMACアドレスの対応表）から、このIPアドレスの情報を取得して利用します。

高得点のポイント

• ping コマンドの宛先指定として「IPアドレス」が必要であることを正確に理解していること。
• マルウェアの活動手順から論理的に必要な情報を導き出せていること。

図5の「マルウェアRの記事」の活動手順(4)において、「起動していないPCを発見したら、WoLを使って それらのPCを起動し、感染拡大を試みる」と記載されています。

1. 設問3(2)で確認した通り、WoL（Wake on LAN）を使ってPCを起動させるためには、マジックパケットの宛先情報として対象PCの MACアドレス を指定する必要があります。
2. マルウェアRは、活動手順(1)で読み取ったARPテーブル（IPアドレスとMACアドレスの対応表）から対象PCのMACアドレスを取得し、WoLの起動パケットを生成します。

高得点のポイント

• WoLによるPC起動（マジックパケットの生成）に必要な情報が「MACアドレス」であることを正確に理解していること。
• マルウェアの活動手順から論理的に必要な情報を導き出せていること。

〔WoLを悪用するマルウェアの脅威〕に対する「対策3」として、C主任は「PCが夜間に不審な振る舞いをしたときに、当該PCをネットワークから隔離する」と助言し、D君はそれを「G社で導入済のシステム」を用いて実現する方法を立案しています。

1. 図5のマルウェアRの記事より、マルウェアは活動(1)・(2)において「自身が動作するPCのARPテーブルから下記(2)及び(4)の活動に必要な情報を読み取って」保持し、「夜間にARPテーブル中のPC全てにpingコマンドを送信し」といった振る舞いをします。これらを実現するために、コマンドプロンプト等から arp コマンドや ping コマンドが実行されると考えられます。
2. 表1の「G社の機器及びソフトウェアの概要」の「エージェント」の項目を確認すると、「指定した時間帯に指定したコマンドが実行された場合、EDR管理サーバとの間の通信を除き、当該PCの全ての通信を遮断する機能をもつ」と記載されています。
3. このエージェント（EDR）の機能を活用し、「指定した時間帯」を「夜間」、「指定したコマンド」を「arpコマンド」に設定することで、該当の不審な振る舞いを検知した際にPCをネットワークから自動的に隔離することが可能になります。
4. WoLでPCを起動するにはMACアドレスが必要であり、それはARPテーブルから得ます（設問4(1)）。そのため、マルウェアRに限らずWoLを悪用するマルウェアはARPテーブルを読み取る必要があり、arpコマンドを検知対象とすることが有効です。

高得点のポイント

• 表1に記載されたエージェント（EDR）の機能（指定時間帯に指定コマンドが実行された場合に通信を遮断する機能）を活用する点が含まれていること。
• トリガーとなる条件として「夜間に」「arp コマンドが実行された」ことが明記されていること。
• 結果として「当該PCをネットワークから隔離する」アクションが記述されていること。