令和4年度 秋期 情報処理安全確保支援士試験 午後Ⅰ 問2 ログ出力ライブラリの脆弱性を悪用したインシデントの調査と再発防止

脆弱性に起因するセキュリティインシデントへの対応に関する次の記述を読んで，設問に答えよ。

U社は，従業員200名の食品製造業である。情報システム部がシステムを管理している。U社のネットワーク構成を図1に，サーバの機能概要を表1に示す。

FWのフィルタリングルールを表2に示す。

〔セキュリティインシデントの報告と調査〕

ある日, 予約サーバでCPU使用率が高い状態が継続するという問題が発生した。情報システム部の予約サーバの担当者が調査したところ, 普段予約サーバでは, BSoftMainとSBMainというTソフトのプロセスが稼働しているが, この日はrunという名称の見慣れないプロセス（以下, runプロセスという）も稼働していた。サーバ内で一定間隔で取得しているプロセスの一覧から, runプロセスが13:07:00からCPU使用率を上げていたことが判明した。

この結果を受け, 情報システム部のD主任はセキュリティインシデントの疑いがあると判断し, 上司に報告の上, 予約サーバの調査を開始した。

13:07:00における予約サーバのプロセス一覧とコネクション一覧を表3と表4にそれぞれ示す。

表3と表4から runプロセスの外部への通信の有無を確認したところ, IPアドレスが a のホストに対して通信を行っていたことが確認できた。また, a を確認したところ, 海外の IPアドレスであり, 予約サーバの通信先として想定されているものではなかった。D主任は上司に報告し, 予約サーバをネットワークから隔離した。

〔予約サーバの調査〕

D主任は, ①表3の内容から，runプロセスが稼働している原因の追究には Tソフトを調べる必要があると判断した。B社に状況を説明し, 不具合やセキュリティ上の問題がないか確認したところ, U社が利用しているバージョンには, 脆弱性があることが分かった。

その脆弱性とは, Tソフトが利用しているライブラリ Xというオープンソースのライブラリに存在する, リモートから任意のコードが実行可能となる脆弱性（以下, 脆弱性 Yという）である。ライブラリ Xと脆弱性 Yの説明を図2に示す。

runプロセス起動前後の 13:00:00 から 13:16:00 までの, 予約サーバのアクセスログを調査した結果, 表5に示す, 脆弱性Yを悪用したと考えられるアクセスログを発見した。

D主任は runプロセスがどのような経緯で起動したかを調査するために, FWの通信ログを確認した。 runプロセス起動前後の 13:00:00 から 13:16:00 までの FWの通信ログのうち, 予約サーバを送信元とするものを表6に示す。

D主任はここまでの調査で分かった情報から, 予約サーバへの攻撃の流れを表7のとおりまとめた。

U社がインシデント対応支援の契約をしているセキュリティベンダーの情報処理安全確保支援士（登録セキスペ）であるE氏の協力を得てrunプロセスについての調査を進めた結果，暗号資産採掘ソフトウェアであることが分かった。予約サーバにおいて，予約情報への不正なアクセスは確認できなかった。

〔会員サーバの調査〕

次に，会員サーバにおいて，ライブラリXの利用の有無及び同様の攻撃の有無を確認したところ，会員サーバにおいてもライブラリXでログ出力処理を行っていること，及び会員サーバにも予約サーバと同様の攻撃が行われたことを示すアクセスログが記録されていることが分かった。しかし，調査の結果，攻撃は失敗していたことが判明した。D主任は，攻撃が失敗したのは，攻撃者が会員サーバにログインするための利用者IDとパスワードを知らなかったからだと考えた。しかし，E氏は，②脆弱性Yは認証前のアクセスでも悪用できるので，そうではないと指摘した。予約サーバとは違って攻撃が失敗したのは，③別の理由だとD主任に説明した。

〔脆弱性への対応〕

D主任は上司に調査結果を報告した。その後，予約サーバは，OS及び必要なソフトウェアをクリーンインストールし，バックアップデータから復旧を行った。さらに，予約サーバと会員サーバについて，脆弱性Yに対する脆弱性修正プログラムを適用した。

〔再発防止策の検討〕

続けて，D主任は外部への不正通信が発生したことへの再発防止策を，E氏とともに検討した。再発防止策として，予約サーバからインターネットへの通信に関する設定を変更することにした。必要な設定変更内容は次のとおりである。

• 予約サーバを起点とするインターネットへのHTTPS通信は，プロキシサーバを中継させる設定とする。
• FWフィルタリングルールについて，表2の項番2を削除する。
• URLフィルタリングルールについて，表8に示す内容で設定する。

検討した再発防止策は採用され，今回の対応を完了した。