令和4年度 秋期 情報処理安全確保支援士試験 午後Ⅱ 問題 問2 EDRの検知ルール設計とインシデントレスポンス体制

問2 インシデントレスポンスチームに関する次の記述を読んで，設問に答えよ。

K社は，従業員500名の輸入卸売業者である。拠点は，本社，営業所2か所，倉庫1か所の計4か所である。K社のネットワーク及び機器並びに関連する規程の整備は，情報システム課が担当している。K社のネットワーク構成を図1に，各サーバで取得しているログの内容を表1に示す。

〔マルウェア $\alpha$ の検知と対応〕

K社では，PCにマルウェア対策ソフトを導入しており，リアルタイムスキャンとスケジュールスキャンを実施している。マルウェア対策ソフトの管理サーバはクラウドサービス上にある。マルウェア定義ファイルは，PCを起動したときに更新される。スケジュールスキャンは，毎週月曜日の10:00に実施される。

ある月曜日，情報システム課のW主任がスケジュールスキャンの結果を確認したところ，10台のPCでマルウェア $\alpha$ が検出され，駆除されていた。W主任が，マルウェア $\alpha$ についてインターネット上で公開されている情報を調べたところ，次のことが分かった。

• マルウェア $\alpha$ は，8日前に発見された。
• K社で利用しているマルウェア対策ソフトの定義ファイルにマルウェア $\alpha$ が登録されたのは，昨日だった。
• 細工されたマクロ（以下，マクロGという）が仕込まれている，表計算ソフト（以下，Vソフトという）のデータファイル（以下，ファイルGという）を開いて，マクロGを実行してしまうと，攻撃者のWebサーバからマルウェア $\alpha$ がダウンロードされ，起動される。
• マルウェア $\alpha$ は，起動すると，PC上のメールフォルダにある電子メール（以下，電子メールをメールという）を読み出して，攻撃者が用意したWebサーバにアップロードする。その後，OS設定を変更して，OSログイン時にマルウェア $\alpha$ が自動起動されるようにする。

なお，K社で利用しているメールソフトでは，メールは1通が1ファイルとしてPCのメールフォルダ内に保存されている。

マルウェア $\alpha$ が検出されたPCのログと，プロキシサーバのログを調べた結果，これらのPCの中には，先週の水曜日以降，攻撃者のWebサーバのものと思われるURLにファイルをアップロードしていたPCがあったことが分かった。W主任は，調査の結果を上司のM課長に報告した。

M課長から調査と対応の指示を受けたW主任は，K社に機器を納入しているP社に支援を依頼した。依頼に応じたP社の情報処理安全確保支援士（登録セキスペ）であるU氏の協力を得て，W主任は，アップロードされたファイルの特定並びにマルウェア $\alpha$ 及びファイルGの削除を進め，調査と対応を完了した。

〔定義ファイルに登録されていないマルウェアの検知〕

マルウェア $\alpha$ への調査と対応が完了した後，W主任は，マルウェア対策ソフトの定義ファイルに登録されていないマルウェアも検知したいと考え，どうすればよいかU氏に相談した。U氏は，その用途に使用可能な製品として，EDR（Endpoint Detection and Response）があることを説明し，製品Cを提案した。製品Cは，各PCに導入し，クラウドサービス上の管理サーバから操作する。製品Cの機能を表2に示す。

例えば，マルウェア $\alpha$ は，PCで起きたイベントから製品Cを使って検知できる。マルウェア $\alpha$ の特徴的なイベントは，同じサイズのファイルに対する①ファイル操作のイベント及び②ネットワーク動作のイベント，並びにログイン時の自動起動に関するOS設定の変更のイベントである。これらのイベントが，短時間のうちにこの順序で発生したことを検知すればよい。

続けて，U氏は，P社が提供可能な，製品Cに関連するサービスを表4を示して説明した。

W主任は，次の三つを軸としたEDR導入案をまとめ，M課長の承認を得た。

• 社内の全PCに製品Cを導入する。
• 製品Cを使ったマルウェアの検知及び対応のための体制（以下，E体制という）を立ち上げる。
• 表4の解析サービスは必要に応じて利用するが，その他のサービスは利用しない。

3か月後，製品Cを全PCに導入し，E体制を立ち上げた。E体制のチームリーダーはM課長，メンバーはW主任を含む情報システム課の課員3名である。
まずは，図3の検知ルールだけを用いて試験運用を開始した。

〔マルウェア $\beta$ の検知〕

製品C導入から6か月ほど経ったある日，マルウェア対策ソフトのスケジュールスキャンの結果を確認したところ，3台のPC（以下，PC1，PC2，PC3という）で同一のマルウェアが検知され，駆除に失敗していた。図4は，製品Cが記録したPC1〜3のイベントのうち，PC1〜3に共通しており，特徴的と思われたVソフト及びUSBメモリに関するイベントを，OSログインのイベントとともに抜粋したものである。

W主任は，調査のためP社に解析サービスを発注し，図4のイベントの解析を依頼した。

P社は，推測した状況を表5のとおり報告した。

P社の報告を受けたW主任は，③マルウェア β が埋め込まれたファイルの削除など必要な対応を完了した。P社がマルウェア β の検体を静的解析したところ，表5の発生順序3〜5の事象について裏付けが取れた。また，マルウェア β は，追加のマルウェアをダウンロードする機能をもっていたが，ダウンロードに失敗していたことも分かった。その後，U氏は，“P社の運用サービスでは，このような場合は，すぐに検知ルールを作成し，登録します”とW主任に提案した。

〔運用サービスの利用〕

K社は，マルウェアをより早期に検知するために有効かどうかを確認しようと考え，表4のサービスについての当初の方針を変えて，3か月ほど試験的にP社の運用サービスと監視サービスを利用することにした。P社は，まず，④マルウェア β と同じ手段による感染の拡大を検知するための検知ルールを作成して製品Cに登録した。その後2週間，Vソフトの正常なデータファイルを開くといった，PCの通常利用に起因する誤検知が起きないか確認を続けた。

サービス利用開始から1か月後，ある従業員がメールに添付されていたVソフトのデータファイルを開いて，マクロを実行した直後にマルウェア β の亜種を検知することができた。さらに，E体制のメンバーが直ちに必要な対応を指示することによって被害の拡大も防ぐことができた。

〔運用体制の組替え〕

試験期間が終了し，K社は，運用サービス及び監視サービスを正式に利用することにした。それらに加え，インシデント対応を円滑に行うために，被害状況の把握及び侵入経路の特定を行うP社のインシデント対応支援サービスも利用することにした。
インシデント対応支援サービスの利用には，インシデントレスポンスチーム（以下，IRTという）の整備が前提となっている。M課長は，IRTの体制案をまとめ，経営層の承認を得た。IRTでは，通常時は，1名が通報窓口の要員として対応する。召集時は，情報システム課，営業所1，営業所2及び倉庫の従業員計10名が参加する。
M課長は，W主任にインシデント対応の流れを整理して，必要となる規程及び通報窓口の要員が社内から通報を受けるための通報専用メールアドレスを整備するように指示した。また，規程を整備する際は，インシデントの重大さ（以下，レベルという）を定義し，レベルに応じて対応に必要な体制が変わることに注意するように付け加えた。
W主任は，レベルの判定の際に使用する基準の案を図5に，マルウェアによる情報漏えいを想定したインシデント対応の流れの案を図6にまとめ，M課長に提出した。M課長は，図5と図6の案を承認してIRTの活動を開始した。

〔秘密ファイルの流出〕

IRTの体制が整った1週間後の9月29日，社内からの通報専用メールアドレス宛てにある従業員からメールが届いた。そのメールの内容は，“S社が提供するオンラインストレージサービスであるSサービスにおいて，K社の取扱商品の価格表（以下，ファイルNという）と思われるファイルが一般公開されていて，仕入原価も記載されていると9月26日に取引先から連絡があった”というものだった。メールを見た通報窓口の要員はIRT全員を招集して会議を開催しようとしたが，日程調整が難航し，開催できたのは10月4日だった。10月3日には，営業部門から，“顧客から，Sサービスで公開されているファイルについて苦情が来ているので対応を急いでほしい”と，M課長に抗議が来ていた。

会議の中で，Sサービスで公開されているファイルが，秘密情報に該当するファイルNであることを確認した。ファイルNに含まれている商品の売上高は全社の売上高の5%であった。IRTでは，インシデント対応要と直ちに判断して，まずS社にファイルの公開停止を依頼した。続いて，P社に解析サービスを発注してPCのマルウェア感染の調査を依頼した。1時間後，P社から，“製品Cの記録を確認したが，マルウェアのものと思われるイベントは発見できない”との報告があった。これらの状況を基にレベルの判定を行おうとしたが，“影響の広がり”の区分のどれにも該当しないので，とりあえず“軽微”と判定した。その後，インシデント対応支援サービスを利用して，ファイルNの公開の経緯の特定を依頼した。

最初にP社は，K社のほかのファイルがSサービスで公開されていないかどうかを調査した。ファイルN以外に，価格表が幾つか公開されていたが，いずれも公開されても差し支えないものであった。これらは，アップロード日時からファイルNと同時にアップロードされたものだと推測できた。念のため，マルウェアα及びマルウェアβの再感染も調査したが，その形跡はなかった。その後，ファイルNが公開された経緯として可能性の高いものを四つ，表6に示すとおりに想定して順に調査した。

P社が調査を進めた結果，想定1〜3の可能性は低いことが分かったので，想定4について調査を進めた。

調査の中間報告のために，U氏がK社を訪問した。W主任はU氏に，図7で“詳細調査Bに進む”と判定されるのは，従業員がどのような操作をして，どのようなファイルをUSBメモリに書き込んだ場合が考えられるか聞いた。U氏は，従業員がファイルを書き込む際に，kという操作をして，ファイルNと同じ内容が含まれるものの，l及びmが異なるファイルへと変換した場合が考えられると答えた。

〔原因の特定〕

図7に基づく調査では，従業員のJさんが使用しているPCだけが詳細調査Aに進み，そのほかのPCは全て可能性は低いとの結果になった。P社から報告を受けたIRTでは，Jさんに聞き取り調査を行った結果，公開可能な価格表ファイルを持ち出すために，個人所有のUSBメモリにファイルをコピーした時に，誤ってファイルNもコピーしてしまい，その後USBメモリを紛失していたことが分かった。

IRTでは，紛失したUSBメモリを手に入れた何者かが，ファイルNを含む幾つかの価格表をSサービスにアップロードしたと推測した。今回のインシデントはこれ以上被害が拡大することはないと考え，インシデント対応は完了とした。体制不足もあり，取引先からの連絡から，インシデント対応完了までに12日間掛かった。

〔再発防止〕

M課長は，ファイル持出しに起因する同様のインシデントの再発を防止するためには，個人所有の外部記憶媒体の使用制限を含めた対策が必要であると考え，必要な規程を策定するようにW主任に指示した。W主任は，規程案を図8のとおりにまとめ，M課長に提出した。

M課長は，この規程案を承認するとともに，情報システム課が管理するUSB-IDをP社に伝え，この規程に違反する持出しを製品Cで検知するようにP社に依頼した。P社は，違反する持出し操作のうち製品Cで検知可能な操作について⑤新たな検知ルールを作成して，製品Cに登録した。一方，製品Cで検知できない操作については，別の対策を提案した。

〔事後評価〕

インシデント対応について，P社とK社が合同で見直しを実施した。この見直しの結果を受けて，M課長は幾つかの修正をW主任に指示した。W主任は修正案を表7のとおりまとめた。

M課長は，これらの案を承認し，後日正式な規程とした。