IPA 脆弱性管理・セキュリティ監視 — 頻出論点と過去問

頻出論点

1. この分野は何か

ソフトウェアの脆弱性を見つけて番号を付け、深刻さを測り、直すまでを管理する仕組みと、攻撃の兆しを見張り、インシデントが起きたあとに証拠を残す技術を扱います。略語の多い標準や仕組みを、何を識別し何を評価するものかで区別できるようになります。

2. 実際の出題のされ方

犯罪や法的紛争が生じた際に削除された電子メールなどを復元して証拠を収集・保全するデジタルフォレンジックスの定義は、ITパスポートで問われます。

脆弱性の識別・評価指標や動的検査、ポートスキャン判定、フォレンジックスの基本手順は、応用情報技術者の午前と高度試験の午前Iで問われます。個別の脆弱性を一意に識別するCVE、基本・現状・環境の3基準で深刻度を評価するCVSS、脆弱性関連情報と対策情報を提供するJVN、ソフトウェアの構成部品や依存関係を一覧化するSBOM（ソフトウェア部品表）、問題を引き起こしそうな多様なデータを大量に入力して挙動を監視するファジングが出題されています。また、ポートスキャンにおける応答パケットからの開閉判定（TCPのSYNに対するRST/ACKやUDPパケット送信時のICMP port unreachableからポートが閉じていると判定する問題）、未使用のIPアドレス空間（ダークネット）に届く探索パケット、そしてデジタルフォレンジックスの手順（収集・検査・分析・報告）が出題されています。

脆弱性管理の自動化仕様やセキュリティ評価基準、脅威インテリジェンス・監視運用、証拠保全の優先順位は、高度試験の午前IIで問われます。脆弱性の種類を識別するCWEや脆弱性管理を自動化するSCAP、CVEの事務局であり攻撃手法のナレッジベース（MITRE ATT&CK）を公開するMITREが出題されています。また、暗号モジュールのセキュリティ要求事項であるFIPS PUB 140-3、IT製品のセキュリティ機能を評価するISO/IEC 15408、IoT機器へのペネトレーションテスト、公開実証コード（PoC）悪用への未然防止策（修正プログラム適用やワークアラウンド）も出ています。さらに、SOAR・UEBA・IoC（C&Cサーバとの通信履歴など）・OSINT、揮発性の高さに基づいて証拠を保全する順序も問われています。

3. 学習のポイント

まずは脆弱性管理の標準仕様（SCAP構成要素など）の名前と役割を正確に区別しましょう。製品に含まれる個別の脆弱性の識別子＝CVE、脆弱性の種類（タイプ）一覧＝CWE、深刻度の評価手法＝CVSS、セキュリティ設定項目の識別子＝CCE、製品プラットフォーム一覧＝CPEという対応関係は、応用情報技術者と高度試験で核となる知識です。あわせて、構成要素を把握して脆弱性管理に用いるSBOMや、入出力に注目した動的検査手法であるファジングの特徴を押さえておきます。

次に、監視・脅威情報・事後対応の用語を整理します。ログを集約・相関分析するSIEM、脅威インテリジェンスの活用とセキュリティ運用の自動化・インシデント対応の効率化を行うSOAR、利用者や機器の異常な振る舞いを検知するUEBA、侵害の痕跡を示すIoC、公開情報を収集・分析するOSINTの違いを比較し、デジタルフォレンジックスでは揮発性の高い（電源断や時間経過で失われやすい）情報から順に保全する原則（たとえばCPUのレジスタやメモリ上の情報、一時ファイル、ディスク、外部の記録媒体の順）を身につけておきましょう。

4. 間違えやすいところ

よく出るのは、アルファベット略語の入れ替えです。CVEの説明としてCCE（設定項目）やCWE（弱点の種類）の記述を置く選択肢、SOAR・SIEM・STIX/TAXII・ゼロトラストの説明を入れ替える選択肢、IoC（侵害の痕跡）に単なる公開脆弱性情報や証明書失効リスト・フィルタリングルールを含める選択肢があります。

また、検査・評価や証拠保全の場面でも注意したい誤答肢があります。ポートスキャンでTCPのSYNに対してRST/ACKが返った場合やUDPに対してICMP port unreachableが返った場合をポートが開いている（接続許可）と逆に判定させる選択肢、ファジングをソースコードの静的解析や負荷テスト・限界値分析と混同させる選択肢、ISO/IEC 15408やFIPS PUB 140-3を組織のISMS規格（ISO/IEC 27001）と取り違える選択肢、そして証拠保全で、電源を切ると失われるメモリ上の情報より先に、ディスクや外部に残る記録を保全しようとする順序の誤りに注意しましょう。