応用情報技術者 2017年 春期 午後 問01

解答の論理構成

• 【問題文】では「最近、標的型攻撃の一つである a 攻撃が増加している。」とあり、さらに「攻撃者が、攻撃対象の企業や組織が日常的に利用する Webサイトの b を改ざんし、Webサイトにアクセスした PCをマルウェアに感染させる」と説明しています。
  “利用者がよく訪れる正規サイトを改ざんして感染させる”手口は「水飲み場型攻撃」と呼ばれるため a＝「ク：水飲み場型」となります。
• b については、攻撃対象の Webサイトで改ざんされるものが「Webページ」であることは常識的に一致します。したがって b＝「エ：Webページ」です。
• プロキシサーバに関し「遮断する Webサイトを T 社が独自に設定できる c 機能を新たに稼働させる」とあります。社内基準で許可／拒否 URL を設定する機能は「URLフィルタリング」と呼ばれるため c＝「ウ：URLフィルタリング」と判断できます。
• ログ検査では「短時間に大量に繰り返されていないか」を調べる目的が述べられ、「マルウェアによるサーバへのf攻撃が行われた可能性」と続きます。短時間で大量に認証を試す攻撃は「総当たり攻撃（ブルートフォース）」ですから f＝「カ：総当たり」と決定できます。

誤りやすいポイント

• 「フィッシング」と混同
  “改ざんされた正規サイト”と“偽サイトへ誘導”は似ていますが、後者は【問題文】に該当する説明がありません。
• URL フィルタリングとキーワードフィルタリングの取り違え
  問題では“Webサイト単位で遮断”と読めるため URL ベースが正解。本文はキーワードでのコンテンツ制御には言及していません。
• 総当たり攻撃 vs. DDoS
  どちらも“短時間に大量”という表現がありますが、本文は「利用者認証の試行」に限定しているため認証情報を狙う総当たりが正しいです。

FAQ

解答の論理構成

• 【問題文】には「①マルウェアと攻撃サーバの間の通信（以下、バックドア通信という）は、HTTP で行われることが多いので、マルウェアの活動を発見するのは容易ではない」とあります。
• HTTP は社内 PC が日常的に利用する「通常のWebサーバ」との通信にも用いられます。したがって、バックドア通信も外形的には同じプロトコル・同じ宛先ポート番号（80/TCP や 443/TCP）を使うため、FW やプロキシサーバのログ上では区別がつきにくい状況になります。
• 以上より、選択肢のうち「パケット通信は通常のWebサーバとの通信と区別できないから」と説明する「エ」が妥当となります。

誤りやすいポイント

• 「ログに記録されないから」と考えてしまうパターン
  → HTTP 通信は通常ログに残るため、記録の有無ではなく“判別の難しさ”が本質です。
• 「大量通信なので保存しきれない」と誤読するパターン
  → 保存量の問題ではなく、正常通信にまぎれる点が論点です。
• 「プロトコルが特殊だから解析できない」と早合点するパターン
  → HTTP は標準的なプロトコルであり、特別な解析困難性はありません。

FAQ

解答の論理構成

1. 問題文の確認
   • 対策の説明に「プロキシサーバでの利用者認証時に、“②PCの利用者が入力した認証情報がマルウェアによって悪用されるのを防ぐための設定を、Webブラウザに行う”」とあります。
2. リスクの整理
   • Webブラウザには入力した ID やパスワードを自動保存し、次回以降の入力を補完する仕組みがあります。
   • その情報がローカル PC に暗号化されず保存されると、マルウェアに窃取される恐れがあります。
3. 取るべき設定
   • ID／パスワードをブラウザに記憶させなければ、マルウェアが奪取できる情報がそもそも存在しません。
   • したがって、最適解はブラウザの「オートコンプリート（自動入力）機能」を停止することです。
4. 結論
   • 以上より、解答は「オートコンプリート機能を無効にする」となります。

誤りやすいポイント

• 「パスワードの複雑化」と混同する
  • 入力補助を止める話であり、文字種や長さとは別問題です。
• 「HTTPS を強制する」と誤解する
  • 通信路の暗号化ではなく、ローカル保存の抑止が主眼です。
• 「ブラウザにパスワードマネージャを導入」と逆の発想をしてしまう
  • 本問では保存“しない”方向の設定が求められています。

FAQ

解答の論理構成

1. ログ検査の目的
   • 本文に「③ログ検査では、複数の機器のログに記録された事象の関連性も含めて調査する」とあります。複数機器のログを突き合わせ、攻撃の連鎖を時系列で追うことが前提です。
2. 時刻同期の重要性
   • 続けて「DMZにNTP（Network Time Protocol）サーバを新規に導入し、ログ検査を行う機器でNTPクライアントを稼働させる」とあり、全機器の時計を正確に合わせる対策が示されています。
3. NTPを導入しない場合のリスク
   • 各機器の時刻がずれると、同じインシデントに関するログが前後して記録されるため、因果関係や攻撃の流れを正確に再現できません。
4. 結論
   • したがって、NTPを稼働させなければ「各機器のログに記録された事象の時系列の把握が困難になる」という問題が発生します。

誤りやすいポイント

• 「ログが取れていれば解析できる」と考え、時刻ズレの影響を軽視する。
• NTP導入の目的を“外部攻撃遮断”と誤解し、ログ相関への効果を見落とす。
• 単一機器のログだけで十分と判断し、複数機器の突合せを実施しない。

FAQ

解答の論理構成

1. 「DMZにNTP（Network Time Protocol）サーバを新規に導入し、ログ検査を行う機器でNTPクライアントを稼働させる。」とあります。したがって送信元は“DMZに設置されたNTPサーバ”です。
2. 続けて「導入するNTPサーバは、外部の信用できるサーバから時刻を取得する。」とあるので、宛先は“インターネット上のNTPサーバ”になります。
3. 表1の項番1は「送信元：d の NTPサーバ／宛先：e の NTPサーバ」と書かれています。以上を図1の名称で置き換えると、
   • d ＝「DMZ」
   • e ＝「インターネット」
   となり、模範解答と一致します。

誤りやすいポイント

• 「外部の信用できるサーバ」を“社外用DNSサーバ”などDMZ側の機器と誤認するケースがあります。文脈上“外部＝インターネット”です。
• 表1の方向性を逆に読んで「宛先がDMZ」と書いてしまうミス。あくまでDMZ側から外部へ時刻問い合わせを発信します。
• 図1の名称をそのまま書かず、「外部NTPサーバ」「DMZネットワーク」など表現を変えると減点対象になる点にも注意が必要です。

FAQ

解答の論理構成

• 【問題文】では、下線部④として
  “④インシデントによる情報セキュリティ被害の発生、拡大及び再発を最少化するために社内に構築すべき対応体制”
  を挙げています。キーワードは「発生」「拡大」「再発」「最少化」です。
• これらを実現するには、
  ①インシデントを早期に“発見”して報告できる仕組み
  ②日常的に“予防”する仕組み
  の両方が必要です。

誤りやすいポイント

• 「事後対応に特化」（エ）を選びがちですが、発生前の予防と再発防止が欠けるため不十分です。
• 「社外に頼らず独自に」（イ）はコストやリソース面で現実的でないうえ、目的とずれています。
• 「情報を漏らさない」（オ）は報告遅延や隠蔽につながり、拡大防止と矛盾することがあります。

FAQ