応用情報技術者 2021年 春期 午後 問01

　R社は、Webサイト向けソフトウェアの開発を主業務とする、従業員約50名の企業である。R社の会社概要や事業内容などをR社のWebサイト（以下、R社サイトという）に掲載している。 　R社内からインターネットへのアクセスは、R社が使用するデータセンタを経由して行われている。データセンタのDMZには、R社のWebサーバ、権威DNSサーバ、キャッシュDNSサーバなどが設置されている。DMZは、ファイアウォール（以下、FWという）を介して、インターネットとR社社内LANの両方に接続している。 　データセンタ内のR社のネットワーク構成の一部を図1に示す。

　R社サイトは、データセンタ内のWebサーバで運用され、インターネットからR社サイトへは、HTTP Over TLS（以下、HTTPSという）によるアクセスだけが許されている。 　 〔インシデントの発生〕 　ある日、R社の顧客であるY社の担当者から、“社員のPCが、R社サイトに埋め込まれていたリンクからマルウェアに感染したと思われる”との連絡を受けた。Y社は、Y社が契約しているISPであるZ社のDNSサーバを利用していた。 　R社情報システム部のS部長は、部員のTさんに、R社ネットワークのインターネット接続を一時的に切断し、マルウェア感染の状況について調査するように指示した。Tさんが調査した結果、R社の権威DNSサーバ上の、R社のWebサーバのAレコードが別のサイトのIPアドレスに改ざんされていることが分かった。R社のキャッシュDNSサーバとWebサーバには、侵入や改ざんされた形跡はなかった。 　Tさんから報告を受けたS部長は、①Y社のPCがR社の偽サイトに誘導され、マルウェアに感染した可能性が高いと判断した。 　 〔当該インシデントの原因調査〕 　S部長は、当該インシデントの原因調査のために、R社の権威DNSサーバ、キャッシュDNSサーバ及びWebサーバの脆弱性診断及びログ解析を実施するよう、Tさんに指示した。Tさんは外部のセキュリティ会社の協力を受けて、脆弱性診断とログ解析を実施した。診断結果の一部を表1に示す。

　診断結果を確認したS部長は、R社の権威DNSサーバのDNSソフトウェアの脆弱性を悪用した攻撃によってaが奪取された可能性が高いと考え、早急にその脆弱性への対応を行うようにTさんに指示した。 　Tさんは、R社の権威DNSサーバのDNSソフトウェアの脆弱性は、ソフトウェアベンダが提供する最新のソフトウェアで対応可能であることを確認し、当該ソフトウェアをアップデートしたことをS部長に報告した。S部長はTさんに、R社の権威DNSサーバ上のR社のWebサーバのAレコードを正しいIPアドレスに戻し、R社のネットワークのインターネット接続を再開させたが、Y社のPCからR社サイトに正しくアクセスできるようになるまで、③しばらく時間が掛かった。R社は、Y社に謝罪するとともに、当該インシデントについて経緯などをとりまとめて、R社サイトなどを通じて、顧客を含む関係者に周知した。 　 〔セキュリティ対策の検討〕 　S部長は、R社の権威 DNSサーバに対する④同様なインシデントの再発防止に有効な対策と、R社のキャッシュ DNSサーバ及びWebサーバに対するセキュリティ対策の強化を検討するように、Tさんに指示した。 　Tさんは、R社のWebサーバが使用しているディジタル証明書が、ドメインの所有者であることが確認できる DV (Domain Validation) 証明書であることが問題と考えた。そこで Tさんは、EV (Extended Validation) 証明書を導入することを提案した。R社のWebサーバに EV 証明書を導入し、Webブラウザで R社サイトに HTTPS でアクセスすると、R社の b を確認できる。 　また Tさんは、⑤R社のキャッシュ DNSサーバがインターネットから問合せ可能であることも問題だと考えた。その対策として、FWの設定を修正して R社社内 LAN からだけ問合せ可能とすることを提案した。また、R社のキャッシュ DNSサーバに、偽の DNS応答がキャッシュされ、R社の社内 LAN 上の PCがインターネット上の偽サイトに誘導されてしまう、c の脅威があると考えた。DNSソフトウェアの最新版を確認したところ、ソースポートのランダム化などで対応していることから、この脅威については対応済みであると報告した。