応用情報技術者 2022年 秋期 午後 問01

解答の論理構成

1. a の挙動
   引用：「インターネットとDMZ間及び内部LANとDMZ間で業務に必要な通信だけを許可し、通信ログ及び遮断ログを取得する。」
   − 外部と内部との通信を制御し、許可／遮断ログを出力するのは典型的に「FW（ファイアウォール）」の役割です。
   − よって a ＝「ア：FW」。
2. b の挙動
   引用：「SPF（Sender Policy Framework）機能によって送信元ドメイン認証を行い、送信元メールアドレスがなりすまされた電子メールを隔離する。」
   − SPF 対応はメール配送経路の入り口で実施することが多く、宛先メールサーバより前段の「メールゲートウェイ」に相当します。
   − 解答群でメールゲートウェイに該当するのは「ケ：メール中継サーバ」。
   − よって b ＝「ケ：メール中継サーバ」。
3. c の挙動
   引用：「動作に問題がなければ、PC 向けのものはcに登録し…」「PC は、電源投入時に c にアクセスし、更新が必要な新しい版が登録されている場合は、ダウンロードして更新処理を行う。」
   − PC がパッチを取りに行く仕組みはパッチ配信サーバ又は WSUS のような「配布サーバ」が担います。
   − 解答群で該当するのは「ク：配布サーバ」。
   − よって c ＝「ク：配布サーバ」。

誤りやすいポイント

• SPF を「社内メールサーバ」が行うと誤認するケース
  → SPF は受信段階で実施し、不正メールを社内に入れない運用が一般的です。
• a を「L3SW」とする誤答
  → L3 スイッチにも ACL 機能はありますが、問題文でログ取得を明示している点が典型的ファイアウォールの仕様です。
• c を「検証用サーバ」とする誤答
  → 検証用サーバはテスト環境用であり、運用ネットワークにパッチを配布する役割を持ちません。

FAQ

解答の論理構成

1. 問題文では、外部 DNS サーバについて「“外部 DNS サーバを①DDoS の踏み台とする攻撃への対策を行う”」と記述されています。
2. 「DDoS の踏み台」とは、攻撃者が第三者サーバを悪用し、実際の標的へ大量のパケットを転送・増幅させる手口を指します。
3. DNS サーバを踏み台にする代表的な手法は「DNS リフレクション攻撃（DNS アンプリフィケーション攻撃）」です。攻撃者は送信元 IP アドレスを標的に偽装した DNS クエリを“オープンリゾルバ”へ送り、応答パケットを標的に反射・増幅させて DDoS を成立させます。
4. 解答群のうち、DNS サーバを利用して踏み台化・増幅を行う攻撃は「ア：DNSリフレクション攻撃」のみです。
5. したがって①の攻撃名は「ア：DNSリフレクション攻撃」となります。

誤りやすいポイント

• 「メール不正中継攻撃」は SMTP リレー設定を悪用するもので、DNS は関係ありません。
• 「セッションハイジャック攻撃」は通信中のセッション ID を横取りする攻撃で、踏み台・増幅というキーワードとは結び付きません。
• 「DNS の踏み台」という言葉が「DNS キャッシュポイズニング」などと混同されるケースがありますが、本設問の焦点は“DDoS 増幅”です。

FAQ

解答の論理構成

1. 問題で問われている「②」の内容を確認します。本文には
   「②PC が接続するセグメント及び社内の他のセグメントの全てのホストアドレス宛てに、宛先アドレスを変えながら ICMP エコー要求パケットを送信し、連続してホストの情報を取得する」
   とあります。
2. 「ICMP エコー要求パケットを送信」する行為は、一般に“Ping Sweep”と呼ばれるホスト探索手法で、応答が返ってきたアドレスは稼働中（生存している）と判断できます。
3. したがって②の処理で攻撃者が得たい情報は、どのIPアドレスのホストがネットワーク上で動作しているか、という点に集約されます。
4. 以上から解答は「稼働中のホストのIPアドレス」となります。

誤りやすいポイント

• 「ICMPエコー＝Pingだからポート番号も分かる」と誤解し、開放ポート情報まで答えてしまう。
• 物理アドレス（MACアドレス）が取れると勘違いする。ICMPはL3プロトコルであり、MAC情報は取得できません。
• ②と③(b)の処理を混同し、サービスの脆弱性や開放ポートを答えてしまう。②はあくまで“到達確認”だけです。

FAQ

解答の論理構成

1. まず本文には、マルウェア X が PC に侵入した後の手順として
   “(b) ③(a) によって情報を取得できたホストに対して、攻撃対象のポート番号をセットしたTCPのSYNパケットを送信し、応答内容を確認する。”
   と記載されています。
2. “TCPのSYNパケットを送信し、応答内容を確認” する行為は、TCP 3 ウェイハンドシェイクの最初の段階を利用した―いわゆる SYN スキャン―であり、ポートが開いているか、すなわち「そのサービスが稼働しているか」を判定する目的で用いられます。
3. したがって、③の処理の目的は「攻撃対象のサービスの稼働状態を知る」ことであり、解答群では “ウ：攻撃対象のサービスの稼働状態を知るため” が該当します。

誤りやすいポイント

• ICMP エコー要求を送る (a) のステップが “ホストの稼働確認” なので、続く (b) も同じ目的と誤解して “エ” を選んでしまう。実際には (b) はポート単位の確認であり対象が異なります。
• “DoS 攻撃のための SYN フラッド” と早合点し “ア” を選択するケース。ここでは大量送信ではなく “応答内容を確認” している点がスキャン目的である証拠です。
• OS バージョン判定と混同して “イ” を選択するミス。OS 版判定ならバナー取得や TTL 値解析などが一般的で、単一ポートへの SYN 送信だけでは不足します。

FAQ

FAQ

解答の論理構成

1. SPF 機能の目的
   【問題文】には、 「・bでは、SPF（Sender Policy Framework）機能によって送信元ドメイン認証を行い、送信元メールアドレスがなりすまされた電子メール…を隔離する。」
   とあります。すなわち SPF は “送信元ドメインが正しいメールサーバから発信されたか” を検証し、ドメイン詐称を検知・隔離する仕組みです。
2. マルウェア X に感染した社外 PC からのメールの性質
   下線④で「マルウェアXに感染した社外のPCから送られてきたメールは、SPF機能ではなりすましが発見できません」と説明されています。
   社外 PC のユーザは自社ドメインの正規アカウントを持ち、その PC は通常どおり正規の SMTP サーバを経由してメールを送信します。したがって、 • 送信者ドメインは本物
   • 送信経路も正規サーバ
   となり、SPF の照合結果は “PASS” になります。
3. 結論
   SPF が検知できないのは「送信者のドメインが詐称されたものではない」ためであり、解答群「ア」が最適です。

誤りやすいポイント

• 「添付ファイルが暗号化されている」「本文に不審箇所がない」といった内容は SPF の検証対象外です。SPF はメールヘッダ内の送信元ドメインと送信 IP の整合性だけを確認します。
• DKIM・DMARC などと混同し、「署名があるから検知できない」と考えがちですが、本設問は SPF のみが論点です。
• 「なりすまし＝すべての不正メール」と早合点すると、正規ドメイン経由の攻撃メールがある事実を見落とします。

FAQ

解答の論理構成

1. 【問題文】の〈マルウェア X の調査〉では、感染後の最初の動作として
   “②PC が接続するセグメント及び社内の他のセグメントの全てのホストアドレス宛てに、宛先アドレスを変えながら ICMP エコー要求パケットを送信し、連続してホストの情報を取得する”
   と明示されています。
2. 下線⑤は “マルウェアXの活動を検知” した場合と定義されており、EDR がとらえるべき具体的なイベントを問うています。
3. 感染のごく早期段階で共通して発生し、かつ平時の PC ではまず行われない目立つ振る舞いが上記 ICMP 連続送信です。
4. したがって、EDR が “ICMP エコー要求パケットを連続して送信する” 事象を捕捉できれば、マルウェア X 侵入を高い確度で疑うことができます。

誤りやすいポイント

• TCP の SYN パケットによる “ポートスキャン” を挙げてしまう
  ⇒ これは手順(b)であり、すでにネットワーク探索が進んだ後の段階です。
• “ICMP エコー要求” だけを書き、連続性を示さない
  ⇒ 単発の ping は運用で発生し得るため誤検知が増えます。
• “ICMP エコー応答の受信” と書く
  ⇒ 送信動作が主体である点を取り違えると失点します。

FAQ

解答の論理構成

1. まず本文には、EDR が検知したときの対応として
   「⑤マルウェアXの活動を検知」した場合に「⑥内部ネットワークの探素を防ぐなどの緊急措置」を PC に対して実施できる
   と明記されています。
2. 「内部ネットワークの探素を防ぐ」ために最も直接的・確実な方法は、当該 PC をネットワークから切り離し、他機器との通信を遮断することです。
3. EDR 製品の一般的な緊急措置（ネットワーク隔離・プロセス強制停止・電源遮断など）の中で、本文の要件を満たしつつ侵入拡大や情報流出を同時に抑えられるのは「PC の隔離」です。
4. したがって下線⑥に対応する緊急措置の具体的内容は
   「マルウェアに感染したPCを隔離する」
   となります。

誤りやすいポイント

• 「通信を遮断する」「LAN ポートを無効にする」など表現を変えすぎて、本文の意図である“感染 PC の孤立化”が伝わらない答案にしてしまう。
• 「プロセス停止」や「マルウェア削除」と答え、内部ネットワーク探索の根本的な遮断策になっていない。
• 「検疫ネットワークへ移動」など長い説明を書き、設問が求める“緊急措置”の核心部分（隔離）をぼかしてしまう。

FAQ

解答の論理構成

1. 設問は「被害内容を早期に明らかにするために実施すべきこと」を尋ねています。
2. 【問題文】で S 社が提案した EDR の機能に関し、
   • 「管理サーバは、エージェントから受信したログの保存、分析及び分析結果の可視化などの機能をもつ。」
     と明示されています。
3. つまり、被害状況を素早く把握するには、EDR が収集・保管しているログを確認し、その分析結果を活用するのが最も直接的です。
4. したがって解答は「EDRが保存するログの分析」となります。

誤りやすいポイント

• 「通信ログ」や「FW のログ」など既存装置のログと勘違いしやすい。設問の文脈は “EDR 導入後” に限定されている点を見落とさないこと。
• 「可視化機能を見る」だけで済むと考えると不十分。可視化は分析結果の提示手段であり、根本はあくまでログの分析にある。
• 「ログを取得する」行為と「ログを分析する」行為を混同しやすい。被害を早期に明らかにするには分析まで実施する必要がある。

FAQ