基本情報技術者 2015年 春期 午前（科目A） 問43

ファイルハッシュによる改ざん検知【午前解説】

正解の理由

解法ステップ

1. 問題文の要求を「最も有効な改ざん検知方法」だと理解する（検出精度と実用性を重視）。
2. 各選択肢が「ファイル内容の変化を直接検知できるか」を基準に評価する。
3. 更新日時は間接的・容易に偽装可能、メモリやポート監視は別問題であるため除外。
4. ハッシュ比較は直接・高精度に検知でき、自動化と運用で実用的なので選択する。

• 初期ベースラインのハッシュを生成・署名して安全な場所に保存。
• 定期的にサーバ上のファイルをスキャンしハッシュを比較。
• 差異があれば変更内容の確認・リストア・ログ解析を実施。

選択肢別の誤答解説

• ア: Webサーバのコンテンツの各ファイルの更新日を保管しておき、定期的に各ファイルの更新日と比較する。
  • 理由（誤り）：更新日時（mtime）は攻撃者が任意に変更可能でフォレンジックや改ざん回避に使われやすく、ファイル内容自体の変更を確実に検出できません。誤検知や見落としが発生しやすいです。
• イ: Webサーバのコンテンツの各ファイルのハッシュ値を保管しておき、定期的に各ファイルからハッシュ値を生成し、比較する。
  • 理由（正解）：ファイル内容を直接表す指標であり、暗号学的ハッシュはわずかな変更でも別値になるため改ざん検知に最適です。ベースラインの安全な管理と適切なハッシュ関数の選択が前提となります。
• ウ: Webサーバのメモリ使用率を定期的に確認し、バッファオーバーフローが発生していないことを確認する。
  • 理由（誤り）：メモリ使用率やバッファオーバーフローの有無は脆弱性や当該攻撃の兆候の一部を示すに過ぎず、コンテンツそのものの改ざんを直接検出する手段ではありません。検出対象が異なります。
• エ: Webサーバへの通信を監視し、HTTP、HTTPS以外の通信がないことを確認する。
  • 理由（誤り）：通信プロトコル監視は不要なサービスや異常なポートを検出できますが、許可されたHTTP/HTTPS上で配信されるコンテンツ自体の改ざんを検出する手段にはなりません。

よくある誤解

• 「更新日時の検査で十分」：更新日時は攻撃者が任意に変更可能であり、タイムスタンプだけでは内容改変を確実に検出できません。
• 「ハッシュが同じなら完全に安全」：ハッシュ照合は改ざん検出に有効ですが、ベースラインの保管場所が攻撃者に改竄されていないことが前提であり、保存方法の安全性が重要です。
• 「通信プロトコル監視でコンテンツ改ざんを検出できる」：許可されたHTTP/HTTPS上のレスポンス内容までは監視対象にならず、通信監視だけではコンテンツ改ざんは検出困難です。

補足コラム

• 実務ではファイル整合性監視（FIM: File Integrity Monitoring）ツール（例：AIDE、Tripwire）を使ってハッシュの生成・比較・アラートを自動化します。
• ハッシュ関数の選択：MD5やSHA-1は衝突耐性が弱いため推奨されず、SHA-256以上を使用するのが現代的な運用です。
• ベースラインの保護：ハッシュ値はサーバ外の別システムやWORM（Write Once Read Many）媒体、あるいは署名付きで保存して改ざんから守る必要があります。
• 改ざん検知だけでなく予防（Webアプリの脆弱性修正、強固なアップデート管理、アクセス制御）と組み合わせることで効果が最大化します。

import hashlib

def sha256_of_file(path):
    h = hashlib.sha256()
    with open(path, "rb") as f:
        for chunk in iter(lambda: f.read(8192), b""):
            h.update(chunk)
    return h.hexdigest()

print(sha256_of_file("/var/www/html/index.html"))

FAQ