情報セキュリティマネジメント 2018年秋期午前（科目A）問19

問題文

利用者PCがボットに感染しているかどうかをhostsファイルの改ざんの有無で確認するとき、hostsファイルが改ざんされていないと判断できる設定内容はどれか。ここで、hostsファイルの設定内容は1行だけであり、利用者及びシステム管理者は、これまでにhostsファイルを変更していないものとする。

🖊️ 解答を隠して解いてみる

選択肢

ア：

イ：

ウ：

エ：（正解）

🔒 解説は解答すると表示されます

hostsファイル改ざん判定【情報セキュリティマネジメント解説】

正解の理由

hostsファイルはホスト名（例：example.com）とIPアドレスをローカルで結び付けるファイルです（名前解決の優先手段のひとつ）。IPアドレス 127.0.0.1 は「ループバックアドレス（自分自身を指す特別なIP）」を表し、localhost は通常「自分のコンピュータ」を指す名前です。問題の前提で「利用者及び管理者はこれまでhostsを変更していない」「ファイルは1行だけ」とあるとき、標準的・初期状態として自然なのは 127.0.0.1 localhost の組み合わせです。したがって、改ざんされていないと判断できるのはエの設定です。

（逆に、OSや製造元、ウイルス定義提供元のFQDNを 127.0.0.1 に向ける設定は、そのドメインへのアクセスを遮断するため、改ざんや不正な操作の痕跡である可能性が高いです。）

解法ステップ

hostsファイルの役割を確認する：ローカルでホスト名→IPを決める。OSがDNSより先に参照する場合が多い。
127.0.0.1 の意味を確認する：自分自身（ループバック）。
よくある初期状態を思い出す：多くのOSでは最小のhostsに 127.0.0.1 localhost（とIPv6の ::1 localhost）が含まれる。
問題の前提（利用者・管理者は変更していない、1行だけ）を組み合わせて考える：標準的な1行はエの内容に一致する。
以上より、改ざんなしと判断できるのはエ。

選択肢別の誤答解説

ア（127.0.0.1 a.b.com）：a.b.com が OS 提供元のFQDNであるなら、標準のhostsにその会社のFQDNをループバックに向ける意味はない。通常は不審。マルウェアが更新サイトや公式サイトへの接続を妨げるためにこのような行を追加することがある。
イ（127.0.0.1 c.d.com）：製造元のFQDNをループバックに向けるのも同様に不自然で、改ざんの可能性が高い。
ウ（127.0.0.1 e.f.com）：ウイルス定義ファイル提供元をループバックに向けると、ウイルス定義の更新ができなくなるため、感染隠蔽や更新妨害を目的とした改ざんと考えられる。
エ（127.0.0.1 localhost）：127.0.0.1 と localhost の組み合わせは標準的で初期状態に合致するため、改ざんされていないと判断できる。

よくある誤解

hostsが改ざんされていなければ絶対に安全、ではない：マルウェアはhosts改ざん以外にもプロキシ設定変更、DNS乗っ取り、サービスのインストールなどで通信を変更する。hostsだけの確認で安心しない。
「127.0.0.1 に別名があれば必ず改ざん」は誤り：開発環境などで意図的に別名をひも付けることもある。ただし問題の前提（これまで変更していない）と照らすと不自然さで判断する。
IPv6の ::1 を忘れがち：近年のOSは ::1 localhost を併記することが多い。両方あるのが普通。

補足コラム

hostsファイルの場所（代表例）
- Windows: C:\Windows\System32\drivers\etc\hosts
- Linux/macOS: /etc/hosts
  コマンドで中身を見る例：
```
# Linux/macOS
cat /etc/hosts

# Windows（コマンドプロンプト）
type %SystemRoot%\system32\drivers\etc\hosts
```
実務での運用イメージ：hostsはシステムファイルなので変更は原則IT部門で管理します。社内ルールとして「誰がいつ変更したか」を記録（変更申請や差分管理）しておくと、改ざん検知が速くなります。
改ざんを疑ったら：端末をネットワークから切り離し（隔離）、変更履歴とタイムスタンプの確認、ウイルススキャン／EDR（Endpoint Detection and Response）での調査、必要ならバックアップからhostsを復元しつつ原因調査を行います。

FAQ

Q: hostsに他社ドメインのループバックがあると必ずマルウェア？
A: 多くの場合は疑わしいが、内部テストや特定のアプリの動作調整で意図的にそうすることもあります。事前に誰が変更したか分かる手順（申請履歴など）があるか確認してください。

Q: hostsに改ざんがなければボット感染はないか？
A: いいえ。hostsは一つのチェック項目です。プロセス一覧、スタートアップ項目、ネットワーク接続先、不審なサービスの有無なども合わせて確認してください。

Q: 初期状態のhostsにコメント行や重複があるが大丈夫？
A: コメント（#で始まる行）は普通です。重複して同じホスト名に異なるIPがある場合は優先順位や挙動が変わるので注意してください。

関連キーワード: hostsファイル、ループバック、127.0.0.1、localhost、FQDN、改ざん検知、DNS、ホスト名解決、ファイル監査

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！