情報セキュリティマネジメント 2019年 春期 午前（科目A） 問30

ハニーポット【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「意図的に脆弱性を持たせる」とある点に注目する。→ 防御のための堅牢化ではなく、あえて攻撃を誘うことを示す。
2. 各選択肢の役割を短く確認する。
   • DMZ：外部と内部の中間ネットワーク（境界）であり、公開サービスを置く場所。
   • SIEM：Security Information and Event Management（ログを集め解析する仕組み）。
   • ハニーポット：攻撃を誘引して挙動を観察する偽システム。
   • ボットネット：感染端末の集合体で攻撃に使われるもの（攻撃者側の構成物）。
3. 「意図的に脆弱性を持たせて観察する」目的に合致するのはハニーポットであると判断する。

選択肢別の誤答解説

• ア：DMZ（Demilitarized Zone：外部と内部の間の中間ネットワーク）
  • 説明：外部公開のサーバ（例：Web公開サーバ）を置くための領域です。公開サービスを安全に管理するための配置場所で、意図的に脆弱にして「観察する」ためのものではありません。
• イ：SIEM（Security Information and Event Management：ログ収集・相関解析システム）
  • 説明：ログやイベントを集めて相関解析し、インシデント検知や調査を支援します。観察はしますが、脆弱性を持たせたシステムそのものではなく、ハニーポットなどからのログを取り込む側の仕組みです。
• ウ：ハニーポット（honeypot）
  • 説明：攻撃を引きつけ、手口やマルウェアを解析するための意図的に魅力的な偽システム。選択肢の状況にぴったり合致します。よって正解は ウ です。
• エ：ボットネット（botnet）
  • 説明：マルウェアに感染した多数の端末が外部の指令に従うネットワークであり、攻撃やスパム送信などに使われます。攻撃者側の資産であって、観察のために設置するものではありません。

よくある誤解

1. 「ハニーポットは単に偽のサーバを置くだけで安全」という誤解
   • 実際は適切な隔離（ネットワーク分離）、通信制御、監視が必要です。放置すると侵入者が足がかりにして他の環境へ被害を拡大する恐れがあります。
2. 「ハニーポットは攻撃を防ぐための防御装置だ」という誤解
   • ハニーポットの主目的は検知・調査であり、直接的に業務サービスを守るための防御（ファイアウォールやパッチ管理）とは役割が異なります。
3. 「ハニーポットは違法ではないか」という不安
   • 設置自体は通常問題ありませんが、収集したデータの扱いや攻撃者を追跡する行為には法的・倫理的配慮が必要です。実運用では法務や管理職と相談して運用ルールを決めます。

補足コラム

• ハニーポットの種類
  • 低相互型（low-interaction）：サービスを模擬（簡易シミュレーション）し、リソース負荷が小さい。自動スキャンやスクリプト系の攻撃観察に有効。運用が比較的安全。
  • 高相互型（high-interaction）：実際のOSやサービスを稼働させ、攻撃者の深い活動を観察できる。詳細な解析が可能だが、管理が難しくリスクも大きい。
• 運用時の実務ポイント（職場イメージ）
  • 配置：本番ネットワークとはVLANやファイアウォールで分離する。DMZとは別扱いにするのが一般的です。
  • ログ収集：ハニーポットのログはSIEMに送って相関分析することで、組織全体の検知力を高められます。
  • 外向き通信の制限：ハニーポットから外部へ不用意に接続できないようにして、マルウェアの拡散や外部C2（コマンド＆コントロール）接続を防ぎます。
  • サンプル管理：マルウェアや攻撃データを保存する際は、社内ルールで取り扱い方法（保存場所、アクセス権）を定めます。
• ハニーネット（honeynet）について
  • 複数のハニーポットをまとめてネットワーク化したもの。攻撃のネットワーク行動を観察する際に使います。

FAQ