ITパスポート 2022年 問100

無線LAN接続PCでマルウェア感染が疑われるときの初動対応【ITパスポート 解説】

正解の理由

解法ステップ

1. まずネットワークから切断する
   • 無線LANをオフにする、あるいはWi‑Fiの接続を切る（物理的にLANケーブルを抜ける場合は抜く）。これで他の機器への拡散や外部への通信を防ぎます。
   • 注意点：単にブラウザだけ閉じるのでは不十分です。端末自体の通信を止める必要があります。
2. 上長や情報システム部門に速やかに報告する
   • 社内の手順（インシデント対応フロー）があれば従います。報告により専門家が次の対応を取れます。
3. 証拠を保全する（可能であれば）
   • ログやスクリーンのスクリーンショットを残す。電源を抜く・再起動するかは組織の方針に従います（後述のFAQ参照）。
4. 専門チームによる診断・駆除を待つ
   • マルウェア対策ソフト（マルウェア対策ソフト：ウイルス対策ソフト）で検査・駆除を行う場合もありますが、まず隔離してから行います。定義ファイルの更新（イ）は有用ですが、更新作業でネットワークを使うため、先に隔離が必要です。
5. 必要なら端末の初期化（再セットアップ）やログの解析（フォレンジック）を行う
   • フォレンジック（フォレンジック：事件の原因や証拠を専門的に調べる手法）によって、感染経路や被害範囲を確認します。

選択肢別の誤答解説

• ア: Webブラウザを再インストールする。
  • ブラウザを入れ直しても、マルウェアがブラウザ外（システムの常駐プロセスや別のファイル）に存在すれば効果がありません。まず感染拡散を防ぐことが先です。
• イ: マルウェア対策ソフトのマルウェア定義ファイルを最新にする。
  • 定義ファイル更新はマルウェア検出に重要ですが、更新にはネットワーク接続が必要です。接続したままでは情報漏えいや拡散のリスクが残るため、最初に隔離するべきです。隔離後に、安全な媒体や隔離された環境で更新・検査を行います。
• エ: 無線通信の暗号化方式を変更する。
  • 暗号化方式（暗号化方式：通信内容を第三者に読まれないようにする方法）は無線LAN全体のセキュリティ改善にはつながりますが、当面の感染端末の被害拡大防止や駆除には無関係です。即時の初動対応として適切ではありません。

よくある誤解

1. 「すぐに電源を切れば良い」
   • 電源を切ると確かに拡散は止まりますが、ログなどの重要な証拠が消えることがあります。組織の指示に従うのが安全です。多くの場合はまずネットワークを切断して報告するのが基本です。
2. 「ウイルス対策ソフトがあれば何もしなくていい」
   • 寄せられるのは対策ソフトが万能という誤解です。定義が未対応の新種マルウェアや、対策ソフト自体が無効化されているケースもあります。隔離と専門家への報告が優先です。
3. 「暗号化を強くすれば感染を防げる」
   • 暗号化は盗聴や不正アクセスの防止に役立ちますが、すでに端末内に侵入したマルウェアの活動停止には直接役立ちません。

補足コラム

• 「隔離」と「検疫（クォランティン）」の違い：
  • 「隔離」はネットワークから切り離して他機器への拡散や外部通信を止めることです。
  • 「検疫（Quarantine）」はマルウェア対策ソフトが感染ファイルを安全な場所に移して実行を防ぐ処理を指します。両方とも重要ですが、初動ではまず物理的・論理的にネットワークを切る隔離が鍵です。
• なぜログや証拠を残すか：
  • 後から何が起きたかを調べるために、操作前の状態（スクリーン、エラーメッセージ、時刻など）を記録しておくと、再発防止や被害範囲特定に役立ちます。

FAQ