ITサービスマネージャ 2012年 午後1 問04

解答の導き方

1. 検査は「本番サービス中に行う」ため、通常の利用者がいる状態でシステムに検査通信が届きます。さらに、検査によってシステムへの負荷が増えることも本文に示されています。
2. 一方、サーバの監視は監視サービス会社に委託されています。レスポンスの低下などを検知すると同社に自動通知され、同社が初動対応を行います。そのため、検査中の負荷によるレスポンス低下が、障害や異常として扱われる可能性があります。
3. そこで、監視サービス会社が検査を予定された作業だと把握し、通知を受けた際に適切に判断できるよう、事前に検査の計画を伝えます。社内関連部門への通知だけでは、監視を担当する会社に情報が届くとは限らないため、監視サービス会社にも知らせる必要があります。

誤りやすいポイント

• 検査日程や影響を社内関連部門に通知する計画があっても、監視を委託している会社への連絡は別に必要です。
• 検査の負荷で監視通知が発生する可能性を見落とし、検査対象サーバの設定変更だけを対策として挙げないようにします。
• 検査を本番サービス中に行うため、検査を始める前に監視担当者が予定を把握できるようにすることがポイントです。

FAQ

解答の導き方

1. 脆弱性検査は「本番サービス中に行う」計画です。そのため、検査によるアクセスと、顧客や営業部員による通常のアクセスが、同じ時間帯に各サーバのログへ記録されます。
2. 本文には「Webサーバ、DBサーバ及びメールサーバでは、ログを取得している」とあります。また、D氏はログを点検して不正アクセスの有無を確認しています。検査に伴うアクセスを特定できないと、ログの分析で通常運用のアクセスと混同するおそれがあります。
3. 社外からの検査は、R社の検査端末からインターネット経由で行われます。C社側から見たアクセス元を特定するには、検査端末のグローバルIPアドレスが手掛かりになります。したがって、D氏がそのアドレスを確認したのは、各サーバのログで検査に伴う記録を通常運用の記録と区別するためです。

誤りやすいポイント

• グローバルIPアドレスの確認目的を、検査端末をインターネットに接続するためと考えないようにします。問われているのは、検査後のログ分析でそのアドレスをどう役立てるかです。
• 検査を行うサーバの特定だけでは不十分です。検査元のアドレスをログと照合することで、検査による記録を見分けられます。
• 検査時間を把握するだけで済むとは限りません。本番サービス中は通常のアクセスも並行するため、アクセス元の情報が識別に役立ちます。

FAQ

解答の導き方

誤りやすいポイント

• 脆弱性を発見した後のログ確認なので、「対策が正しく実施されたかを確認するため」と考えてしまうことがあります。この設問では、過去のログから既に不正アクセスがあったかを調べる点が重要です。
• 「不正アクセスの有無を確認するため」だけでは、確認結果を何に利用するのかが不足します。対策の内容と緊急度を決めることまで結び付けます。
• 脆弱性の緊急度が「高」であっても、実際に悪用されたかどうかは別の確認事項です。検査結果と過去のログの両方を踏まえて対応を判断します。

FAQ

解答の導き方

誤りやすいポイント

• パスワードをより複雑にすることだけを答えると、認証失敗を繰り返す攻撃への対策が示せません。
• 「ログインを停止する」だけでは、どの単位で停止するのかが不明確です。対象となる利用者IDをロックする点が重要です。
• 1回の認証失敗でロックするのではなく、連続した失敗を条件とする機能です。

FAQ

解答の導き方

誤りやすいポイント

• 表1で発見されたサービスをすべて不許可にするのではなく、検査元や経由を確認し、〔FWのアクセス制御要件〕に反する通信を特定します。
• 社内LANからは全サービスへのアクセスが許可されています。社内LAN経由で発見されたサービスを、インターネット経由の通信と混同しないようにします。
• メールサーバへのDNSとSMTPは、インターネットから許可されているサービスです。発見されているからといって遮断対象にはなりません。
• HTTPとHTTPSはインターネットからWebサーバへの許可対象です。遮断するのは、それ以外のサービスであるTELNETです。

FAQ

解答の導き方

1. まず、システム管理者が特権IDを使ったときの確認方法を見ます。本文では、特権IDの操作内容を記載したメールがシステム管理者に通知され、システム管理者がログを参照して操作に問題がないか確認するとあります。
2. ところが、システム管理者自身が特権IDを使った場合、作業を実施する人と、その作業を確認する人が同じになってしまいます。自分の操作を自分で確認するだけでは、誤りや不正を見落とすおそれがあり、内部統制上の問題になります。
3. そこで、作業者とは別の人が確認する仕組みにします。本文には、システム管理者以外の情報システム部員が特権IDを使う場合、システム管理者が申請内容を確認して特権IDを付与するとあります。同じ考え方で、システム管理者が作業した場合は、システム管理者以外の情報システム部員が作業内容を確認します。
4. J部長への申請は作業前の承認に当たりますが、それだけでは作業後の確認を別の人が行うことにはなりません。作業者と確認者を分けることが、指摘への改善策です。

誤りやすいポイント

• J部長への事前申請があるため、内部統制上の問題はないと考えてしまうことです。事前承認と、作業後に別の人が確認することは別の統制です。
• システム管理者が自分の作業をログで確認すれば十分だと考えることです。今回の問題は、作業者と確認者が同じになる点にあります。
• 特権IDの利用を制限することだけを改善策にすることです。問われているのは、システム管理者が特権IDを使う場合の作業内容の確認方法です。

FAQ

解答の導き方

1. 設問は、D氏がNTPサーバの導入を提案した理由を尋ねています。したがって、NTPサーバが何を改善するのかを、ログ分析の問題と結び付けて考えます。
2. 本文には、サーバの時刻を月1回確認し、FWの時刻と異なれば手動で補正しているものの、「時刻が大きくずれていることも多い」とあります。サーバごとに時刻が異なると、各サーバのログに記録された時刻も一致しません。
3. 監査では、販売管理システムのログを分析して、特権IDを使用した操作が正当だったかを確認します。複数のサーバのログを照らし合わせるとき、時刻にずれがあると、操作の順序や関連する記録を正しく把握しにくくなります。これは、本文で指摘された「ログの分析に支障を来すおそれ」につながります。
4. NTPサーバを導入して各サーバなどの時刻を同期すれば、ログに記録される時刻のずれを抑え、複数のログを時系列で分析しやすくできます。したがって、時刻の不一致がログ分析を妨げることを、提案理由として述べます。

誤りやすいポイント

• NTPサーバの導入理由を、サーバの稼働監視や障害検知のためと取り違えないようにします。問われているのは、監査におけるログ分析への影響です。
• 「時刻を正確にする」だけで終わらせず、時刻の不一致がログ分析に支障を与える関係まで説明します。
• 時刻を定期保守時に手動で補正している点だけに注目し、複数のログを照合するときに時刻がそろっている必要があることを見落とさないようにします。

FAQ