ITサービスマネージャ 2016年 午後1 問03

　M社は、中堅の通信販売会社である。M社では、数年前からインターネット経由で注文を受け付ける販売サービスを開始した。サービス提供時間は24時間365日である。最近では、インターネット経由の注文が増えており、更なる売上拡大のために販売サービスの充実が課題となっている。また、受注した商品を顧客に配送する業務を支援する配送管理サービスがM社の社員向けに提供されている。サービス提供時間は毎日6時から23時までである。 　 〔システムの概要〕 　システム部では、販売サービスを提供する販売システム、及び配送管理サービスを提供する配送管理システムを開発し、運用している。システムの開発は開発チームが担当し、運用は運用チームが担当している。 　① 販売システムは、外部の顧客が利用するM社の重要システムであり、5台のWebサーバで冗長システムを構成している。M社では、Web管理端末からWebサーバにコンテンツを登録している。また、外部の顧客との連絡手段として電子メールを使っていることから、社員間でも利用するメールサーバを販売システムのコンポーネントとして管理している。 　② 販売システム及び配送管理システムは、運用チームが監視システムを利用して常時監視し、インシデントが発生した場合は1次対応を行っている。インシデントはインシデント管理システムで管理している。 　③ 監視システムに表示されるメッセージ（以下、表示メッセージという）は、M社の統一基準に従って分類されている。表示メッセージの種類を表1に示す。

〔システム部のインシデント管理〕 　システム部では、表示メッセージの種類が“警告”又は“異常”の場合、インシデントとして扱い、インシデント管理システムに記録する。また、サービスを早期に回復させるために、既知の誤りのデータベース（以下、KEDBという）を利用している。KEDBには、過去のインシデントの発生原因と、サービスの回復方法又はサービスへの影響を低減する有効な回避策が登録されている。運用チームはインシデントの対応手順の中で、KEDBを参照する。 　運用チームが実施するインシデントの対応手順を表2に示す。

　発生したインシデントが情報セキュリティインシデントに該当するおそれがある場合、運用チームの担当者は、システム部の情報セキュリティ担当要員に連絡して、指示に従って対応する。情報セキュリティ担当要員は、インシデントが情報セキュリティインシデントに該当するかどうかを判断する。該当する場合は、M社の情報セキュリティ管理プロセスの規程に従って対応を指示し、自ら迅速に対応策を実施して被害を最小限に抑える。 　 〔販売サービスのインシデント〕 　ある日、販売システムの5台のWebサーバのうち、1台のCPU使用率がしきい値を超え、監視システムで“警告”のメッセージが表示された。監視していた運用チームのY氏は、インシデントの対応手順に従って対応した。対応状況は次のとおりである。 　① インシデントをインシデント管理システムに記録した。 　② 表3及び表5を参照し、優先度を“中”と割り当て、目標復旧時間を2時間に設定した。その後、分類したカテゴリの内容で記録の更新を行った。 　③ インシデントの解決を図るために、解決策を立案し実施することにした。そこで、必要な回復処理を行うためにKEDBを参照したところ、特定の条件の下で販売システムのバッチ処理プログラムの負荷が高くなって、CPU使用率が上昇した事例を見つけた。回避策として、バッチ処理プログラムを強制終了させる方法、又はWebサーバの再起動を行う方法が記載されていた。そこで、Webサーバを確認したが、バッチ処理プログラムは稼働していなかった。 　④ CPU使用率のしきい値超過は、販売システムのWebサーバ1台だけで発生しており、他の4台のWebサーバでは発生していない。Y氏は、サービス継続の観点から、利用者への影響は小さいと判断し、インシデントの原因を調査することにした。Y氏は、CPU使用率のしきい値超過が発生しているWebサーバを調査し、CPU使用率が高いプログラムを特定した。 　⑤ CMDBに登録されている販売システムのプログラム一覧を確認したところ、特定したプログラムはCMDBには登録されていなかった。そこで、Y氏は開発チームのZ氏に調査を依頼した。 　Z氏は、稼働環境で販売サービスを利用したところ、応答遅延が発生する場合があることを確認した。次に、Z氏は、CMDBを確認し、当該プログラムはCMDBに登録されておらず、M社が開発したプログラムではないことが分かった。更に調査したところ、不正プログラムであることが判明した。Z氏はY氏に調査結果を回答し、強制終了する手順を伝えた。Y氏はZ氏の指示に従って、不正プログラムを強制終了した。その結果、WebサーバのCPU使用率の低下を確認できたことから、Y氏はインシデントが解決したと判断した。 　なお、Z氏は、CMDBに登録されていないプログラムが稼働していた場合に強制終了する手順を回避策として整備し、後日KEDBに登録することにした。 　 〔標的型攻撃メールの検出〕 　Z氏は、インシデントの根本原因を特定するために調査し、次の事実が判明した。 　① Web管理端末にも不正プログラムがあった。 　② 不正プログラムは、販売システムの5台のWebサーバのうち、1台のWebサーバだけに存在していた。 　③ メールサーバのログには、不審なファイルが添付されたWeb管理者宛ての電子メールの受信記録があった。また、同じファイルが添付された電子メールが社内の他部署の社員にも送信されている記録があった。 　そこで、Z氏は、“外部から送付された標的型攻撃メールに添付されたファイルをWeb管理端末で開封した。その際、不正プログラムが起動され、Web管理端末と、メンテナンス作業のために接続していた該当の1台のWebサーバに不正プログラムがコピーされ、動作するよう設定された。”と推定した。Z氏は、今回のインシデントが情報セキュリティインシデントに該当するおそれがあるとして、情報セキュリティ担当要員のK氏に連絡した。K氏は、情報セキュリティインシデントに該当すると判断し、Z氏に、1台のWebサーバとWeb管理端末をLANから切り離すように指示した。そこで、Z氏はY氏に、該当機器をLANから切り離すよう依頼した。 　次に、K氏は、類似の標的型攻撃メールが送付された宛先を、aから調査し、標的型攻撃メールが届いた全ての社員に対して、次の内容を直ちに指示した。 　・社員が添付ファイルを開封していた場合、開封操作を行った機器をLANから切り離す。その後、指示に従って不正プログラムの確認をすること。 　・社員が添付ファイルを開封していない場合、bをすること。 　そして、K氏は、社内に今回の標的型攻撃メールに対する注意喚起を行った。 　 〔標的型攻撃メールの対策〕 　システム部の部長は、K氏から、“今回の標的型攻撃メールには、情報窃取を目的として、マルウェアを仕掛けたファイルが添付されていた。幸い外部への情報漏えいは確認されなかった。また、社内への注意喚起も完了した。”という報告を受けた。 　システム部では、標的型攻撃メールへの対策として、マルウェアが仕掛けられた標的型攻撃メールを検出した場合、電子メールから添付ファイルを削除したり、不正な通信を検出したりすることができるシステム（以下、防御システムという）を検討し、導入することにした。システム部は、防御システムを販売システムのコンポーネントとして管理する。また、システム部は、標的型攻撃メールを検出した場合の対応として、次のとおり決定した。 　① 検出された電子メールの添付ファイルは、調査用に防御システムのストレージに保存される。情報セキュリティ担当要員は、保存されたファイルの内容を定期的に調査し、対策が必要と判断した場合は、適切な対策を立案し実施する。 　② 防御システムで、特定の基準以上の危険性がある不正な通信を検出した場合は監視システムに通知する。（ア）通知された監視システムでは、“警告”のメッセージを表示する。 　③ 運用チームは、インシデントを記録し、管理する。 　 〔配送管理サービスの変更〕 　M社では、顧客へのサービス充実を目的に、インターネット経由の注文について、配送時間を短縮することを決定した。そのためには、M社の物流拠点間で深夜に商品を配送する必要がある。営業部とシステム部は、配送管理サービスのサービス要求事項について、次のとおり合意した。 　① 物流拠点からいつでも配送管理サービスを利用できるように、配送管理システムを24時間稼働に変更する。 　② システム障害による配送業務の停止は、サービスの低下につながるので、システム停止を伴うインシデントが発生した場合には、インシデントの対応手順に従って、30分以内に回復させる。 　システム部では、サービス要求事項を基に、サービス変更の活動を開始した。