ITサービスマネージャ 2021年 午後1 問02

解答の導き方

1. まず、今回のランサムウェアがいつ感染を始めたかを確認します。通告者は「9月14日（月）9:45頃」に不審メールの添付ファイルを開封していました。C社の報告では、その添付ファイルはランサムウェアであり、感染した機器からLAN上の他の機器へ攻撃して感染を広げるとのことです。したがって、感染の起点は火曜日の連絡時刻ではなく、月曜日の添付ファイル開封時点と考えます。
2. 次に、副サーバ群がその時点で業務LANにつながっていたかを確認します。問題文には、副サーバ群は「土曜日の日中を除いてLAN切替スイッチによって業務LANから切り離されており」とあります。土曜日の日中の接続は、月曜日に添付ファイルが開封されるより前です。つまり、感染が始まり、LANを通じて拡大する時点では、副サーバ群は業務LANから切り離されていました。
3. そのため、今回の感染機器から業務LANを経由して副サーバ群へ感染が広がる経路はありません。最新のOSパッチが適用されていることを理由から除く場合、副サーバ群を代替環境として使えるのは、今回のランサムウェアに感染していないためです。

誤りやすいポイント

• 火曜日の10:00はインシデントの連絡時刻であり、感染の起点ではありません。添付ファイルが開封された月曜日の9:45頃を基準に考えます。
• 「土曜日の日中を除いて」とあるため、土曜日に接続されることだけを見て感染の可能性があると判断しないようにします。土曜日の接続は、月曜日の感染発生より前です。
• 最新のOSパッチが適用済みという事実は、設問で理由から除くよう指定されています。ネットワークから切り離されていたことを理由にします。

FAQ

解答の導き方

1. 今回は、通常の災害時立上げとは異なり、ランサムウェアへの感染が疑われる状況です。C社の技術者は、感染した機器からLAN上の他の機器へ攻撃が広がると説明しています。そのため、生産システムの復旧にバックアップサーバを使う前に、バックアップサーバ自体が感染していないかを確認する必要があります。
2. 表3には、「バックアップサーバがマルウェアに感染すると、バックアップのデータが利用できなくなる」とあります。また、C社から最新のマルウェア定義が提供されるのは16:00です。したがって、[a]では、最新のマルウェア定義を使ってバックアップサーバの感染有無を確認します。
3. 次に、⑤では「バックアップサーバから生産DBのフルバックアップをDBサーバ（副）にコピーする」とあります。そのため、その前にバックアップサーバを利用可能なネットワークに接続する必要があります。今回の手順では、バックアップサーバを業務LANに接続する作業が[b]に入ります。
4. [a]の感染確認を[b]の接続より先に行うのは、感染したバックアップサーバを接続してマルウェアを拡散させる危険を避けるためです。また、④の「保守LANを業務LANに接続する」作業は、副サーバ群とバックアップサーバの間でデータをコピーできるようにするためのものであり、[b]のバックアップサーバを業務LANに接続する作業とは区別します。

誤りやすいポイント

• バックアップサーバからデータをコピーすることだけに注目し、感染有無の確認を省いてしまうことがあります。感染した機器を接続すると、マルウェアが広がるおそれがあります。
• 感染有無の確認に、最新のマルウェア定義を使う点を見落とさないようにします。
• [b]と④はどちらもLANへの接続に関する作業ですが、[b]はバックアップサーバを業務LANに接続し、④は保守LANを業務LANに接続する作業です。

FAQ

解答の導き方

誤りやすいポイント

• 訓練を実施することだけを書き、開封した社員の情報を記録・集計する点を示さないと、現状把握の方法として不十分です。
• 記録されるのは、メールを受信した社員やメールを読んだ社員ではなく、添付ファイルを開封した社員です。
• 開封した社員数だけでは割合になりません。訓練メールを送った対象者数と比較して、開封率を求める必要があります。

FAQ

解答の導き方

1. 表3の項番3では、セキュリティ管理課が「最新のOSパッチが適用されていないPCを把握していない」ことが問題になっています。求められているのは、PCごとのOSパッチの適用状況を確認するために使う情報です。
2. 表1には、構成管理システムの構成情報に「OSセキュリティパッチ（以下、OSパッチという）の適用状況」が含まれるとあります。つまり、PCに最新のOSパッチが適用されているかを確認できる情報は、構成管理システムに登録された構成情報です。
3. また、全てのPCにはエージェントプログラムが導入されており、業務LAN上のPCで構成情報の変化が検出されると、構成管理システムが情報を更新します。保守LAN上の機器についても、土曜日の日中に構成情報が更新されます。そのため、構成管理システムの構成情報を使えば、PCのOSパッチ適用状況を把握できます。

誤りやすいポイント

• OSパッチを配付する手順と、適用状況を把握する手段を混同しないようにします。設問が尋ねているのは、パッチの配付方法ではなく、適用状況を確認するために使う情報です。
• PCを再起動するとOSパッチが適用される仕組みだけでは、どのPCに適用済みかを一覧で把握できるとは限りません。適用状況が含まれる構成情報に着目します。
• 問題点が「把握していない」ことなので、対策も、適用状況を確認できる情報を使う形にします。

FAQ

解答の導き方

1. 表3の項番4では、「バックアップサーバがマルウェアに感染すると、バックアップのデータが利用できなくなる」とされています。つまり、バックアップを保存していても、その保存先がマルウェアに侵害されれば、復旧に使えなくなることが問題です。
2. 表1では、生産システムのフルバックアップやデータ更新ログをバックアップサーバにコピーしています。一方、図1ではバックアップサーバが業務LANに接続されています。今回のランサムウェアは、LANに接続された他の機器にも攻撃を行い、ファイルを暗号化するため、バックアップサーバ上のデータも被害を受ける可能性があります。
3. そのため、バックアップサーバとは別に、マルウェアからアクセスされにくいバックアップを確保する必要があります。外部記憶媒体に複写して業務LANからアクセスできない場所に保管すれば、ネットワーク経由の感染や暗号化の影響を受けにくくなります。また、週次バッチ処理や定期バッチ処理でライトワンス光ディスクに複写する方法なら、書き込んだデータを後から書き換えられない形で保護できます。

誤りやすいポイント

• バックアップサーバにバックアップを保存しているだけで安全だと考えないようにします。保存先もネットワーク経由で攻撃される可能性があります。
• バックアップの頻度を上げるだけでは、保存先が感染・暗号化される問題は解決しません。
• 対策の要点は、バックアップを別の場所に保管する、または書き換えできない媒体に保存することです。

FAQ