プロジェクトマネージャ 2024年午前2 問25

問題文

公開された実証コード（PoC：Proof of Concept）を使って、インターネットからWebサーバを狙う攻撃がある。こういった攻撃に自社のWebサーバが侵害される被害を未然に防ぐ対策として、最も効果があるものはどれか。

🖊️ 解答を隠して解いてみる

ア：JIS Q 27001:2023で規定される“人的管理策”にのっとり、自社のWebサーバについての秘密情報を持ち出すおそれがない人物か、職員採用時に厳格な適格性検査を行う。

イ：SNSサイトやダークウェブを巡回し、自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。

ウ：自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し、ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。（正解）

エ：ファイアウォールを用いて外部との通信を記録し、自社のWebサーバから不審な宛先への通信が発生していないか調査する。

🔒 解説は解答すると表示されます

公開された実証コード（PoC）は、ソフトウェアの脆弱性を実際に悪用する方法を示すコードです。PoCが公開されると、攻撃者がそれを利用して脆弱なWebサーバを攻撃するおそれがあります。

そのため、まず自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し、該当する脆弱性があれば、ワークアラウンドの実施や修正プログラムの適用によって悪用されにくくすることが重要です。この対策を示しているウが最も効果的です。

ア：採用時の適格性検査は、内部関係者による情報持ち出しなどへの対策です。公開されたPoCを用いた、外部からの脆弱性攻撃を防ぐ直接的な対策ではありません。
イ：秘密情報が売買されていないかの調査は、情報漏えいの発見に役立つ場合があります。しかし、Webサーバの脆弱性を修正する対策ではなく、PoCを使った攻撃そのものの防止にはつながりません。
ウ：脆弱性情報を確認し、回避策や修正プログラムを適用します。攻撃者がPoCで悪用する脆弱性を解消・緩和するため、最も効果的です。
エ：外部との通信記録を調査する方法は、不審な通信の検知や侵害後の調査に役立ちます。ただし、脆弱性を修正する対策ではなく、攻撃の侵入を未然に防ぐ効果は限定的です。

PoCは無害な検証コードだから対策は不要
PoCは脆弱性の確認や検証に使われますが、攻撃者が悪用する可能性もあります。公開後は攻撃に利用されるリスクを考慮する必要があります。
ファイアウォールがあれば脆弱性対策は不要
ファイアウォールは通信を制御する仕組みですが、許可された通信を通じて脆弱性が悪用される場合もあります。脆弱性の修正や回避策も必要です。
ログの監視は侵入防止と同じ
ログ監視は攻撃や侵害の兆候を見つけるのに役立ちますが、脆弱性そのものをなくす対策とは異なります。

修正プログラムをすぐに適用できない場合は、ベンダーが示すワークアラウンドを実施して、脆弱性の悪用を一時的に回避します。その後、影響範囲や動作確認などを考慮したうえで、修正プログラムを適用します。

脆弱性情報を継続的に収集し、使用中のソフトウェアに該当するものがないか確認することも重要です。これは、脆弱性管理やパッチ管理の基本です。

Q. PoCとマルウェアは同じものですか？
A. 同じではありません。PoCは脆弱性が存在することや、その悪用方法を示すコードです。ただし、攻撃に転用される可能性があります。

Q. ワークアラウンドとは何ですか？
A. 脆弱性の修正プログラムを適用するまでの間、設定変更や機能の停止などによって、脆弱性が悪用されるリスクを抑える暫定的な回避策です。

Q. ログ監視は不要ですか？
A. 不要ではありません。ログ監視は攻撃の検知や侵害後の調査に有効です。ただし、脆弱性の修正や回避策と組み合わせて行う必要があります。

関連キーワード: PoC、脆弱性、修正プログラム、ワークアラウンド、パッチ管理、脆弱性管理

\ せっかくなら /

プロジェクトマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！