情報処理安全確保支援士 2009年 秋期 午後2 問02

解答の論理構成

1. FWxは “SネットワークとTネットワークを、FWxを介して接続する” ように配置されます。よってFWxを通過するのは開発LAN（T）側と工場LAN（S）側の通信です。
   引用：
   • 「C君は、Sネットワークのプライベートアドレスの振り直しを行うとともに、現在使用中のFWをFWxに置き換え、SネットワークとTネットワークを、FWxを介して接続することにした。」
2. 開発LANに接続される端末のうち、音声系は次の記述で特定できます。
   引用：
   • 「設計エリアのIP電話とGPCは、開発LANに接続することにし」
   この結果、開発LAN側でFWxを通過する“IP電話”は設計エリアに置かれたものだけです。
3. 工場LAN側で、音声制御の中心機器は次の記述で示されています。
   引用：
   • 「B社の提案したSIPサーバは、音声通信用のサーバであり、IP電話のアドレス情報の管理、呼制御及び構内電話交換を行う」
     図3でも “SIPサーバ” が工場LANに設置されているため、FWxを挟んで開発LANのIP電話とやり取りを行う相手はSIPサーバで確定します。
4. 以上を踏まえ、表3の通信方向を読むと
   • (4)(5)：RTPで双方向通信 → 「本社LAN、工場LAN、拠点LANのIP電話」と「開発LAN側のIP電話」を相互に許可
   • (6)(7)：SIPで制御通信 → 「SIPサーバ」と「開発LAN側のIP電話」を相互に許可
     となるため、 a＝開発LANのIP電話（≒設計エリアのIP電話）
     b＝SIPサーバ
     が妥当です。

誤りやすいポイント

• 工場LANにもIP電話があるため “a＝工場LANのIP電話” と勘違いしやすいですが、工場LANと本社LANのIP電話間はFWxを経由せず直接通信します。
• “SIPサーバは図中で工場LANに置かれている” ことを見落とし、b に “PBX” などを入れてしまうミスが散見されます。
• RTPとSIPの役割を混同し、(4)(5) と (6)(7) のどちらが制御系／音声系か逆に読むケースがあります。

FAQ

解答の導き方

1. RTPの性質を確認します。本文には「RTPは、UDPポート番号の使用範囲が広く、かつ、使用するポート番号を動的に割り当てます。」とあり、RTPは多数のUDPエフェメラルポートを動的に使用するため、単純に固定ポートだけを許可する方式では扱いにくいことが分かります。
2. 既存のFW（SIP非対応）の問題点を確認します。本文で「SIP対応機能をもたないFWは、音声パケットの通信に利用されるポートを動的に開閉することができない」と説明されているため、従来型のFWはRTP用に広いUDPポート範囲を許可しがちであり、その結果、不正なUDPパケット（DoS送信）を遮断しにくくなります。
3. FWxの機能を確認します。本文で「FWxでは、通話時に割り当てられたポート番号によるIP電話間のアクセスだけを許可し、それ以外のアクセスを遮断することができます。」とあるように、FWxはSIPのシグナリングで確立された通話に対してのみ該当するRTPポートを動的に許可します。
4. 以上を合わせると、FWxは正当な通話に紐づかないRTP/UDPパケットをネットワーク境界で弾ける可能性が高くなります。つまり、無差別に送られるDoS用のパケットの多くを遮断しやすくなるという効果が期待できます。
5. ただし注意点として、FWxの動的ポート制御は「攻撃面の縮小」に寄与するものであり、回線を飽和させるボリューム型（帯域枯渇）DDoSや、FWのステート表を枯渇させるステート枯渇攻撃、あるいは偽のSIPセッションを作成して許可を得る攻撃には単独では十分ではありません。これらにはレート制御、上流でのフィルタリング、SIP認証やセッション上限設定などの追加対策が必要です。

誤りやすいポイント

• FWxがあればあらゆるDoS攻撃を完全に防げると誤解すること。ボリューム型やステート枯渇型には別途対策が必要です。
• RTPのポート範囲を単に閉じれば済むと考えること。合法的な通話のための動的許可が必要になります。
• SIP対応FWがSIPサーバ自体の認証や上流回線の帯域飽和まで解決すると期待すること。
• 偽のSIPセッションでポートを開かれてしまうリスクを見落とすこと（SIP認証や整合性確認が重要です）。
• FWのステート保持や監視負荷増大を考慮しない設計をすること。

FAQ

解答の導き方

誤りやすいポイント

• 工場LAN全体を単一のセキュリティ区画とみなす誤り。表1ではサーバエリア・設計エリアは極秘区画、執務エリアは機密区画、作業エリアは一般区画と定義されており、LANが複数区画に跨る点を見落とすと誤判断する。
• 利便性だけで(p)＝開発LANに置く判断をする誤り。開発LANには「開発サーバに保存されるCADデータは極秘情報に該当する」と明示されており、営業側の参照要求で接続してはならない。
• (q)＝製造LANは従来は同一規格品用だったという過去を根拠に安全と誤認する誤り。本文に「製造サーバにも極秘情報が保存されてきており」とあり、既に極秘情報が混在している。
• サーバエリア＝極秘区画だから必ず不可とする誤り。サーバエリアに設置する場合でも、保存する情報の秘匿レベルとFW／認証による隔離がポイントであり、情報共有サーバは非極秘の共有データを置いてアクセス制御するのが適切な場合がある。

FAQ

解答の論理構成

1. 【問題文】では、情報共有の運用として
   「設計担当者が、営業担当者との設計変更の打合せの際に、極秘情報を削除した共有データを作成して情報共有サーバに保存」と規定しています。
   したがって、保存前に“極秘情報が残っていないか”を点検するしくみが必須です。
2. 極秘情報の混入はヒューマンエラーで発生するため、①チェック担当の複線化（作成者≠確認者）や②責任者承認といったプロセス統制が有効です。
3. さらに、保存後に不正アップロードや誤登録が行われる可能性があります。これを抑止・早期発見するためには、定期的な検査やスキャンを行い「情報共有サーバ」に極秘データがないことを確認するモニタリングが必要です。
4. よって、 　保存前対策：人による内容確認・承認フロー
   　保存後対策：定期的なサーバ内の極秘情報検査
   　の組合せが最も直接的で実効性の高い解答となります。

誤りやすいポイント

• 「自動暗号化」「アクセス権設定」といった一般的セキュリティ対策だけを挙げ、極秘情報“残存”防止という設問の焦点から外れてしまう。
• 保存前と保存後を混同し、双方で同じ内容を繰り返す。
• 技術的手段のみを強調し、ヒューマンプロセス（承認・点検）を軽視する。

FAQ

解答の論理構成

1. 対策の対象を確認
   • 本文で下線が施された「②製造LANのネットワークケーブルを電線管で保護」では、サーバエリアから作業エリアまでのケーブルを物理的に覆うことが示されています。
2. ケーブルが敷設される環境の特性
   • 製造LANは「製造LANの一部は、作業エリア内にも敷設されている」とあり、外部業者も出入りする「作業エリア」に露出しています。
3. ケーブルを流れる情報の重要性
   • 製造サーバには「製造データには極秘情報に該当する独自のノウハウが含まれるようになってきている」と明記されており、通信内容は高機密です。
4. 想定されるリスク
   • 作業エリアでケーブルが露出していれば、ノートPCやスニファ装置を密かに接続して「ネットワーク上を流れる特注品に関する極秘情報の盗聴」が可能です。
   • さらに、無許可端末の差し込みによる「ネットワークケーブルへのPCの不正接続」によって、マルウェア拡散や設定変更などの被害も発生し得ます。
5. 電線管での保護の効果
   • ケーブルを物理的に密閉すれば、コネクタや芯線へアクセスできず、上記二つのリスクを低減できます。

誤りやすいポイント

• 「破損防止」が目的と思い込み、情報漏えいの観点を忘れる。
• 盗聴＝無線だけと誤解し、有線でもパケットキャプチャが可能なことを失念する。
• 不正接続を“LANポートの無効化”と論じ、ケーブル自体へのタップ行為を想定しない。

FAQ

解答の論理構成

1. 製造サーバの機密度
   • 問題文には「製造サーバにも極秘情報が保存されてきており」とあり、製造サーバを含む「製造LAN」は極秘区画に相当する扱いになりました。
2. A社ポリシが要求する接続条件
   • 情報セキュリティポリシは「極秘情報を保存するサーバが接続されたLANを、機密区画又は一般区画のLANと接続する場合には、ファイアウォール…によるアクセス制御を行う」と規定し、さらに「機密区画のPCから極秘情報を保存するサーバへのアクセスは、原則禁止…許可する場合には、適切なアクセス制御を行う」と定めています。
3. SPCが属する区画
   • SPCは「製造LANには、製造サーバ、執務エリアのPC（以下、SPCという）が接続されている」と記載され、執務エリアは表1で「機密区画」に分類されています。
4. 製造LANへ直接接続する問題点
   • SPCを製造LANに置いたままでは、機密区画のPCが同一LAN内で極秘情報に直接アクセスする構造となり、上記ポリシで義務付けられたFW（またはFWx）による制御が働きません。
5. 工場LANへ移す意義
   • SPCを「Sネットワーク」の「工場LAN」に接続すれば、SPC⇔製造サーバ間にFWxが介在し、ポリシが要求するアクセス制御を満たせます。
6. 結論
   • 以上より、C君は「機密区画にあるSPCが極秘情報へアクセスする際にはFWxで制御しなければならない」ため、SPCを工場LAN側に配置する判断に至りました。

誤りやすいポイント

• 執務エリア＝機密区画であることを見落とし、SPCをそのまま製造LANに残してもよいと考えてしまう。
• ポリシ引用の「接続」は物理接続だけと誤解し、同一LAN内なら問題ないと判断してしまう。
• SPCが取り扱うデータを「製造データ＝機密情報」とだけ捉え、製造サーバへの極秘情報格納を読み落とす。

FAQ

解答の論理構成

1. 問題文の確認
   – 認証方式として「利用者IDとパスワードを用いるPEAP方式」を採用したと記載されています（原文引用：
   「認証方式については、利用者IDとパスワードを用いるPEAP方式…③PEAP方式を採用することにした。」）。
2. PEAP方式の技術的ポイント
   – PEAPは “Protected Extensible Authentication Protocol” の略称で、IEEE 802.1Xで用いられる拡張認証方式の一つです。
   – 利用者IDとパスワードという秘匿すべき認証情報を暗号化トンネル内でやり取りすることで、盗聴リスクを低減します。
3. 暗号化トンネルを提供するプロトコル
   – PEAPはまずTLSハンドシェイク（旧称：SSL）を実行し、クライアントと認証サーバ間に安全なトンネルを確立します。
   – このトンネル内で実際のユーザ認証（EAP-MSCHAPv2など）が行われるため、外部からは平文の認証情報を取得できません。
4. 結論
   – よって、PEAP方式で認証情報を盗聴から保護している暗号プロトコルは「SSL 又は TLS」となります。

誤りやすいポイント

• 「PEAP ＝ パスワードだけで安全」と誤解し、トンネルを確立するプロトコルの存在を忘れる。
• SSL／TLSの違いを細かく区別し過ぎて迷う。設問は「SSL 又は TLS」と両方を許容している。
• EAP-TLSと混同し、「証明書を使わない＝暗号化しない」と誤認してしまう。PEAPでもTLSトンネルは必須である。

FAQ

解答の論理構成

1. 要件の確認
   本文では「業務上利用する必要のない従業者がNPCを執務エリアから作業エリアに不正に持ち出して工場LANに接続する場合を考慮し」と述べており、誰が無線LANに接続したのかを突き止める必要があります。
2. 候補方式の特徴
   ・「利用者IDとパスワードを用いるPEAP方式」
   ・「PCに組み込んだクライアント証明書を用いるEAP-TLS方式」
   という二つの方式が提示されています。前者は接続時に“利用者”を、後者は“PC”を認証対象とします。
3. 不正接続の検出に必要な観点
   NPCは「共用のPCであり、全員が同じアカウントでログイン」と記載されているため、PC単位の認証では持ち出した人物を特定できません。
4. 選定理由
   PEAP方式なら「利用者IDとパスワード」によって個人を特定でき、接続履歴と点検結果を照合する運用（本文下線④）とも合致します。
   よって「③PEAP方式を採用することにした」根拠は、利用者特定が可能だからです。

誤りやすいポイント

• 証明書を使うEAP-TLSの方が“強固”だから適切と短絡する。実際は認証対象がPCであることが要件と合わない。
• NPCが共用端末である点を見落とし、端末認証でもユーザ追跡できると誤解する。
• PEAP＝平文パスワード送信と誤認し、盗聴リスクを過大評価する（PEAPはTLSトンネル内で資格情報を送信）。

FAQ

解答の論理構成

1. NPCがどのように利用されているか
   • 【問題文】「NPCは共用のPCであり、全員が同じアカウントでログインして使っている。」
   • 【問題文】「…作業を行う都度、作業エリアに持ち出して使用し、使用後は執務エリアにおいて保管している。」
     共用端末かつ持出し可能という運用は、物理的所在や使用者が分からなくなるリスクを高めます。
2. 不正接続の脅威と管理強化の必要性
   • 【問題文】「NPCを用いた不正接続を検知するためには、日常の管理を強化する必要のあることが指摘された。」
     不正接続を“検知”するだけでなく、“未然防止”の観点で誰がいつ持ち出したかを把握できる仕組みが不可欠です。
3. 定期点検を有効にする前提条件
   定期点検では「点検時点とそれ以前の利用実態」を突き合わせる必要があります。従って、
   • 持出し／返却時刻
   • 使用者（担当者名またはID）
     の記録が残っていなければ、点検結果と照合できません。
4. 以上より導かれる日常運用
   「NPCの持出しと返却の日時及び使用者に関する記録を残すこと」が最も効率的かつ必須の管理方法となります。

誤りやすいポイント

• 技術的ログ（無線LAN接続ログ）だけで十分と考え、物理的な貸出管理を忘れる。
• 「共用端末＝管理が難しいから仕方ない」と思い込み、個人単位の利用記録を諦める。
• 点検頻度や方法を答えてしまい、日常運用という問いの焦点を外す。

FAQ