情報処理安全確保支援士試験 2010年 秋期 午後1 問04

模範解答

解説

解答の論理構成

1. [　a　] の根拠
   • 原文引用：「ホームページ制作部門のPC及び共用PCへの[　a　]の適用を徹底するために…検疫システムの導入を情報セキュリティ委員会に提案した」
   • 検疫システム導入の目的は OS やアプリケーションを最新状態に保つことです。一般にその対象は「セキュリティパッチ」です。したがって [　a　] ＝ セキュリティパッチ。
2. [　b　] の根拠
   • 原文引用：「アクセスが業務上必要でないと判断されるURLを登録する[　b　]リスト方式のURLフィルタが導入されている。」
   • “アクセスが業務上必要でないURL”を登録し遮断する方式は一般にブラックリスト方式と呼ばれます。よって [　b　] ＝ ブラック。
3. [　c　] の根拠
   • 原文引用：「利用者 PC 上のアプリケーションの [　c　] 性を突いて不正プログラムに利用者 PC が感染する。」
   • 不正プログラムはソフトウェアの欠陥を悪用します。それを指す語は「脆弱性」です。したがって [　c　] ＝ 脆弱。

誤りやすいポイント

• [　b　] を「ホワイト」と誤記
  登録した URL だけを許可する方式がホワイトリストであり、問題文は「業務上必要でない URL」を登録して遮断するのでブラックリストです。
• [　c　] を「欠陥」「弱点」などとする誤答
  セキュリティ専門用語としては「脆弱性」が適切です。
• [　a　] を「アップデート」や「更新プログラム」と広く捉えてしまう誤り
  セキュリティ目的が明示されているため正式語「セキュリティパッチ」を選択する必要があります。

FAQ

模範解答

解説

解答の論理構成

1. [　ア　]＝「(4)」
   • 施策(a)は「U社以外からのテストサーバへのFTPアクセス元IPアドレスを制限する。」です。
   • 図２のフェーズ(4)には「攻撃者は、送付されてきた FTP サーバの IP アドレスや FTP アカウントの ID とパスワードを使って、利用者が管理する Web サイトに侵入してページを改ざん」すると記載されています。
   • 攻撃者が“U社以外”のアドレスから侵入してくる行為を遮断するので、(4)が最も直接的に防止できます。
2. [　イ　]＝「(2)」
   • 施策(c)は「PCのOS及びアプリケーションの更新状況，並びにブラウザ及びウイルス対策ソフトの状況を集中管理する。」です。
   • 図２フェーズ(2)では「利用者 PC 上のアプリケーションの [　c　] 性を突いて不正プログラムに利用者 PC が感染する。」とあり、パッチ管理の徹底はこの“[　c　] 性”（脆弱性）を狙う感染を防ぎます。
3. [　ウ　]＝「(1)」
   • 施策(d)は「PCのブラウザでJavaScript機能を無効化する。」です。
   • 図２フェーズ(1)は「改ざんされた Web サイトにアクセスすると、トロイの木馬型の不正プログラムを送り込む Web サイト…に強制的にリダイレクト」と説明されています。
   • リダイレクトはページに埋め込まれた JavaScript で実装されることが多いため、JavaScript を無効化することで (1) を抑止できます。
4. [　エ　]＝「(3)」, [　オ　]＝「(4)」 （順不同）
   • 施策(e)は「テストサーバへのデータアップロードをFTP以外の方法に変更する。」です。
   • 図２フェーズ(3)は「FTP クライアントのパスワード保存機能から FTP アカウントの ID とパスワードを盗み出して、攻撃者のサーバに送付」、フェーズ(4)は前述の通り盗んだ資格情報で侵入します。
   • そもそも FTP を使わなければ資格情報は盗めず、(3)・(4)の両フェーズに有効です。問題指示により“効果の高いもの”として２つ記入するため、(3) と (4) を採用します。

誤りやすいポイント

• 「JavaScript無効化」をフェーズ(2)と誤認しやすい
  → (2)は“脆弱性”を突く実行ファイルのダウンロード後の話。リダイレクト自体を防ぐのは(1)。
• 施策(a)をフェーズ(3)と勘違いする
  → (3)で資格情報を盗むのは利用者PC内部。外部からのログインを防ぐのは(4)。
• 施策(e)で(1)を選んでしまう
  → FTPを廃止しても改ざんサイトへのアクセスやリダイレクトは止まらない。

FAQ

模範解答

解説

解答の論理構成

1. 制限対象は「FTP専用PC以外の社内からのFTPアクセス」です。固定 IP アドレス運用なので、送信元 IP による制御が可能です。
2. 【問題文】には「U社では，ホームページ制作部門からインターネットに向けたFTPアクセスは，プロキシサーバ経由だけに限定している。」とあります。つまり社外向け FTP は既に「プロキシサーバ」を経由しなければ通らないネットワーク設計になっています。
3. したがって、FTP 専用 PC だけを許可し、その他の IP からの FTP を遮断する最適なポイントは経路上で唯一必ず通過する「プロキシサーバ」となります。
4. 以上より、図1 から選ぶべきサーバ名は「プロキシサーバ」です。

誤りやすいポイント

• 「FW2」「FW3」でフィルタリングすべきと考えてしまう
  → これらは TCP/21 を止めることは可能ですが、別業務でも FTP が流れる恐れがあり、特定部門内の PC を区別しにくい。
• 「テストサーバ」側で制限すると誤解する
  → 要件は“社内から外向き”の FTP 制御であり、テストサーバは受信側。制御ポイントが逆です。
• プロキシサーバを HTTP 用と決めつける
  → 本文で FTP もプロキシ経由にしている点を見落としがち。

FAQ

模範解答

解説

解答の論理構成

1. 目的の確認
   本文には「①T主任は，ホームページ制作部門の共用 PC の不正プログラム感染によって被害を与えた顧客の範囲を調査した」とあります。したがって「だれのサーバが被害を受けたか」を特定するための調査が必要です。
2. 感染源からの流れの把握
   図2(3)では「FTP クライアントのパスワード保存機能から FTP アカウントの ID とパスワードを盗み出して…」と説明されており、共用PCが感染するとテストサーバ／本番サーバへ不正ログインが行われる可能性が示唆されています。
3. 具体的調査①―共用PC発のアクセス確認
   改ざんの第一段階は「不正に取得した ID とパスワードで FTP 接続し、ページを書き換える」ことです。共用PCが感染した日時以降に「共用PC ➔ テストサーバ／本番サーバ」への FTP 接続が存在するかをログで追跡すれば、被害サーバの洗い出しができます。
4. 具体的調査②―サーバ側改ざん有無の確認
   ログだけでなく実際に「ページが改ざんされたか」を確認しなければ被害範囲は確定しません。そこで各顧客の本番サーバ・テストサーバに対し、ファイルのハッシュ確認や改ざんコード（本文で見つかった「見覚えのない JavaScript コード」）の有無を点検します。
5. 解答導出
   上記より、①「共用PCから FTP アクセスしたサーバを特定」②「特定サーバの改ざん有無を点検」の二本立てが解答となります。

誤りやすいポイント

• 「感染 PC のウイルス除去作業」を調査内容に含めてしまう。これは範囲外です。
• 被害サーバを「テストサーバだけ」と決め付け、本番サーバの確認を忘れる。
• FTPログ以外（HTTPアクセスログなど）を優先してしまい、本質的な侵入経路を押さえられない。

FAQ

模範解答

解説

解答の論理構成

• 【問題文】では、W社が「アクセスが業務上必要でないと判断されるURLを登録する[　b　]リスト方式のURLフィルタ」を導入しているとあります。
  ここで登録されるのは “不要な URL” であり、業務で利用する Web サイトは登録されません。
  ⇒ “[　b　]リスト方式” はいわゆるブラックリスト方式で、登録外のサイトは原則アクセスを許可します。
• 図2(1) では、改ざんされた Web サイトにアクセスすると「不正プログラム送り込みサイト」にリダイレクトされると説明されています。
  攻撃者は実在の人気サイトや業務関連サイトを乗っ取り、そこを「不正プログラム送り込みサイト」に仕立てることが可能です。
  ⇒ 業務で必要なサイトが乗っ取られていても、ブラックリストには載っていないため遮断されません。
• したがって、「不正プログラム送り込みサイト」が業務で利用する Web サイトの場合、URLフィルタのチェックをすり抜け、テストサーバ改ざんの兆候を見逃してしまうことになります。

誤りやすいポイント

• “ホワイトリスト方式”と誤解して、フィルタが厳格にブロックすると考えてしまう。実際はブラックリスト方式で許可範囲が広い点に注意。
• 改ざんされたサイト＝怪しい URL と短絡的に決め付け、「業務サイトが乗っ取られる」可能性を見落としやすい。
• 回答文に図2の字句「不正プログラム送り込みサイト」を入れ忘れると減点対象。

FAQ