情報処理安全確保支援士 2010年 春期 午後2 問02

解答の論理構成

• 【問題文】では「JIPDEC などの機関からaの付与を受けた企業では…事故報告書を提出する必要がある」と記述されています。JIPDEC が運営している認定制度は「プライバシーマーク制度」であり、個人情報保護に関する事故報告義務も同制度のガイドラインで定められています。
  ⇒ a ＝「プライバシーマーク」
• さらに「発生したインシデントの内容をb/CC（コーディネーションセンター）のような外部機関に報告する必要もありそうだ」とあります。日本国内で “/CC” の表記を持つ代表的な CSIRT は「JPCERT/CC（Japan Computer Emergency Response Team Coordination Center）」です。
  ⇒ b ＝「JPCERT」

誤りやすいポイント

• 「プライバシーマーク」を「個人情報保護マーク」などと誤記する。
• “/CC” を CERT/CC（米国）と混同し、「CERT」だけを解答してしまう。
• JIPDEC と JPCERT/CC を同一視してしまい、機関の役割を取り違える。

FAQ

解答の論理構成

• 【問題文】には、Sさんの発言として
  「“どれだけ予防策をとってもインシデントの発生をゼロにすることはできないので、インシデント対応の体制を事前に作っておくことが必要”」
  と示されています。
• さらに図3では、IRT の役割として
  「“(10) IRTは、インシデント対応に必要な証拠の収集と保全、分析を行う。”」
  と明記されています。
• 証拠（ログや機器のイメージ）は時間の経過とともに改ざん・消失するおそれがあります。
• 従って「体制を事前に作る」＝証拠収集・保全の担当者や手順をあらかじめ定めておくことは、インシデント発生直後に速やかに行動できる基盤になります。
• 速やかな行動は「原因究明」の核心である“正確な情報を確保する”ことに直結するため、設問のメリットは
  「原因究明に必要な情報の収集に迅速かつ組織的に着手できること」
  となります。

誤りやすいポイント

• 「被害拡大防止」や「顧客対応」のみをメリットとして書き、原因究明に触れない。
• 「迅速に連絡できる」とだけ書き、情報“収集”や“組織的”の視点を欠く。
• “体制”の効果を一般論で述べ、証拠の保全・解析との関連が薄い。

FAQ

解答の論理構成

1. 事業内容の確認
   • 【問題文】には「X社の主要な事業内容は、ソフトウェア製品の自社開発、Webアプリケーションの受託開発及びオープンソースソフトウェア（OSS）を利用したサーバとネットワークの構築サービス」と明記されています。
   • さらに「顧客に対しては、ハードウェア及びソフトウェアの保守サポートも有償で提供」とあるため、出荷後も製品に関与することが分かります。
2. 現行計画の対象範囲
   • 図3(3)ではIRTの対象を
     a) 自社の情報資産の紛失・改ざん・漏えい
     b) 業務系システムの異常
     c) 開発系システムの異常
     に限定しています。
   • これでは顧客環境で発生する製品関連の問題が抜け落ちています。
3. 追加すべきインシデントの導出
   • 「開発課」の役割に「ソフトウェア製品の保守サポート」とあることから、出荷後の不具合・脆弱性・障害対応はX社の責務です。
   • したがって「出荷後の自社開発ソフトウェア製品に関するインシデント」をIRT対象に追加するのが妥当です。
4. 結論
   • 上記理由により、模範解答と同様の内容が導かれます。

誤りやすいポイント

• 「受託開発した顧客システムの障害」と混同し、自社製品以外を挙げてしまう。IRTは顧客運用を行わないため誤答となります。
• 図3a)の「情報資産の紛失」に“製品ソースコードの流出”を含めたと勘違いし、追加不要と判断してしまう。図3はあくまで社内資産の扱いです。
• 保守サポート=技術部門だけで完結と考え、IRT関与が不要と誤解する。インシデント対応は全社的に行う必要があります。

FAQ

解答の論理構成

1. 文章の起点
   本文では、ログが機器ごとにばらばらで「このままでは、インシデントの原因究明に必要な情報を安全に確保及び保全することが困難」と明記されています。
2. ポリシ策定の目的
   そこで下線③として「ログ管理のポリシを策定」と掲げ、統一的な管理基準を整える必要性を示しています。
3. ポリシに必須の項目
   ログを有効活用するには
   ・何を（ログの種類）
   ・どのように（保管方法）
   ・どれだけ（保管期間）
   を明確にすることが不可欠です。これらが欠けると「取得しているログの管理が機器ごとにそれぞれ異なる」という問題が再発します。
4. 以上より、ポリシに盛り込むべき内容は
   「取得するログの種類や保管方法、保管期間」
   となります。

誤りやすいポイント

• 「分析手順」「担当部署」など運用面を優先し、本質のログ取得・保管基準を忘れる。
• 「バックアップ周期」だけを書くなど、項目が一部欠落してしまう。
• 「暗号化方式」など詳細技術ばかり挙げ、ポリシの基本三要素を示せない。

FAQ

解答の論理構成

1. 【問題文】では、外部からセキュリティ情報を受け取る際に
   “IRT では、インシデント対応のコミュニティにおいて広く利用されている実績がある ④PGPを利用した電子署名を採用することにした。”
   と記載されています。
2. PGP の電子署名機能はメッセージの改ざん有無を検出し、さらに署名者の公開鍵を検証することで情報の送信元が本物かどうかを示します。
3. IRT の役割として【表1】に
   “セキュリティ情報の収集と提供”
   が明示されており、外部から受領する脆弱性情報や配布ソフトウェアの信頼性を確認する必要があります。
4. したがって、PGP を採用した主目的は「受け取るセキュリティ情報やソフトウェアが真正な提供元から来たものか」を確かめることだと結論付けられます。

誤りやすいポイント

• 「暗号化による機密保持」が主目的と誤解しやすい。設問は“電子署名”に焦点を当てており、認証・真正性確認が核心です。
• “改ざん検知”のみに着目し、送信元の正当性（なりすまし防止）を答え漏らすケース。
• 「メール全文を暗号化する」など、IRT の業務と直接結び付かない用途を述べてしまうミス。

FAQ

解答の論理構成

• 【問題文】では特殊なポートスキャンについて「TCPのコネクションが正常に確立しないので、対象となったホスト上でcされにくい」とあります。“正常に確立しない”ため多くの OS やサービスがアクセスログを残さないことを指摘しています。よって c は「アクセスがログに記録」です。
• 5021 番シグネチャの説明で「パケットに含まれる文字列からすると、CGIプログラムに含まれるdの脆弱性を利用して…」とあります。図5のパス列 “../../…/etc/passwd” は階層を遡ってファイルを読み取る代表的攻撃で、脆弱性名はディレクトリトラバーサルです。よって d は「ディレクトリトラバーサル」です。
• 5829 番シグネチャについて「HTTP/1.1で定義されているeというメソッドが利用されています」と明記されています。HTTP/1.1 のメソッドで TCP を透過中継するものは CONNECT であり、SSL や SMTP などのトンネリングに利用されます。よって e は「CONNECT」です。

誤りやすいポイント

• c を「検知」などとすると、“検知”自体は IDS/IPS が行っているため説明と合致しません。文脈はホスト側ログ記録の有無です。
• d を「パストラバーサル」とカタカナだけで記述すると正式な脆弱性名称とみなされない場合があります。
• e の CONNECT メソッドは HTTP プロキシ機能専用と誤解しがちですが、問題文では「SMTPのようなプロトコルも中継」と補足されています。

FAQ

解答の論理構成

1. 図6に示されたパケット
   ―――
   e mail.example.com:25　HTTP/1.1
   ―――
   ここで e は HTTP/1.1 の CONNECT メソッドです。
2. CONNECT メソッドの役割
   U君：図6を見ると、HTTP/1.1で定義されているeというメソッドが利用されています。これはWebサーバがいわゆるプロキシサーバとして動作しているときに、TCPの通信を透過的に中継させる目的で利用されるものです。主にSSLを中継させるのに使うことが多いのですが、SMTPのようなプロトコルも中継させることができます。
   ➜ CONNECT が許可されると、外部のホスト（ここでは mail.example.com:25）との TCP セッションを Web サーバが中継できるようになります。
3. SMTP ポートへの接続意図
   ポート 25 は SMTP 用です。Web サーバがこの通信を中継すると、攻撃者は自サイトを経由せずにメール送信が可能になります。
4. 不正利用の結果
   U君：設定に問題のあるWebサーバを悪用して、外部のメールサーバとSMTPで通信させようとしたようですね。
   ➜ 攻撃者は Web サーバを「オープンプロキシ」「第三者中継サーバ」として利用し、スパムやフィッシングメールを大量送信できます。
5. IPS と設定がない場合の想定
   問題文では「IPSが設置されておらず、かつWebサーバでこのメソッドが受け付けられる設定」に言及しており、遮断も拒否もされない状態を想定しています。
   ➜ 最も起こり得るのは「Web サーバがメールの不正中継に利用される」というインシデントです。

誤りやすいポイント

• “SMTP で通信” とあるため「メールサーバが攻撃される」と誤読しやすい。実際は Web サーバが踏み台にされる。
• CONNECT メソッドの用途を SSL トンネリング専用と考えがちだが、TCP なら他プロトコルも中継できる。
• 「不正中継＝メール送信量増加」とだけ捉え、スパム送信によるブラックリスト登録・信頼失墜のリスクを見落としやすい。

FAQ

解答の論理構成

1. 状況整理
   • IPS は「レベル 4 又はレベル 3 の脅威が検知されたときには IRT メンバに対して警告メールが送信される設定」を採用しました。
   • ところが「最初の 1 時間のうちに大量の警告メールが IRT メンバに送信された」ため、T 課長は「⑥一定の条件を満たす場合には警告メールを送らないよう、シグネチャの設定を調整して危険度のレベルを変える」方針を示しました。
2. 「大量の警告メール」が抱えるリスク
   • メールがひっきりなしに届くと、担当者は本当に深刻な通知を見落とす恐れがあります。
   • したがって「警告メールが多すぎるのは困りますね」という U 君の発言を根拠に、 〈不要な通知が重要な通知の確認を阻害する〉というセキュリティ上の理由が導かれます。
3. 危険度を下げてもよいケース
   • 具体例として T 課長は、CONNECT メソッドを用いた脅威 (ID 5829) に言及し、U 君は「⑤Webサーバではこのメソッドを受け付けない設定になっています」と説明しました。
   • つまり、IPS が検知した脅威が「自社の DMZ 内サーバで無効化・未使用の機能」に関するものであれば、実害が発生しません。
   • よって、その種のシグネチャについては危険度を下げても運用上問題がない、という条件が成立します。
4. まとめ
   • 理由：不要な大量通知は重要通知の見落としにつながる。
   • 条件：自社 DMZ で利用しないサービス／機能に対する脅威であること。

誤りやすいポイント

• 「レベルを下げる＝脅威を無視してよい」と早合点する
  → 実際には“自社環境に影響しない”ことを確認したうえでレベル変更が必要です。
• 「警告メールが多い＝メールサーバの負荷軽減が目的」と読み違える
  → 目的は担当者の注意力維持（見落とし防止）です。
• 5829 以外のシグネチャも無条件でレベルを下げてよいと思い込む
  → 対象システムで機能が無効化されているかを個別に検証する必要があります。

FAQ

解答の論理構成

1. 事実確認
   本文には「⑦ U 君はこのサーバ機の電源を再投入せず、サーバ機からハードディスクを取り出した」とあります。
2. インシデント対応の目的
   図4の(5)において「必要な情報を確実に保全し、発生した事象を様々な要素から解明することが目的」と明記されています。
3. 電源再投入の影響
   OS が起動するとログローテーションや一時ファイルの上書きが行われ、感染マルウェアの自動削除・改変も起こり得ます。これは“確実な保全”を阻害します。
4. 結論
   したがって再起動を避け、ディスクを物理的に取り外して複製したのは「証拠となるファイルを改変せず保全するため」であり、設問の解答は
   「再起動することでサーバ機上のファイルが改変される可能性があるから」
   となります。

誤りやすいポイント

• 「メモリ内容が消える」だけに触れ、ディスク改変リスクを書かない。
• 「感染が広がる」など再起動と無関係な理由を書く。
• 単に「フォレンジックのため」とだけ記述し、具体的に何を守るかを示さない。

FAQ

解答の論理構成

1. 問題文では「取り出したハードディスクの内容は、専用の複製装置を用いて別のハードディスクに全セクタを複製し、⑧この複製に対してフォレンジックツールを実行して解析を行った」と記述されています。
2. デジタルフォレンジクスの基本は、原本を改変しないまま証拠を保全・解析することです。解析ツールは読み取り専用であってもメタデータ更新などによる書込みを完全に排除できない場合があります。
3. そこで、原本であるハードディスクを直接操作するのではなく「専用の複製装置」によりビット単位で正確にコピーした複製ディスク（イメージ）を作成し、複製側で解析します。
4. これにより、解析作業中に誤ってデータを書き換えるリスクを排除し、証拠の完全性と真正性を担保できます。
5. 以上から、模範解答の「解析の際に原本のデータを書き換えてしまう可能性があるから」という理由が導かれます。

誤りやすいポイント

• 原本をライトプロテクトすれば直接解析してもよいと短絡的に考える
• 「複製はバックアップ目的」と勘違いし、証拠保全の観点を漏らす
• データ改ざんリスクを「フォレンジックツールの品質問題」と限定し、本質的な手続きを軽視する

FAQ

解答の論理構成

1. 構成情報未更新という問題
   ・本文には「開発系システムの構成情報で送信元の IP アドレスを確認したところ、送信元の IP アドレスに該当する機器が記載されていなかった」とあります。
   ・構成台帳が最新であれば “未知の端末か正規の端末か” を即判定でき、感染端末を早期に隔離できます。
   ・従って「開発系システムの構成情報が最新に保たれていなかったこと」が周知・教育不足によって露呈した 1 つ目の問題です。
   ・マニュアルには「一時的な機器接続を含め構成情報を常時更新する手順」を明記することで再発防止が図れます。
2. 証拠保全手順を守らず電源を切断した問題
   ・本文には「当該サーバ機は U 君が電話で問い合わせた直後に担当者がシャットダウンし、電源が切断された」とあります。
   ・電源断によりメモリ上の揮発情報やネットワーク接続状態が失われ、フォレンジック分析の難易度が上がります。
   ・これは “インシデント発生時の現場保存” の教育不足が原因で、2 つ目の問題に該当します。
   ・マニュアルには「インシデント疑い時は自ら操作せず IRT 指示に従う」ことを明示し、証拠保全手順を従業員に徹底させる必要があります。

誤りやすいポイント

• 「一時的な接続だから構成台帳に載せる必要がない」と判断しがちですが、臨時端末こそリスクが高く必須項目です。
• 感染端末を“安全のために電源を切る”と誤解しがちですが、標準手順にない操作は証拠の散逸につながります。
• IRT のみが対策を講じればよいと考え、一般従業員の役割を軽視するミスも多発します。

FAQ