情報処理安全確保支援士 2013年 秋期 午後2 問01

　 　A社は、製造業を営む従業員数 5,000 名の企業である。国内にある本社の他に、国内外に拠点1～6の6拠点がある。 　本社と各拠点は、それぞれ独自にインターネットに接続している。本社のファイアウォール（以下、FWという）と各拠点のUnified Threat Management（UTM）間はインターネットVPNを構成しており、本社内に設置されているシステムBを本社だけでなく各拠点からも利用している。また、外部のASPサービスC（以下、システムCという）は、クラウドコンピューティングによって実現されたWebサービスであり、本社と各拠点の従業員がインターネット経由で利用している。従業員には、一人1台ずつPCが貸与されている。A社のネットワーク構成の概要を図1に示す。

　PCは全て本社又は各拠点のOA-LANに接続されており、各PCからは、ブラウザで、システムB、システムC、インターネット上のWebサイトなどにアクセスできる。インターネット上のWebサイトの閲覧は、業務上必要な情報収集や調査などのために、全従業員に許可している。本社からインターネット上のWebサイトにアクセスする場合はプロキシを経由するが、各拠点からアクセスする場合は、プロキシを経由しない。 　電子メール（以下、メールという）のうち、A社外と各拠点間で交換されるものは本社の社外メールサーバを経由せずに送られる。 　なお、社外からメールを閲覧する仕組みはない。また、全PCにウイルス対策ソフトがインストールされている。PCの設定状況を表1に、PCにインストールされているソフトウェアの利用状況を表2に、A社のサーバ、ネットワーク機器の機能一覧を表3に示す。各拠点のPCから本社へのアクセスは、本社のFWによって、本社のDMZ及びサーバLANだけに制限されている。

〔マルウェアの検出〕 　Mさんは、本社営業部に所属する営業担当である。10月1日、Mさんは8時55分に出社し、PCの電源を入れてログインした後、9時から始まる会議に出席した。11時に会議が終わり自席に戻って、PCのスクリーンセーバを解除した。すると、ウイルス対策ソフトVがマルウェアPを検出し、正常に駆除したことを示すメッセージが表示されていた。Mさんは、自席に戻るまでPCを操作していないので、不審に思い、PCに新たなソフトウェアがインストールされていないか、PC内のデータが消えてしまっていないかなどを確認し、不審と判断したファイルを削除したり、OS上で稼働するアプリケーションの自動起動設定を変更したりした。11時30分、Mさんは昼休みをとるために、PCの調査を中断した。昼食時に同僚にマルウェアの話をしたところ、社内のヘルプデスクに報告すべきだと言われた。 　12時30分、昼休みを終えたMさんはPCの調査を再開したが、他に不審な点は確認できなかった。また、マルウェアPが検出された原因についても思い当たる節がなかった。そこで、Mさんは社内のヘルプデスクに電話し、マルウェアPの検出状況などについて報告した。報告を受けたヘルプデスクのHさんは、ウイルス対策ソフトVのサポートサイトで、マルウェアPについて調査した。マルウェアPの特徴は図2のとおりである。

　Hさんは、調査結果を情報システム部のK主任に報告した。K主任は、MさんのPCは以前からマルウェアPに感染していた可能性があり、このまま放置すれば被害が拡大する可能性があると判断した。そこで、Hさんを介して、Mさんに①PCからLANケーブルを抜くように指示した。また、K主任は、マルウェアPへの感染について更なる調査が必要であると考え、情報セキュリティ会社のZ社に、感染原因や被害状況の調査を依頼した。 　 〔本社に対する調査〕 　Z社のX氏が本社を訪れ、マルウェアPの検出状況並びにA社のPC及びネットワーク構成について、K主任から説明を受けた。X氏は、まずMさんのPCについて詳しく調査することにした。X氏は、②MさんのPCにおける設定が、バックアップされているかどうかを確認したが、A社では設定のバックアップは取得していなかった。また、X氏は、プロキシで取得しているWebサイトへのアクセスログの提供をK主任に依頼した。 　X氏は、MさんのPCのハードディスク全体を別のハードディスクにコピーし、コピーの方のハードディスクを読取り専用でマウントし、調査した。調査によって判明した内容は、図3のとおりである。

　X氏は、M さんの PC は、PDF ファイルを閲覧した際にマルウェアに感染したと判断した。また、M さんが受信したメールの送信者は、③Webメールを利用してメールを送信した可能性が高いと考えられるとし、更なる調査を行った。 　X氏は、次にプロキシのログについて調査した。調査によって判明した内容は、図7のとおりである。

　X氏は、本社での調査結果をレポートにまとめて提出した。次は、報告会での X氏、K主任、K主任の上司である O部長の会話である。 　X氏 ：攻撃者は、マルウェアPを使って社内のPCを操作していたようです。 　O部長：本社の環境では、インターネットからの通信はFWで制限しています。また、各PCからは、プロキシを経由しないとインターネットにはアクセスできないはずです。攻撃者はなぜ、インターネットから社内のPCを操作できるのですか。 　X氏 ：マルウェアPはブラウザのプロキシ設定を参照してプロキシ経由でC&Cサーバにアクセスしますが、PCからC&Cサーバへの方向だけでHTTPリクエストが発生します。このとき、マルウェアPに対する指令がbに含まれているので、攻撃者はPCを操作できるというわけです。 　K主任：なるほど。このようなマルウェアであれば、FWやプロキシを導入していても、インターネットから社内のPCを操作されてしまいますね。 　 　X氏は、本事象を解明するためには、拠点6の状況も調査すべきであることを説明した。説明を受けてK主任とO部長は、拠点6についても引き続きX氏の協力を仰ぎながら調査することにした。 　 〔拠点6に対する調査] 　X氏は、K主任とともに拠点6を訪れ、LさんのPCの状況を調査した。調査結果は、図8のとおりである。 　

　聞き取り調査のとおり、図5のメールの送信者はLさんではないことが分かった。次に、X氏は本社のメールサーバ又は拠点6の拠点メールサーバが外部から侵入され、メールの内容が漏えいした可能性もあると考え、各メールサーバを調査した。しかし、これらのメールサーバに侵入された痕跡は確認できなかった。 　そこでX氏は、他のPCのマルウェア感染を疑い、調査することにした。調査結果は、図9のとおりである。

　X氏は、マルウェアPがNさんのPCに感染した原因を特定するために、9月25日14:11前後でのNさんのPCの状況を調査した。調査結果は図10のとおりである。

　X氏はこれらの内容から、NさんのPCがマルウェアPに感染したのはIPアドレスD.D.D.Dへのアクセスが原因ではないかと考え、検証用のPCからブラウザでhttp://D.D.D.D/javarhino/へのアクセスを試行した。取得したレスポンスからは、JREの脆弱性を突くExploitコードを受信していることが分かった。その際のリクエスト及びレスポンスは、図11のとおりである。

　X氏は、NさんのPC上でタイムスタンプがc以降のファイルを調査したところ、Mさんからのメールが圧縮された状態で保存されていた。次は、この点に関するX氏とK主任の会話である。 　 　K主任：NさんのPCは、どのようにしてMさんからのメールを入手したのでしょうか。 　X氏：状況から考えると、NさんのPCがマルウェアPに感染し、LさんのPCのメール受信時の通信を盗聴した可能性があります。 　K主任：どのような手口が使われたのでしょうか。 　X氏：dという盗聴の手口が利用されたのではないかと思います。 　 　X氏は、図12の拠点6のネットワーク構成及び図13の盗聴時のLさんのPCのARPテーブルを用いて、K主任に盗聴の手口を説明した。

　X氏：この手法で盗聴されていたとしたら、LさんのPCのARPテーブルは図13のようになっていたはずです。 　K主任：なるほど。このような手口だと、fを利用してネットワークを構築していても盗聴されてしまいますね。

　X氏はNさんのPC上に保存されているメールが他にもないか、社内で他にもマルウェアPの感染や不審なメールの受信がないかなどを調査し、今回の事象をまとめて報告書を作成した。 　 〔対策の検討〕 　X氏は報告書を基に、O部長とK主任に調査結果を報告した。X氏はA社に対し、図14に示す四つの攻撃への対応を推奨した。また、PC利用ルールの改定が望ましいことも付け加えた。

　O部長はK主任に対し、各攻撃への対策について検討するよう指示し、K主任はZ社の協力を得て対策を検討した。次は、図14に関するK主任と〇部長の会話である。 　 　K主任：項番(1)、(4)の対策については、常に最新バージョンのソフトウェアを利用することが望ましいと思います。PDF閲覧ソフトWに関しては、すぐに最新バージョンにアップデートしても問題はないと考えていますが、⑤JREはアップデート前に準備が必要です。 　O部長：ということは、JREに関してはすぐに最新バージョンにアップデートできないということか。 　K主任：Javaを必要とするケースは限られていますので、⑥プロキシ及びUTMを用いて対策を行うのがよいと思います。 　O部長：マルウェアがその対策をすり抜けてくる可能性も否定しきれないので、完全な対策とはいえないことを認識しておく必要があるな。項番(2)についてはどのような対策が考えられるのか。 　K主任：マルウェアPも含め、多くのマルウェアとC&Cサーバ間の通信には、HTTPが利用されています。⑦マルウェアからC&CサーバへのHTTP通信をプロキシで止める対策が有効だと考えています。 　O部長：しかし、各拠点にはプロキシがないぞ。また、今後、プロキシではC&Cサーバとの通信を止められないマルウェアが出てこないとも限らない。ただ、マルウェアPなどには有効な対策だと考えられるので、とりあえず本社にだけは実装することにしよう。項番(3)については、どのような対策が考えられるのか。 　K主任：マルウェアがファイル共有プロトコルを悪用して、他のPCへ感染を広げる事例も確認されています。包括的な対策としては、⑧PC上のパーソナルファイアウォール機能を活用して、各PCから他の機器への通信と、他の機器から各PCへの通信を、必要最小限に制限するのがよいと思います。あわせて、パーソナルファイアウォール機能の停止・設定変更は、各従業員が利用するアカウントではできないようにした方がよいと考えています。 　 　K主任は他の検討結果も報告し、◎部長の承認を得た。その後、K主任は検討結果に基づき、対策を進めた。