情報処理安全確保支援士 2013年 春期 午前2 問15

ダウンローダ感染対策【午前2解説】

正解の理由

解法ステップ

1. 「ダウンローダ型」の本質を把握する：感染PCが外部から追加マルウェアをダウンロードする仕組みであると認識する。
2. 攻撃経路を特定する：ダウンロードは主にHTTP/HTTPS経由で特定URLへアクセスすることが多い。
3. 経路を断つ対策を選ぶ：ダウンロード元URLやドメインへのアクセスを遮断できる仕組みを選ぶ（URLフィルタ、セキュアWebゲートウェイ、DNSブロッキングなど）。
4. 他の選択肢との比較：IPSやメール系対策は補助的に有効だが、ダウンロードを確実に止める点でURLフィルタの方が適切と判断する。

選択肢別の誤答解説

• ア URLフィルタを用いてインターネット上の不正 Web サイトへの接続を遮断する。
  • 正解。ダウンローダがアクセスする外部URL自体を遮断できるため、追加マルウェア取得を防げる。プロキシやセキュアWebゲートウェイでURLカテゴリ・レピュテーションベースにブロックするのが実運用で有効。
• イ インターネットから内部ネットワークに向けた要求パケットによる不正侵入行為をIPSで破棄する。
  • 部分的に有効だが不十分。IPSはインバウンドの不正侵入を防ぐ主要機能を持つが、設定やシグネチャ／振る舞い検知によりアウトバウンドの悪性通信（感染PCからのダウンロード要求）を検出・破棄することも可能である。しかし、暗号化やゼロデイの通信、シグネチャ未登録のアクセスは見逃す恐れがあり、URL単位での確実な遮断には向かない。
• ウ スパムメール対策サーバでインターネットからのスパムメールを拒否する。
  • 無関係に近い。スパム対策は主にメール経由の侵入や迷惑メールを減らすものであり、既に感染したPCがWebから追加マルウェアをダウンロードする挙動を防ぐ機能ではない。
• エ メールフィルタで他サイトへの不正メール発信を遮断する。
  • 主に感染PCからのメール拡散（ワーム型）を抑える対策であり、HTTP/HTTPSによる外部サイトからのダウンロードを遮断するものではない。従って今回の目的（外部ダウンロードの阻止）には直接効かない。

よくある誤解

• IPSは外向きの通信をまったく防げない
  • 誤解。IPSは設定とシグネチャ次第でアウトバウンドの悪性通信を検出・破棄できる。ただし暗号化や未知の通信パターン、急速に変化するC2やドメインフラックションには弱く、URLフィルタと併用する方が確実性が高い。
• スパム/メールフィルタで全てのマルウェア感染を防げる
  • 誤解。メール対策はメール経由の攻撃に有効だが、感染後に行われるWeb経由の追加ダウンロードまでは防げない。
• HTTPSならURLフィルタは効かない
  • 一部正しい側面がある（通信の内容やパスは暗号化される）が、SNIやDNSベースのフィルタ、TLS復号（フルインスペクション）を組み合わせれば対処可能。

補足コラム

• セキュアWebゲートウェイ／プロキシでURLカテゴリやレピュテーションによるブロックを実施。
• DNSシンクホールで既知悪性ドメインを解析段階で吸収。
• egress（出口）ファイアウォールで不要な外向き通信を制限（ポートやプロトコル、許可リスト方式）。
• TLSインスペクションを導入できる場合はHTTPSのパスやリクエスト内容も検査する（運用・プライバシー考慮が必要）。
• EDR/アンチマルウェアで端末側のダウンロード試行やプロセスを遮断・検知し、感染拡大前に隔離する。
• ネットワーク分割と最小権限で被害範囲を限定する。

FAQ