情報処理安全確保支援士 2014年 春期 午後1 問02

解答の論理構成

1. 【問題文】では「ログを収集、転送する方式には、UNIXで一般的に使われているaというプロトコルを利用している。」と明記されています。
2. UNIX 系 OS で“ログ収集・転送”用途に最も広く採用されている標準プロトコルは「syslog」です。
3. 他の候補（SNMP Trap など）はログ監視に使われることもありますが、「UNIXで一般的」との記述に最も合致するのは syslog です。
4. 以上より、a には “syslog” を入れるのが適切となります。

誤りやすいポイント

• SNMP Trap と誤認する
  「通知＝Trap」と連想しやすいものの、問題は“ログを収集、転送する方式”と述べており、UNIX 標準の syslog が正解です。
• syslog-ng／rsyslog と回答してしまう
  いずれも syslog の実装名であり、プロトコル名としては “syslog” が要求されています。
• SSH／SCP を想起する
  ファイル転送でログをまとめる運用もありますが、プロトコルとしては汎用ファイル転送であり「UNIXで一般的に使われているログ転送プロトコル」とはずれます。

FAQ

解答の論理構成

• 【問題文】には、A社が SPF を用いてドメインなりすましを防ぎたい意図として、
  「A社のメールアドレスを使ったなりすましを防ぐために、A社のDNSサーバでSPFの設定を行っている。」
  と記載されています。
• さらに送信元サーバの範囲を限定する条件として、
  「A社のメールアドレスを使ったメールを送信するのは外部メールサーバだけである。」
  と明示されています。
• 図3の TXT レコードでは、既に外部メールサーバの IP を「+ip4:x1.y1.z1.4」で許可しています。残りの b 部分で、これ以外のサーバを“なりすまし”とみなして拒否する必要があります。
• SPF 構文では
  • “+” は「許可」
  • “-all” は「ここに列挙されていない送信元はすべて拒否」
  を意味します。
• よって、唯一許可する「x1.y1.z1.4」以外を完全拒否するために b には「-all」を指定するのが適切です。

誤りやすいポイント

• “~all” と混同する
  “~all” は「softfail」で受信側の実装によっては通過する場合があり、完全拒否の要件を満たしません。
• 迷惑メール対策装置や LB があるから SPF で厳密に拒否しなくても良い、と誤解する
  SPF はドメインを偽装したメールをインターネット側でブロックさせる仕組みなので、社内機器の構成変更とは独立した防御層です。
• 送信サーバが複数に増える将来を想定して “?all” を選ぶ
  設問は現状の要件（外部メールサーバのみ送信）を前提としているため、汎用性よりも即時のなりすまし対策が優先されます。

FAQ

解答の論理構成

1. 外部メールサーバへ届いた事実
   【問題文】には「①迷惑メールが外部メールサーバから内部メールサーバに転送されており」とあります。したがって迷惑メールは最初に外部メールサーバへ到達しています。
2. インターネットから外部メールサーバへの到達経路
   表2のFWルールで、項番「2」は送信元「インターネット」→宛先「外部メールサーバ」サービス「SMTP」動作「許可」と明示されています。よってインターネットから直接SMTP接続が可能です。
3. なぜ迷惑メール対策装置を経由しなかったか
   図3のDNS設定には
   ・「a-sha.co.jp.　IN　MX　10　msv1.a-sha.co.jp.」
   ・「a-sha.co.jp.　IN　MX　20　msv2.a-sha.co.jp.」
   が登録されています。SMTPの仕様では優先度「10」のサーバが利用できない場合、優先度「20」のサーバへ送信されます。迷惑メール送信者は意図的に「msv2.a-sha.co.jp.」(＝外部メールサーバ)を選択して送信し、迷惑メール対策装置（優先度10）を回避しました。
4. 以上より、迷惑メールは「インターネットから迷惑メール対策装置を経由せずに送られていた」という結論になります。

誤りやすいポイント

• MXレコードは数値が小さい方が優先されることを忘れ、優先度「20」も自動的にフィルタを通ると誤解する。
• 迷惑メール対策装置が“必ず”先に受信すると考え、FWルール「2」の存在を見落とす。
• SPF設定があっても配送経路のバイパスは防げない点を見落とし、DNSだけで十分と判断してしまう。

FAQ

解答の論理構成

• 【問題文】には、IPアドレスWLの効果が恒久的ではない旨が示されている。
  引用：「たとえ取引先のIPアドレスをIPアドレスWLに登録していたとしても、メールが急に届かなくなる可能性もある。届かなくなった場合は、IPアドレスWLの登録内容を見直す必要がある。」
• メールが届かなくなる主因は、宛先サーバ（取引先のメールサーバ）の送信元IPアドレスが変わり、登録済みの「IPアドレスWL」にマッチしなくなるケースである。
• よって「取引先のメールサーバのIPアドレスが変更された場合」にWLの登録を更新しなければ、正当なメールも迷惑メール対策装置によって拒否される恐れがある。
• 以上より、模範解答は「メールサーバのIPアドレスが変更された場合」と導かれる。

誤りやすいポイント

• 「メールドメインの変更」や「ポート番号変更」と誤解しがちですが、設問は「IPアドレスWL」の見直しに限定されているため、IPアドレスの変化に焦点を当てる必要があります。
• 取引先側の設定ミス（逆引き未設定など）を想定すると、問題文の根拠に合致しないため減点対象となります。
• 「メールが届かない＝受信側の設定不備」と短絡的に判断し、送信元IPアドレスの変更を見落とすパターンが散見されます。

FAQ

解答の論理構成

1. SPFの基本動作
   SPFでは、メール受信側がDNSに登録された送信ドメインのTXTレコードを参照し、そこに記載されたIPアドレスから届いたメールだけを「正当」と判断します。
2. A社の議論の要点
   問題文には、
   「『SPFを使えばドメイン名を詐称する迷惑メールの拒否が可能である。しかし、②迷惑メール送信者の行為によっては、迷惑メール対策装置がSPFを使って正しいと判定したサーバから送信された迷惑メールを防ぐことができない』」
   とあります。
3. “防げなくなる行為”の考察
   ・SPFはあくまで“そのドメインの正当な送信元か”を判定する手段です。
   ・迷惑メール送信者が自分で新規ドメインを取得し、そのDNSに自サーバのIPアドレスを登録すれば、そのサーバは「正当な送信元」とみなされます。
   ・結果として、迷惑メール対策装置は「SPF OK」と判断し、メールを通過させてしまいます。
4. 導かれる解答
   よって、迷惑メールを防げなくなる行為は
   「迷惑メールの送信者がドメインを正当に取得した場合」
   となります。

誤りやすいポイント

• SPFがあれば“どんな迷惑メールでも止まる”と誤解しやすい。実際は同一ドメインを使う偽装だけを防ぐ仕組みです。
• “自社ドメインのSPF設定”＝“他社ドメインの迷惑メールもブロック”と早合点しやすい。自社設定は自ドメインの評価にしか効きません。
• DKIM・DMARCと混同し、シグネチャ検証まで自動で行っていると思い込むケースも散見されます。

FAQ

解答の論理構成

• 【問題文】では
  “Fさんは、③cに登録する設定をURL BLにも登録することを提案し、効果があることを説明した。”
  とあり、cは“URLフィルタリング”用のブラックリストを持つ機器である必要があります。
• 表1で“URLフィルタリング機能”と“プロキシブラックリスト”を備えるのは
  “プロキシサーバ”だけです。従って
  c ＝ “プロキシサーバ”
  となります。
• さらに表3を見るとURL BLは「ヘッダ及びメール本文中に含まれるURL」をマッチング対象とします。
  “プロキシサーバ”のブラックリストと同じURLを迷惑メール対策装置のURL BLに登録すれば、
  プロキシで遮断していた不審URLを含むメールも到達前に拒否できます。
  その結果、期待される効果は“迷惑メールの拒否率向上”です。

誤りやすいポイント

• cを“迷惑メール対策装置”と誤解し、自機器名を再入力してしまう。
• URL BLの対象が“ヘッダ及びメール本文中に含まれるURL”であることを読み落とし、
  ドメイン名BLとの違いを取り違える。
• 効果を「ユーザ負荷軽減」などと抽象的に書き、迷惑メールの拒否に直接触れない。

FAQ

解答の論理構成

1. 迷惑メールが増えた原因
   原文には“①迷惑メールが外部メールサーバから内部メールサーバに転送されており”とあり、インターネットから直接「外部メールサーバ」に届いたメールがフィルタを素通りしていました。
2. 現行の通信経路の課題
   表2のFWルールには
   ・「項番1　インターネット→迷惑メール対策装置　SMTP　許可」
   ・「項番2　インターネット→外部メールサーバ　SMTP　許可」
   が並存しており、迷惑メール送信者は“②迷惑メール送信者の行為”として外部メールサーバを経由できます。
3. 対策方針
   そこで“④図1のネットワーク構成とLBの設定を変更することで、インターネット上のメールサーバからのSMTP通信を制御する”と決定しました。LB には「振分け機能及びIPアドレス変換機能」があり、送信元に応じた分岐が可能です。
4. 制御方法の導出
   迷惑メール対策装置が正常に稼働している平常時は、外部メールサーバを経由させる理由がありません。従って LB でインターネットからの SMTP をすべて「迷惑メール対策装置」に流し込み、外部メールサーバへは到達させない構成にします。
5. 結論
   以上より設問の答えは「SMTP通信を迷惑メール対策装置に振り分ける。」となります。

誤りやすいポイント

• 「外部メールサーバを遮断する」とだけ書くと、障害時の迂回経路を考慮していないと判断され減点対象です。振り分け＝平常時はフィルタ経由、障害時は切替という意図を押さえましょう。
• SPF設定の強化やFWルールの削除を答えにしてしまうケース。設問は「LBでSMTP通信をどう制御するか」を問うている点に注意が必要です。
• 「送信元IPで許可・拒否」など細かなルールを書き込むと論点がずれます。求められているのは経路の一本化です。

FAQ