情報処理安全確保支援士 2014年 春期 午後2 問02

解答の論理構成

1. 問題文では、G社のA氏が公開Webサーバを「“①シャットダウンすると調査が困難になるので、調査が完了するまでそのままにしておき”」と助言しています。
2. サーバをシャットダウンすると、OSはキャッシュされたデータやメモリ上の情報をディスクに書き出すほか、ファイルシステムの整合性を取るためにタイムスタンプやログファイルを更新します。
3. これらの書き込みは“改ざんの痕跡”となるファイルやログへ上書きを発生させ、元の状態を保持できなくなる恐れがあります。
4. したがって、「調査が困難になる」の核心は「証拠となるファイルが OS の書き込みで変化してしまう」点にあります。
5. 以上より解答は「ファイルが書き換えられる可能性があるから」となります。

誤りやすいポイント

• 「電源を切るとメモリが消える」だけに着目し、ディスク書き込みによる証拠改変リスクを言及しない。
• シャットダウン後にディスクを複製すれば問題ないと考え、OS が終了処理で行う自動書き込みを見落とす。
• 理由を「ログが消える」と限定し、ファイル全般への上書きを含めない。

FAQ

解答の論理構成

1. 図2の調査結果には、改ざんが行われた時期として
   ― “調査開始日の4週間以上前に改ざんが行われた可能性が高い。”
   とあります。
2. D社ではコンテンツのバックアップを“日次で”取得しているため、改ざん発生後に取得されたバックアップメディアには、既に“改ざんされたコンテンツファイル”が保存されているおそれがあります。
3. したがって、バックアップメディアをそのままリストアすると、改ざん済みファイルまで復元してしまう危険が残ります。
4. このため図2の推奨事項では
   ― “バックアップメディアからの復元ではなく…コンテンツは E 社が納入したものを用いて復元することを推奨する”
   と示されており、解答は「バックアップメディア内に改ざんファイルが含まれている可能性を排除できないため」と導かれます。

誤りやすいポイント

• 「バックアップを取ってあるから安全」と早合点し、改ざん時期とバックアップ取得時期の関係を見落とす。
• 原因を“改ざんによってバックアップが壊れている”と誤解し、“改ざんされたデータが混入している可能性”という本質を外してしまう。
• 図2の“4週間以上前”という期間を引用せずに理由づけを弱めてしまう。

FAQ

解答の論理構成

1. 追加対象が必要になった背景
   • 調査結果には「改ざんされたコンテンツにアクセスすると、多くの PC ベンダがプリインストールしている R社の画像閲覧ソフト の脆弱性を悪用し…」とあります。
   • つまり OS 以外のアプリケーション脆弱性が実際に攻撃に利用された事実が判明しました。
2. 現行の運用ルールの確認
   • 本文には「D社では、社内で利用可能なソフトウェアを定めている。OSがWindowsの場合は、Q社のウイルス対策ソフトとR社の画像閲覧ソフトの導入を必須としている。」とあります。
   • ここで挙げられている 2 つのソフトウェアが、D社が“定めたソフトウェア”です。
3. ③の記述の読み取り
   • 下線③には「PC、事務サーバ、設計管理サーバ及びCAD/CAMシステムについて脆弱性修正プログラムの適用対象を追加し、直ちに実行した。」とあり、追加対象が具体的に列挙されていません。
   • 追加対象とは、“OS 以外で、しかも今回攻撃に利用された可能性がある部分”でなければなりません。
4. 推論
   • 先に引用した運用ルールから、OS 以外で全機に共通してインストールされているのは「Q社のウイルス対策ソフト」と「R社の画像閲覧ソフト」のセット、すなわち D社で定めたソフトウェア です。
   • これらのソフトに対しても定期的に脆弱性修正プログラムを適用するよう対象を広げたと考えるのが最も自然です。
5. 結論
   • よって 追加した適用対象は「D社で定めたソフトウェア」となります。

誤りやすいポイント

• 「R社の画像閲覧ソフト」だけを答えてしまう
  → 攻撃契機は画像閲覧ソフトですが、適用対象拡大は“OS以外の定常導入ソフト全体”を指します。
• 「Q社のウイルス対策ソフト」と「R社の画像閲覧ソフト」を個別に並べてしまう
  → 設問は15字以内。2製品名を列挙すると字数超過・固有名詞列挙漏れの恐れがあります。
• 「アプリケーションソフトウェア」とだけ書く
  → D社が社内規程で明示しているソフトウェア群を指す必要があり、表現が曖昧だと減点対象になります。

FAQ

解答の論理構成

1. 問題文では、従来の“FTP”を安全なプロトコルに置き換える場面として、 “暗号や認証の技術を利用して、リモートコンピュータとの間でファイル転送やOSへのログインを安全に行うことができるプロトコルであるa”
   と述べています。
2. 「暗号」「認証」「安全にファイル転送」「OSへのログイン」を同時に満たす代表的なプロトコルは“SSH (Secure Shell)”です。
3. SSH には
   ・暗号化された通信路の確立
   ・公開鍵／秘密鍵による認証
   ・ファイル転送（SCP, SFTP）
   ・リモートシェルログイン
   が備わっており、問題文の要件を全て充足します。
4. 以上より、a に入る適切なプロトコル名は “SSH” となります。

誤りやすいポイント

• “SFTP”や“SCP”と解答してしまう
  → これらは SSH 上で動作するサブプロトコルであり、問題文が求める上位の“プロトコルそのもの”ではありません。
• “FTPS”と混同する
  → FTPS は FTP に TLS を組み込んだもので「OSへのログイン」機能はありません。
• 6 字以内という条件から 6 文字を探してしまう
  → 制限は上限であって厳密に 6 文字に合わせる必要はありません。

FAQ

解答の論理構成

1. 表2の現行設定を確認
   表2の項番4には【送信元：全て】【宛先：公開 Web サーバ】【サービス：FTP】【動作：許可】とあります。
2. サービス変更後のリスクを把握
   本文には
   “Kさんは、E社の担当者とも相談し、表2の項番4の項目のうち、サービスをFTPからaに変更することにした。”
   とあります。サービスだけを安全なプロトコルにしても、送信元が“全て”のままではインターネット上のどこからでも接続を許可してしまい、攻撃余地が残ります。
3. 見直すべきもう1か所の特定
   続いて
   “加えて、④表2の項番4の項目をもう1か所見直した方がよいことに気付き、変更することにした。”
   と記載されています。安全性向上の観点から最も妥当なのは、E社担当者だけに通信を限定することです。
4. 送信元を“E社”に変更
   図1ではD社外部の委託先が“E社”として描かれています。従って変更後の内容は【E社】となります。
   よって、項目名は“送信元”、変更後の内容は“E社”です。

誤りやすいポイント

• 「サービスを変更したので十分」と考え、送信元を見直さない。
• “E社”の表記を誤って“Ｅ社”など全角半角を混在させる。
• “宛先”や“動作”を変更対象と勘違いする。

FAQ

解答の論理構成

1. 本文には、プロキシサーバの「HTTPS通信対応機能」について、A氏の助言として
   “・HTTPS通信対応機能を使用すると、⑤インターネットを利用するD社の業務の一部に不都合が生じる”
   と記載されています。
2. 不都合が生じる業務を探すと、〔取引時の情報管理〕において
   “経理課の担当者は、支払や入金の確認にU銀行のインターネットバンキングサービスを利用している。”
   とあり、同じ箇所で
   “U銀行のインターネットバンキングサービスでは、EV SSL証明書が使用されているので、担当者は、U銀行のインターネットバンキングサービスにログインする前に、ブラウザのアドレスバーに表示されるWebサイト運営者名がU銀行であることを確認している。”
   と明示されています。
3. HTTPS通信対応機能は“接続先のコモンネームを基に証明書を作成し、その証明書で接続元との間のHTTPS通信を確立する。”ため、ブラウザに表示される運営者名はプロキシサーバが生成した証明書の名義になり、元の“U銀行”が表示されません。
4. したがって、不都合が生じる課は「経理課」であり、不都合の具体的内容は「ブラウザのアドレスバーに表示されるWebサイト運営者名を確認できなくなる」ことです。

誤りやすいポイント

• “不都合”を「通信遅延」や「証明書エラーのポップアップ表示」と勘違いしやすいですが、問題は運営者名表示の欠落です。
• EV SSL証明書の特徴（組織名が緑色などで表示される）を知らないと、HTTPS通信対応機能の影響を見落としがちです。
• “経理課”以外にもインターネットを使う部門はありますが、EV証明書による組織確認を業務手順として明記しているのは経理課だけです。

FAQ

解答の論理構成

1. URL制御ルールの目的
   表6の項番1は「事務サーバ、設計管理サーバ、CAD/CAMシステム」を接続元とし、「ユーザ定義リスト1」を「許可」に設定しています。つまり、この3台がインターネットへ出られる先を“必要最小限のホワイトリスト”で限定する狙いです。
2. 3台が外部アクセスで必要とするサイト
   これらサーバは日常運用で以下のアップデートを取得しています。
   • OSの脆弱性修正プログラム
     「OSベンダのWebサーバからプロキシサーバ経由で脆弱性修正プログラムをダウンロードして、適用している。」
   • ウイルス定義ファイル
     「ウイルス対策ソフトのウイルス定義ファイルを…『Q社のWebサーバ』からプロキシサーバ経由でダウンロード」
   • 画像閲覧ソフトの脆弱性修正プログラム
     「R社のWebサーバからダウンロードできるようになっていた。」
3. ユーザ定義リスト1に入れるべきURL
   上記3種のダウンロード先だけは許可しなければアップデートが停止し、セキュリティリスクが増大します。したがって
   • b＝「OS ベンダの Web サーバ」
   • c＝「Q社の Web サーバ」
   • d＝「R社の Web サーバ」
   を登録するのが合理的となります。
4. 順不同で良い理由
   問題は「bとcとdは順不同」と明記しています。ユーザ定義リストの中では順序依存がないため、3つのURLはいずれの欄に入っても動作上の差異はありません。

誤りやすいポイント

• 「P社のWebサーバ」を入れてしまう
  P社はプロキシソフトの更新元ですが、更新通信は“プロキシサーバ自身”が行うため、接続元を「事務サーバなど」に限定したユーザ定義リスト1には不要です。
• 「F社のメール中継サービス」を入れてしまう
  メール中継はDMZのメールサーバから行われ、こちらも事務サーバ群とは無関係です。
• 画像閲覧ソフトをクライアントPC専用と誤認する
  CAD/CAMシステムなどWindows系サーバにも「R社の画像閲覧ソフト」が必須インストールと定義されており、サーバ側でも更新が必要です。

FAQ

解答の論理構成

1. 目的の確認
   【問題文】の「攻撃者が用意したサーバへのウイルスからの通信を効率よく検出することができ、保存領域の不足が発生しにくくなる」とあるように、DMZ 内の「公開 Web サーバ」が感染した場合に外部へ向かう不審通信を“拒否＋ログ取得”で捕捉するルールを追加することが狙いです。
2. 送信元 (e) の特定
   不審通信を発する主体は感染した「公開 Web サーバ」です。したがって送信元は【問題文】引用のとおり「公開 Web サーバ」となります。
3. 宛先 (f) の特定
   ウイルスが接続する相手は社外の攻撃者サイトであり、FW-A から見れば全て社外ネットワークです。従って宛先に広い範囲を取る必要があり、表記は既にルール表で用いられている「インターネット」を用います。
4. サービス (g) の特定
   攻撃コードが用いるプロトコルは HTTP とは限りません。どのポートでも検知できるようにするため、サービス欄は汎用的な「全て」を指定します。
5. まとめ
   よって e＝「公開 Web サーバ」、f＝「インターネット」、g＝「全て」となります。

誤りやすいポイント

• 「HTTP だけ拒否すれば十分」と考えサービスに「HTTP」を入れてしまう
  → 攻撃は任意ポートを使う可能性があるため「全て」が正解です。
• 宛先を「プロキシサーバ」と誤解
  → 感染 Web サーバは直接外部に出るため宛先は「インターネット」です。
• 送信元を「DMZ」全体にしてしまう
  → 目的は“公開 Web サーバ”に限定した監視なので送信元は個別指定します。

FAQ

解答の論理構成

1. 図3の仕様では、HTTPS利用時に「パスワード認証に加え、a認証を使用することができる。」とあります。HTTPSに追加できる代表的な認証はクライアント証明書を用いたものです。
2. 本文でも「HTTPS を使用することにした。また、h認証を使用することにし、h証明書の発行は、商用サービスを使用することにした。」とあり、証明書を発行する主体を言及しています。
3. 証明書を利用する認証方式で、ユーザ側（送信者・受信者）が保持する証明書は「クライアント証明書」と呼ばれ、その方式は「クライアント認証」です。
4. 公開 Web サーバや電子証明書の一般的な分類では、サーバ証明書は通信相手の真正性を示し、クライアント証明書は利用者本人を識別します。ここで求められているのは後者なので、hに入る語は「クライアント」です。

誤りやすいポイント

• 「サーバ認証」と勘違いしやすい
  HTTPS というキーワードからサーバ証明書を想起しがちですが、本文は利用者側を識別する仕組みを求めています。
• 「PKI認証」「電子証明書認証」など曖昧な語を入れてしまう
  設問は「h認証」「h証明書」と対になっているため、一語で自然につながる必要があります。
• EV SSLやEV 証明書と混同する
  EV SSL はサーバ証明書の拡張検証であり、利用者側を認証するものではありません。

FAQ

解答の論理構成

1. 既存の方法の課題
   ・【問題文】「メールに添付して送付」「復号用のパスワードは、CADデータとは別にメールで送付する」とあり、暗号化は利用者任意の操作に依存しています。
2. 専用装置導入後の送信経路
   ・【問題文】「通信の暗号化が必要であるので、HTTPS を使用することにした」と明記され、Web インタフェース越しにファイルを転送する全区間が TLS で保護されます。
3. 利点の抽出
   ・HTTPS は転送プロトコルに暗号化機能が組み込まれており、利用者は“暗号化→送信→パスワード別送”の手順を意識せずに済みます。
   ・したがって、誤送信防止やパスワード漏えい防止に加え、「送信経路そのものが自動で暗号化される」ことが専用装置の追加利点です。
4. 模範解答の導出
   ・以上より解答は「CAD データ送信時の通信の暗号化が自動的に行われること」となります。

誤りやすいポイント

• 「HTTPS」は暗号化だけでなく認証も提供しますが、設問が求めるのは“送信時に自動で暗号化される”点です。
• 復号用パスワード不要もメリットですが、問題文に「誤送信の防止や復号用パスワードの漏えい防止以外」と書かれており除外対象です。
• URL 送信方式・上長承認機能など別の機能を利点に挙げると設問の趣旨から外れます。

FAQ

解答の論理構成

1. 下線⑦は「ウイルスの活動によるPCからインターネットへの通信のうち、止めることはできないがログの分析によって検出できる通信」を二つ挙げる設問です。
2. まずビジネス上どうしても必要な通信であれば「止めることはできない」条件を満たします。該当する代表例はメールとWebアクセスです。
3. メール系通信
   • PCが送信したメールはDMZの「メールサーバ」を経由して「F社のメール中継サービスのサーバ」に配送されます。
   • 「表2 FW-Aのフィルタリングルール」の項番「3」には

     送信元 「メールサーバ」／宛先 「F社 1)」／サービス 「SMTP」／動作 「許可」／ログ 「取得する」
     とあります。ここで“取得する”ので「ログの分析によって検出できる」条件も充足します。

4. Webアクセス系通信
   • PCは「表2」項番「6」で「プロキシサーバ」へ「代替 HTTP」(ポート8080)を発し、プロキシは項番「7」で「インターネット」に対し「FTP, HTTP, HTTPS」を発信できます。どちらのルールも“取得する”です。
   • さらにプロキシでは「表5 URL制御ルール」で「P社提供リスト」記載URLのみ拒否しており、リストに載っていないURL宛ては許可されます。従ってウイルスが未登録サーバへ接続しても通信は通過し、ログには残ります。
5. 以上より、 ・「メールサーバを経由した F社のメールサービスのサーバへの SMTP 通信」
   ・「プロキシサーバを経由した P社提供リストにないサーバへの FTP, HTTP 及び HTTPS 通信」
   が「止められないがログで検出できる」通信として妥当になります。

誤りやすいポイント

• POP3を選ぶミス
  POP3はPC→メールサーバ間（社内）でありインターネットには出ていないため設問条件外です。
• プロキシを介さない直接HTTP通信を選ぶミス
  表2ではPC→インターネット直接HTTPは「拒否」なので「止めることはできない」に該当しません。
• 「P社提供リストにあるURL」を挙げるミス
  これは拒否されるので「止められない」という条件に合致しません。
• FWログではなくプロキシログだけを根拠にするミス
  設問では“ログの分析”とありFWログも取得されるケースを踏まえる必要があります。

FAQ

解答の論理構成

• 【問題文】は、⑧を「ウイルスの活動によるPCからインターネットへの通信のうち、止めることはできるがログを分析しても検出できない通信」と定義しています。
• PC は通常、表2の項番6「PC, 事務サーバ、設計管理サーバ、CAD/CAM システム → プロキシサーバ／代替 HTTP／許可／取得する」により Web アクセスを プロキシサーバ経由で行います。ここではログが取得されるため、通信内容を後から分析できます。
• ところが PC が プロキシサーバを利用せずに外部 Web サーバへ直接 HTTP などでアクセスした場合、FW-A では表2の項番10「全て → 全て／全て／拒否／取得しない」に該当し、通信は遮断されますがログは残りません。
• したがって「止めることはできる（項番10で拒否）」一方で「ログを分析しても検出できない（取得しない）」という条件に合致するのは、 プロキシサーバを経由しない PC からインターネット上のサーバへの通信 です。

誤りやすいポイント

• 「拒否＝必ずログ取得」と思い込み、項番10が「取得しない」であることを見落とす。
• 項番6の許可ログと混同し、「プロキシ経由通信」を⑧と誤答する。
• ⑦と⑧を逆に解釈し、「止められないが検出できる通信」をここで答えてしまう。

FAQ