情報処理安全確保支援士 2015年 春期 午後1 問02

解答の論理構成

• 境界装置である「FW」は、送信元ネットワークアドレス変換後の全アウトバウンド通信を把握できます。
  引用：
  「FWはステートフルパケットインスペクション型であり、NAPT機能を使用している。」
• さらに「許可した通信、拒否した通信ともにログを取得するように設定」され、そのログは「全てログ管理サーバに送信」されています。
  → 社外 C&C 宛通信の有無は FW ログを検索すれば一元的に確認可能です。
• したがって、下線①「このIPアドレスから当該C&Cサーバへの通信が発生していたことも確認できた」を具体化すると、 FW のログで該当する送信元 IP／宛先 IP・ポートの記録を照合した、という手順になります。

誤りやすいポイント

• プロキシサーバのアクセスログだけを調べてしまう
  （マルウェアが「プロキシサーバを利用せずに C&C サーバへの接続を試みる」ため、漏れが生じる）。
• 内部サーバや PC のパケットキャプチャを取ろうとする
  → 当時点では過去通信の証跡が残っていない可能性が高く非効率。
• NAT 越しのグローバルアドレスとプライベートアドレスの対応を考慮し忘れ、送信元を特定できない。

FAQ

解答の論理構成

1. 送信元 IP アドレスはインターネット側で観測されたグローバル IP です。
   【問題文】には「FWはステートフルパケットインスペクション型であり、NAPT機能を使用している」とあります。
   NAPT（PAT）では、社内の端末が外部へ出る際に FW 自身のグローバル IP に変換されます。したがって当該 IP は FW のものとなり、a には「FW」が入ります。
2. FW のログをたどると、HTTP 通信を仲介した内部機器が判明します。
   【問題文】には「Webブラウザでのインターネットアクセスは、プロキシサーバを使用するよう設定されている」および FW ルール表で「項番4　プロキシサーバ → インターネット　HTTP, HTTPS　許可」と記載されています。
   つまり社内 PC が HTTP で外部と通信する際は必ずプロキシサーバ経由になります。FW ログに残る “宛先インターネット / 送信元内部” の HTTP はプロキシサーバしか該当しないため、b は「プロキシサーバ」です。
3. プロキシサーバのログから内部 PC のプライベート IP がわかりますが、それだけでは機器を特定できません。
   【問題文】の IT 資産管理サーバに「MACアドレス」を保管している旨と、DHCP の説明により、DHCP ログに記録された IP ⇔ MAC 対応を参照すれば機器を一意に識別できます。
   よって DHCP ログで突き合わせる情報、すなわち c は「MACアドレス」となります。

誤りやすいポイント

• FW が NAT を行っている点を読み落とし、a を「L3SW」や特定サーバと誤答する。
• HTTP 通信の経路を考慮せず、b を「L3SW」や「DHCPサーバ」としてしまう。プロキシを通らない通信は FW で直接遮断されることを確認する必要があります。
• DHCP ログに残る情報を IP と同列に考え、c に「ホスト名」や「管理番号」を書くミス。DHCP が払い出すのは IP ⇔ MAC の対応です。

FAQ

解答の論理構成

1. 図4には「マルウェア内に C&C サーバの FQDN が記述され、C&C サーバへの接続に使用されていた。」とある。すなわち接続先は IP アドレスではなく FQDN で指定される。
2. 同じく図4の下線②で示される「プロキシサーバを利用せずに C&C サーバへの接続を試みる」は、PC から外部 FQDN へ直接 HTTP 通信を出そうとする動作である。
3. しかし L 社 PC の DNS サーバ設定は内部 DNS サーバであり、FW の表2には内部 DNS サーバや PC からインターネット側へ向かう DNS 通信を許可するルールが存在しない。したがって外部 FQDN の名前解決は失敗する。
4. DNS 解決に失敗すると TCP セッション確立に必要な SYN パケットすら生成されないため、FW まで HTTP／HTTPS の通信は到達しない。
5. よって「DNSによる名前解決ができず、TCP/IP接続要求が出ないから」という解答になる。

誤りやすいポイント

• 「HTTP 通信が失敗＝FW で拒否ログが残る」と短絡するミス。実際は DNS フェーズで止まるため FW には全くログが残らない。
• プロキシを使わない＝直接 IP アドレスで接続すると誤解するケース。問題文は FQDN 利用を明記している。
• 「内部 DNS が外部問い合わせをフォワードしているかも」と想定する誤読。表2に該当許可が無いことを見落としやすい。

FAQ

解答の論理構成

1. 既に実施した対策では「FWによる、当該C&Cサーバへの通信の遮断」を行ったが、 「IPアドレスを基にしたFWによる通信の遮断では、C&Cサーバへの通信を完全には遮断できない可能性」が示唆された。
   これは C&C 側が IP を変更すれば再接続できてしまうためです。
2. セキュリティ専門会社の報告（図4）で、マルウェアは
   「マルウェア内に C&C サーバの FQDN が記述され、C&C サーバへの接続に使用」し、 さらに接続手順として
   「Web ブラウザのプロキシ設定を基に、プロキシサーバを利用して接続を試みる」
   と明記されています。つまり最終的にプロキシ経由で通信しようとします。
3. プロキシサーバは表1で
   「ブラックリスト型のURLフィルタリング機能をもつ」
   と説明されています。FQDN ベースでアクセス制御できる機能が既にあるわけです。
4. そこで、マルウェアが用いる「五つの異なる FQDN」をブラックリストに登録すれば、 IP 変更・多重化に影響されずに通信を遮断できます。
   この具体策を 40 字以内でまとめたものが
   「プロキシサーバでC&Cサーバへの通信のURLをブラックリストに設定する。」
   となります。

誤りやすいポイント

• FW のルール追加で十分と考え、FQDN 変動やプロキシ経由通信を見落とす。
• プロキシの「URL フィルタリング」をホワイトリスト型と誤認し、設定方法を逆に書いてしまう。
• マルウェアがまず「プロキシサーバを利用せずに」接続を試みる点ばかりに注目し、既に FW で遮断できている事実を忘れて冗長な回答を書く。

FAQ

解答の論理構成

• C&C サーバには「ファイル配信サーバのホスト名、IT部のVさんに付与された当該サーバの利用者ID及びパスワード」が盗取されていました。
  → 攻撃者は “ファイル配信サーバ” に正規の管理者権限で侵入できる状況です。
• “ファイル配信サーバ” は「パッチの自動配信及びパッチの強制適用に利用されている。」ため、このサーバが改ざんされれば社内 PC・サーバへ瞬時にファイルをばらまけます。
• 図5の下線④は「最初のマルウェア感染後にファイル配信サーバから配信されたファイルの調査」。
  → これは「攻撃者がファイル配信サーバを使い、マルウェアを社内へ再配信していないか」を確認するための調査です。
• 以上から、想定している攻撃は「ファイル配信サーバを踏み台にしたマルウェアばらまき」であり、模範解答のとおり「ファイル配信サーバからマルウェアを拡散する攻撃」となります。

誤りやすいポイント

• ④の調査を「マルウェアが自動で感染を広げるかを確認」と誤認しがちですが、図4には「いずれも自ら感染を広げるタイプではない」と明記されています。
• ファイル配信サーバは “パッチ配信専用” と思い込み、攻撃対象外と判断してしまう。
• VさんのPCだけに着目し、盗取された資格情報の二次利用を見逃す。

FAQ

解答の論理構成

1. 資格情報の漏えいを確認
   • C&C サーバから流出した内容に「L社のファイル配信サーバのホスト名、IT部のVさんに付与された当該サーバの利用者ID及びパスワード」が含まれていたことが【問題文】で明示されています。
2. 3 台の重要サーバに同一 ID でアクセス可能
   • 追加調査 3 により「NTPサーバ、DHCPサーバ兼内部DNSサーバ及びプロキシサーバの3台」が V さんの ID で操作され得ることが判明しています。
3. サービス停止が不可能
   • 「これら3台のサーバは、L社ネットワーク構成において重要であり、サービス停止ができないものであった」と【問題文】に記載されています。
4. 効果的で実行可能な対策の要件
   • 停止できないサーバを守るには“攻撃者が使える資格情報”を無効化するのが最も確実であり、マルウェアが窃取した ID の再利用を防げます。
5. 結論
   • 以上より、下線⑤に入る具体策は「Vさんの利用者IDの無効化」となります。

誤りやすいポイント

• パスワード変更だけで済むと勘違いする
  攻撃者が既にシェルを保持していれば変更前後のパスワードを問わず操作可能です。
• サーバ側で AV スキャンやパッチ適用を優先してしまう
  マルウェアは PC 側にあり、サーバには感染していないため優先順位が逆になります。
• サーバ停止・隔離を選択してしまう
  【問題文】に「サービス停止ができない」と明記されているので実行不可能です。

FAQ

解答の論理構成

1. 問題文は、ログが二重に保存されている仕組みを示しています。
   ――「各サーバは、アクセスログ、操作ログ、ミドルウェアのログ及びアプリケーションプログラムのログをログ管理サーバに送信するとともに、各サーバ上でも直近3か月分のログを保存している。」
   この一文から、①サーバ自身のローカルログと②「ログ管理サーバ」に集約された同一内容のログが存在すると分かります。
2. 「ログ管理サーバ」は改ざんを受けにくい環境です。
   ――「syslog受信に必要なポート以外は全て閉じ、リモートからアクセスできないようにしている。」
   すなわち、ローカルログより信頼度が高く、改ざん検知の“対照データ”として適切です。
3. M部長の問いは「⑥これら3台のサーバ上のログに対する改ざんの痕跡が残っていないことを確認」でした。
   ログ改ざんの有無を調べる最も確実な方法は、信頼できるコピーと突き合わせて整合性を検証することです。ここで使えるコピーが②に当たるログ管理サーバ上のログです。
4. したがって、回答は「ログ管理サーバに保存されているログとの比較」となります。
   ローカルログと中央集約ログを照合し差異を抽出することで、改ざんの挿入・削除・変更を検知できます。

誤りやすいポイント

• ハッシュ値や電子署名の話題に飛びつき、問題文に存在しない前提で回答してしまう。
• 「syslogサーバの設定確認」だけを答え、比較という具体的な確認手順を落とす。
• ログ管理サーバ側も改ざんされる可能性を考え過ぎて、設問の想定外の複雑な対策を記述してしまう。

FAQ