情報処理安全確保支援士 2015年 春期 午後2 問01

解答の論理構成

1. 【問題文】には
   “DNS機能では、DNSの拡張仕様である a を用いた、公開鍵暗号方式によるディジタル署名のDNSレコードへの付加と、DNS応答のディジタル署名の検証が可能である。”
   と記載されています。
2. “DNSの拡張仕様” で “公開鍵暗号方式によるディジタル署名” を扱う技術は「DNSSEC」（Domain Name System Security Extensions）です。
   • DNSSECはゾーン内のレコードに電子署名を付加し、応答側では署名を検証することで、改ざんやキャッシュポイズニングを防ぎます。
3. したがって a に入る適切な字句は
   DNSSEC
   となります。

誤りやすいポイント

• TSIGと混同する
  TSIGはゾーン転送など一部通信をMACで保護する仕組みであり、レコードへの電子署名付与と検証を行うDNSSECとは目的と範囲が異なります。
• DNS over TLS／HTTPSと誤認する
  これらはDNS通信を暗号化するもので、レコード自体の真正性保証を行うDNSSECとは別概念です。
• “DNSCrypt” と勘違いする
  DNSCryptも通信経路の暗号化が主であり、“拡張仕様” として公式IETF標準化されたDNSSECとは異なります。

FAQ

解答の論理構成

1. 問題文の引用
   • DNSサーバの説明
     「インターネットからの再帰的な名前解決問合せを拒否することによって、このDNSサーバが、b リゾルバとして踏み台にされないようにしている。」
   • 外部メールサーバの説明
     「メール転送機能では、SMTPの c 中の宛先情報を用いた不正中継防止設定が可能である。」
2. b の導出
   • 再帰的な問い合わせを無差別に受け付けるDNSサーバは「オープンリゾルバ」と呼ばれ、DDoS攻撃の踏み台に悪用される。
   • 文脈は“踏み台にされないようにしている”であり、対策対象はまさにオープンリゾルバである。
     ⇒ b ＝ 「オープン」
3. c の導出
   • SMTPには“ヘッダ”と“エンベロープ”の二つの宛先情報が存在する。
   • 不正中継防止では、RCPT TOなどエンベロープレベルの宛先をチェックするのが一般的。
   • 文中の「SMTPの ___ 中の宛先情報」が不正中継判定に用いられることから、該当語は「エンベロープ」である。
     ⇒ c ＝ 「エンベロープ」
4. よって解答
   b：オープン
   c：エンベロープ

誤りやすいポイント

• b を「キャッシュ」や「フォワード」などと誤記する。踏み台化の対象は“再帰的応答を世界に公開している”状況である点に着目する。
• c を「ヘッダ」と答えてしまう。ヘッダは送信後でも改ざんしやすく、中継判定には不向き。SMTPコマンドレベルで扱う“エンベロープ”を用いることが実践的対策となる。
• DNSとSMTP、異なるプロトコルの文脈を混同し、キーワードを取り違える。

FAQ

解答の論理構成

1. 外部メールサーバの仕様
   • 【問題文　表2】
     “外部メールサーバ…SMTPのc中の宛先情報を用いた不正中継防止設定…宛先メールアドレスのドメイン名が d であるメールは内部メールサーバに転送し、それ以外のメールは拒否する。”
   • ここから、d には「社内メールだけを許可する自組織のドメイン名」を入れる必要があると分かります。
2. N社が使用するドメイン名の確認
   • 【問題文 冒頭】
     “ドメイン名としてn-sha.co.jpを使用しており…”
   • 【問題文 表1】
     “user@n-sha.co.jp”、“saiyou@n-sha.co.jp”…と全て“@n-sha.co.jp”を用いている。
   • したがって、N社の正式なメールドメインは“n-sha.co.jp”であることが明白です。
3. 結論
   • 不正中継防止の条件に設定すべきドメイン名は“N社が保有する唯一のメールドメイン”なので、d ＝ “n-sha.co.jp” となります。

誤りやすいポイント

• MXレコード名（mail.n-sha.co.jpなど）と混同し、サブドメインを記入してしまう。
• “@” を含めた “@n-sha.co.jp” と書いてしまう。宛先メールアドレスの「ドメイン名」だけを求められている点に注意。
• 会社名表記“nsha.co.jp”や“n-sha.co”など、ハイフンやトップレベルを誤って省略する。

FAQ

解答の導き方

誤りやすいポイント

• 「外部メールサーバ」を空欄に入れる誤り：文章中に「外部メールサーバから転送された場合」とあるため混同しやすいが、空欄は「どのアドレスへ送らないか」を示す語であり「外部メールサーバ（サーバ名）」ではなく「送信者側のアドレス」を指す。
• 「運用グループ用メールアドレス」と混同する誤り：これは常に通知する固定先なので対比の対象ではない点を見落とさないこと。
• 条件の読み飛ばし：各箇所の条件（PC送信時／外部転送時）を正確に把握すると、どのアドレスと対比されているかが明確になるため、条件ごとに対応を整理して読むことが重要です。

FAQ

解答の論理構成

• 【問題文】では、初期設定用ネットワークを追加した目的として「OS、ウイルス対策ソフトなどN社で定めたソフトウェアのインストール、脆弱性修正プログラムの適用、ウイルス定義ファイルの更新」を効率化したいと述べています。
• その上で、E主任は「①初期設定用ネットワークからの接続サイトを制限する設定」をプロキシサーバのURLフィルタリング機能に追加すべきだと指摘しました。
• 初期設定に必要な通信先は、脆弱性修正プログラムを配布するOSベンダのサイトと、ウイルス定義ファイルを配布する「V社のWebサーバ」「W社のWebサーバ」に限られます。
• したがって「許可するURL（ホワイトリスト）を上記サイトのみに限定し、それ以外は遮断する」ことで、
  1. 初期設定用PCが不要な外部サイトへ接続するリスクを排除し、
  2. マルウェアなど不要ファイルの混入を防止し、
  3. 帯域を効率利用できます。
• 以上より、解答例「脆弱性修正プログラム及びウイルス定義ファイルを提供するサイトに制限する」が導かれます。

誤りやすいポイント

• 「ブラックリストで遮断」と誤解しがちですが、本設問は“必要最小限のみ許可”するホワイトリスト方式が求められます。
• 「社内Webサーバも許可」と考える受験者がいますが、初期設定時に社内閲覧は不要です。
• URLではなくIPアドレス単位で記述しようとしてしまうケースもありますが、プロキシの機能説明は「URLフィルタリング」です。

FAQ

解答の論理構成

1. 感染したPCは「他のPCやサーバへのネットワークを経由した感染を防ぐために、②先頃、改善されたN社の環境を活用し、マルウェアXを駆除した」（図5(4)）と記載されています。
2. 改善された環境とは、Fさんが導入した「初期設定用ネットワーク」を指します。これは「本社に、初期設定用ネットワークを設置する」（図4(1)）とあり、外部との通信を「初期設定用FW」で制限するしくみです。
3. マルウェアXの駆除方法として、「W社の駆除ツールを適用すると、マルウェアXを駆除し、感染によって改ざんされたOSの設定を復元する」（図5(2)）と説明されており、駆除ツールは「W社のWebサーバからダウンロードできる」（同）。
4. 初期設定用ネットワークに接続すれば、外部へは「プロキシサーバ」経由で限定的に通信できるため、安全に「W社のWebサーバ」から駆除ツールを取得し実行できます。
5. 以上より、解答は「初期設定用ネットワークに接続し、W社の駆除ツールをダウンロードして適用した」と導かれます。

誤りやすいポイント

• 感染PCを「隔離して手動削除した」と早合点し、駆除ツールの利用を忘れる。
• 改善環境を「プロキシサーバの設定変更」と誤認し、初期設定用ネットワークを含めない。
• 駆除ツールの入手経路を「内部メールサーバ」などと誤答し、図5(2)の記述を見落とす。

FAQ

解答の導き方

• 「完全一致」は登録文字列と対象全体が完全に一致する場合のみマッチします。登録文字列を「server.example.net」としても、対象のホスト名が「www.example.com.server.example.net」のように前後に別要素がある場合は一致しません。したがって不十分です。
• 「前方一致」は対象の先頭が登録文字列と一致する場合にマッチします。攻撃者が「server.example.net.evil.com」のように先頭に配置した場合はマッチしますが、図示の「www.example.com.server.example.net」にはマッチしません。
• 「後方一致」は対象の末尾が登録文字列と一致する場合にマッチします。図示の「www.example.com.server.example.net」には一致しますが、攻撃者が別の構成で「server.example.net」を先頭や途中に置く場合は検出できません。
• 「部分一致」は登録文字列が対象の任意の位置に含まれていればマッチします。したがって「www.example.com.server.example.net」や「server.example.net.evil.com」など、登録文字列がホスト名のどの位置に現れても検出できます。

誤りやすいポイント

• 「部分一致」を安易に使うと、本来意図しない正当なサイトまで遮断する恐れがある点を見落としやすいです。部分一致は文字列がどこに出現してもマッチするため、ドメイン名の境界を考慮しない登録は誤遮断につながります。
• 各方式（「完全一致」「前方一致」「後方一致」「部分一致」）の意味を混同しやすいです。具体例を想定して「登録文字列が先頭／末尾／任意位置のどれを狙うか」を整理してから選ぶ必要があります。
• プロキシの実装によってはブラックリストがURL全体に対する照合なのかホスト名部分だけに対する照合なのか挙動が異なるため、運用前に動作確認やログで検証しないと期待した遮断にならないことがあります。
• ブロック方針を決めたらログを収集して誤検知（正当な通信の遮断）がないか確認し、必要に応じてパターンを修正する運用が必要です。

FAQ

解答の論理構成

1. 感染メールの配信形態
   • 表1より「広報問合せ用メールアドレス『kouhou@n-sha.co.jp』は…営業部広報グループのメンバーのメールアドレス宛てに同報される」と明記されています。
   • したがって、Gさんの受信だけでなく、同じメールは広報グループの他メンバーにも配信されていると判断できます。
2. 追加調査の必要性
   • 本文で「E主任は、図5の(4)では、Gさん宛てのメールだけが対象であったので、追加の調査と対処が必要であると指摘した」とあり、グループ全員のメール確認が求められています。
3. 具体的な対処内容
   • 本文の指摘を受け「Fさんは④メールについて追加の調査と対処を行った」とあるため、 ① 広報グループ全員の受信メールを検索し、 ② マルウェアXを含む同報メールを発見次第削除した、という流れが自然に導かれます。
4. まとめ
   • 以上より、解答は「広報グループ全員に届いた疑いメールを調査し、マルウェアXを含むメールを削除した」という内容になります。

誤りやすいポイント

• 「管理用メールアドレス」は3種類ありますが、今回の感染源は「kouhou@n-sha.co.jp」です。他の管理用アドレスと混同しないよう注意が必要です。
• 削除対象は“全社員”ではなく“同報を受けた広報グループのメンバー”だけです。
• 「調査だけ」「削除だけ」と片方しか書かないと減点対象になります。調査＋対処の両方が求められています。

FAQ

解答の論理構成

1. 図3の現状設定では
   「検出の場合は、結果を次の方法で通知する。」
   「不検出及びスキャン不能の場合は、結果を通知しない設定としている。」
   と明記されており、スキャン不能 では通知が行われない仕組みでした。
2. しかし本文でＥ主任は
   「パスワードを用いて暗号化されたファイルを添付したメールがインターネットから届いた場合に、メールの受信者に注意を喚起する必要がある」
   と指摘しています。暗号化添付はウイルススキャンができず スキャン不能 となるため、通知しなければ受信者に危険が伝わりません。
3. 指摘を受けてＦさんは「⑤図3中の結果の通知条件を変更した」。
   変更の目的は“スキャン不能＝暗号化添付” のケースでも警告を届けることです。
4. したがって、変更内容は
   「スキャン不能の場合も通知するようにした」
   となります。

誤りやすいポイント

• 「HTTPウイルススキャン（図2）」と混同し、HTTP側の設定変更を書いてしまう。
• 不検出 まで通知対象と誤解し、全結果通知と答えてしまう。
• 図3の引用文を確認せず、もともと通知されていると思い込む。

FAQ

解答の論理構成

1. 指示内容の確認
   　本文には「ウイルス感染防止のためのウイルス対策集中管理ソフトの活用方法も考えるよう指示した」とあります。
2. 活用できる機能の抽出
   　図6には、集中管理ソフトが
   　・「ウイルス定義ファイルをダウンロードして更新するように、PCに対して動作指示を送信する」
   　・「フルスキャンを実行するように、PCに対して動作指示を送信する」
   　・「PCからアップロードされるウイルス感染情報を保管する」
   　と記載されています。
3. 機能と目的の合致
   　(1) 定義ファイル未更新やフルスキャン未実施の端末は感染確率が高い。
   　(2) 感染情報をもとに該当端末を特定し駆除まで行えば被害拡大を防げる。
4. 具体的な活用方法（解答例）
   　①「ウイルス定義ファイルが更新されないPCを指定して、ウイルス定義ファイルを更新させる。」
   　②「1週間を超えてフルスキャンが実行されないPCを指定して、フルスキャンを実行させる。」
   　（または③「アップロードされるウイルス感染情報を基に感染したPCを特定し、ウイルスを駆除する。」でも可）
   　これらはすべて上記機能を直接利用した運用であり、指示に合致します。

誤りやすいポイント

• 集中管理ソフトの機能範囲を越え、ネットワーク遮断やURLフィルタ更新など別製品の対策を書いてしまう。
• 「ダウンロード元の見直し」など既に実施済みの施策を再掲してしまう。
• 単なる監視報告（ログ閲覧）だけを書き、感染防止としての“能動的な動作指示”が欠ける。

FAQ

解答の論理構成

1. 【問題文】の図8では、入力された
   連絡用メールアドレス と お問合せ内容 が、そのまま
   18～20行目に反映されて採用グループへメール送信される仕様です。
   18 お名前 : ZZ様
   19 連絡用メールアドレス : user-zz@example.ne.jp
   20 お問合せ内容 :
   21 採用募集案内についてご連絡ください。
2. Hさんは「採用問合せ用Webフォームを悪用されるおそれがある」と指摘しました。
   この“悪用”とは、入力値を加工せずそのままメール本文に含める仕様を利用し、 (a) 第三者に“公式ドメインn-sha.co.jp”からメールを送り付ける
   (b) しかも本文には“不正サイトへのURL”を載せてクリックさせる
   という反射型スパム／フィッシングを行える点です。
3. したがって攻撃者はフォームに
   ・連絡用メールアドレス欄 … 実際にメールを送り付けたい「攻撃対象のメールアドレス」
   ・お問合せ内容欄 … 被害者を誘導したい「不正サイトのURL」
   を入力するだけで、当社を装ったメールが自動送信されます。
4. 以上より、設問「何を入力すれば悪用できるか」の解答は
   連絡用メールアドレス：攻撃対象のメールアドレス
   お問合せ内容：誘導するWebサイトのURL
   となります。

誤りやすいポイント

• 送信先を「saiyou@n-sha.co.jp」と答えてしまう
  → インターネット上の第三者にメールを送ることが攻撃目的です。
• 「スクリプト」や「XSSコード」と書く
  → 本問はURLを使ったフィッシング想定で、コード注入ではありません。
• お問合せ内容に「ウイルス付きファイルを添付」と答える
  → 添付機能は無く、本文にURLを書かせる仕様が問題視されています。

FAQ

解答の導き方

1. 問題で注目すべき記述は次の二つです。
   • 図10の処理で文字列置換を行っていること：「String resultMailBody = mailBody.replaceAll("(?i)https?://", "");」。この処理は大文字小文字を区別せずに「http://」または「https://」にマッチする部分を削除します。
   • メール表示ルール：「当社で使用しているメールソフトでは、“http://”と“https://”で始まる文字列だけは、行頭であっても、行中であっても、クリック可能なURLとして表示されます。」（図8）。
2. 図11は入力文字列の形式を示しています：「[f]://www.example.ne.jp/~kojin/rirekisho.pdf」。ここにどんな文字列を入れると、図10の置換処理を通しても最終的に「http://」あるいは「https://」で始まる文字列が残り、メールソフトでリンク化されるかを考えます。
3. 具体例を一つ選びます（設問は1つ挙げればよい）。[f] に次を入れるとします：hhttp://ttp
4. これを図11に当てはめると元の本文は次のようになります。
   「hhttp://ttp://www.example.ne.jp/~kojin/rirekisho.pdf」
5. 図10の置換処理を適用します。replaceAll("(?i)https?://", "") は文字列中のすべての "http://" または "https://" を削除します。上の文字列には位置1（先頭の 'h' の直後）から "http://" が存在するため、それが削除されます。削除の結果は次のように連結されます。
   ・削除前（区切って示す）: h | http:// | ttp://www.example...
   ・"http://" 部分を削除すると残るのは: h + ttp://www.example... つまり 「http://www.example.ne.jp/~kojin/rirekisho.pdf」 になります。
6. 最終的に「http://...」で始まる文字列が残るため、メールソフトはこれをクリック可能なURLとして表示します（図8のルール）。したがって、図10の単純な置換は図11のような入力に対して不完全であり、[f] に入れる文字列の例として 「hhttp://ttp」 が成立します。

誤りやすいポイント

• 「先頭に余分な文字を付ければ安全になる」と考える誤り：置換で内部の "http://" が削除されると、余分な文字と残りの文字列が連結して再び "http://" を構成する可能性がある。今回の例がまさにこのケースです。
• 正規表現の挙動（全置換・非重複マッチ）を誤解すること：replaceAllはマッチする部分をすべて削除するが、削除による前後の連結で新たに目的のパターンが形成され得る。
• 大文字小文字を考慮しない誤り：図10では "(?i)" が付いているため "HTTP://" なども削除対象になる点を忘れると検討が不十分になる。
• メールクライアントのリンク認識ルールを狭く考える誤り：今回のルールは「'http://' または 'https://' で始まるもの」を対象としているため、単に "ttp://" 等が残っていても安全とは断定できない（前後の連結で再構成される可能性がある）。

FAQ