情報処理安全確保支援士 2015年 春期 午後2 問01

解答の論理構成

1. 【問題文】には
   “DNS機能では、DNSの拡張仕様である a を用いた、公開鍵暗号方式によるディジタル署名のDNSレコードへの付加と、DNS応答のディジタル署名の検証が可能である。”
   と記載されています。
2. “DNSの拡張仕様” で “公開鍵暗号方式によるディジタル署名” を扱う技術は「DNSSEC」（Domain Name System Security Extensions）です。
   • DNSSECはゾーン内のレコードに電子署名を付加し、応答側では署名を検証することで、改ざんやキャッシュポイズニングを防ぎます。
3. したがって a に入る適切な字句は
   DNSSEC
   となります。

誤りやすいポイント

• TSIG と混同する
  TSIGはゾーン転送など一部通信をMACで保護する仕組みであり、レコードへの電子署名付与と検証を行うDNSSECとは目的と範囲が異なります。
• DNS over TLS／HTTPSと誤認する
  これらはDNS通信を暗号化するもので、レコード自体の真正性保証を行うDNSSECとは別概念です。
• “DNSCrypt” と勘違いする
  DNSCryptも通信経路の暗号化が主であり、“拡張仕様” として公式IETF標準化されたDNSSECとは異なります。

FAQ

解答の論理構成

1. 問題文の引用
   • DNSサーバの説明
     「インターネットからの再帰的な名前解決問合せを拒否することによって、このDNSサーバが、b リゾルバとして踏み台にされないようにしている。」
   • 外部メールサーバの説明
     「メール転送機能では、SMTPの c 中の宛先情報を用いた不正中継防止設定が可能である。」
2. b の導出
   • 再帰的な問い合わせを無差別に受け付けるDNSサーバは「オープンリゾルバ」と呼ばれ、DDoS攻撃の踏み台に悪用される。
   • 文脈は“踏み台にされないようにしている”であり、対策対象はまさにオープンリゾルバである。
     ⇒ b ＝ 「オープン」
3. c の導出
   • SMTPには“ヘッダ”と“エンベロープ”の二つの宛先情報が存在する。
   • 不正中継防止では、RCPT TOなどエンベロープレベルの宛先をチェックするのが一般的。
   • 文中の「SMTPの ___ 中の宛先情報」が不正中継判定に用いられることから、該当語は「エンベロープ」である。
     ⇒ c ＝ 「エンベロープ」
4. よって解答
   b：オープン
   c：エンベロープ

誤りやすいポイント

• b を「キャッシュ」や「フォワード」などと誤記する。踏み台化の対象は“再帰的応答を世界に公開している”状況である点に着目する。
• c を「ヘッダ」と答えてしまう。ヘッダは送信後でも改ざんしやすく、中継判定には不向き。SMTPコマンドレベルで扱う“エンベロープ”を用いることが実践的対策となる。
• DNSとSMTP、異なるプロトコルの文脈を混同し、キーワードを取り違える。

FAQ

解答の論理構成

1. 外部メールサーバの仕様
   • 【問題文　表2】
     “外部メールサーバ…SMTPのc中の宛先情報を用いた不正中継防止設定…宛先メールアドレスのドメイン名が d であるメールは内部メールサーバに転送し、それ以外のメールは拒否する。”
   • ここから、d には「社内メールだけを許可する自組織のドメイン名」を入れる必要があると分かります。
2. N社が使用するドメイン名の確認
   • 【問題文 冒頭】
     “ドメイン名として n-sha.co.jp を使用しており…”
   • 【問題文 表1】
     “user@n-sha.co.jp”、“saiyou@n-sha.co.jp”…と全て“@n-sha.co.jp”を用いている。
   • したがって、N社の正式なメールドメインは“n-sha.co.jp”であることが明白です。
3. 結論
   • 不正中継防止の条件に設定すべきドメイン名は“N社が保有する唯一のメールドメイン”なので、d ＝ “n-sha.co.jp” となります。

誤りやすいポイント

• MXレコード名（mail.n-sha.co.jp など）と混同し、サブドメインを記入してしまう。
• “@” を含めた “@n-sha.co.jp” と書いてしまう。宛先メールアドレスの「ドメイン名」だけを求められている点に注意。
• 会社名表記“nsha.co.jp”や“n-sha.co”など、ハイフンやトップレベルを誤って省略する。

FAQ

解答の論理構成

1. 図3では、SMTPウイルススキャンの検出時に
   ・次のメールアドレス宛ての、ウイルススキャンしたメールのヘッダ部分を添付した通知メールの送信
   – 運用グループ用メールアドレス
   – PCから送信されたメールの場合、送信者メールアドレス
   – 外部メールサーバから転送されたメールの場合、宛先のメールアドレス
   ここで、eに送信するのではなく、宛先のメールアドレスに送信するのは、eに通知メールを送信すると迷惑メールになる可能性があるからである。
   と定義されている。
2. 「ここで、eに送信するのではなく、宛先のメールアドレスに送信する」と書かれているのは「外部メールサーバから転送されたメールの場合」の説明に対応している。
3. その直前のリストには「PCから送信されたメールの場合、送信者メールアドレス」が記載されており、外部メール→内部転送のケースでも本来は「送信者メールアドレス」に送ることが考えられる。
4. しかし「eに通知メールを送信すると迷惑メールになる可能性がある」とあるため、eは「送信者メールアドレス」でなければ文意が成立しない。
5. よって e に入る語句は
   送信者メールアドレス

誤りやすいポイント

• 「宛先のメールアドレス」と混同しやすい。設問では外部から転送されたメールで「宛先」に送る理由が説明されているため、e は対になる「送信者メールアドレス」であると読み解く。
• 「運用グループ用メールアドレス」と誤答するケースがあるが、本文で “送信すると迷惑メールになる可能性” の対象は社外の個人アドレスを意味しており、社内の運用グループには該当しない。
• リストの順序を把握せず「PCから送信されたメールの場合」の行を読み飛ばしてしまうと判断材料を失う。

FAQ

解答の論理構成

• 【問題文】では、初期設定用ネットワークを追加した目的として「OS、ウイルス対策ソフトなどN社で定めたソフトウェアのインストール、脆弱性修正プログラムの適用、ウイルス定義ファイルの更新」を効率化したいと述べています。
• その上で、E主任は「①初期設定用ネットワークからの接続サイトを制限する設定」をプロキシサーバのURLフィルタリング機能に追加すべきだと指摘しました。
• 初期設定に必要な通信先は、脆弱性修正プログラムを配布するOSベンダのサイトと、ウイルス定義ファイルを配布する「V社のWebサーバ」「W社のWebサーバ」に限られます。
• したがって「許可するURL（ホワイトリスト）を上記サイトのみに限定し、それ以外は遮断する」ことで、
  1. 初期設定用PCが不要な外部サイトへ接続するリスクを排除し、
  2. マルウェアなど不要ファイルの混入を防止し、
  3. 帯域を効率利用できます。
• 以上より、解答例「脆弱性修正プログラム及びウイルス定義ファイルを提供するサイトに制限する」が導かれます。

誤りやすいポイント

• 「ブラックリストで遮断」と誤解しがちですが、本設問は“必要最小限のみ許可”するホワイトリスト方式が求められます。
• 「社内Webサーバも許可」と考える受験者がいますが、初期設定時に社内閲覧は不要です。
• URLではなくIPアドレス単位で記述しようとしてしまうケースもありますが、プロキシの機能説明は「URLフィルタリング」です。

FAQ

解答の論理構成

1. 感染したPCは「他のPCやサーバへのネットワークを経由した感染を防ぐために、②先頃、改善されたN社の環境を活用し、マルウェアXを駆除した」（図5(4)）と記載されています。
2. 改善された環境とは、Fさんが導入した「初期設定用ネットワーク」を指します。これは「本社に、初期設定用ネットワークを設置する」（図4(1)）とあり、外部との通信を「初期設定用 FW」で制限するしくみです。
3. マルウェアXの駆除方法として、「W社の駆除ツールを適用すると、マルウェアXを駆除し、感染によって改ざんされたOSの設定を復元する」（図5(2)）と説明されており、駆除ツールは「W社のWebサーバからダウンロードできる」（同）。
4. 初期設定用ネットワークに接続すれば、外部へは「プロキシサーバ」経由で限定的に通信できるため、安全に「W社のWebサーバ」から駆除ツールを取得し実行できます。
5. 以上より、解答は「初期設定用ネットワークに接続し、W社の駆除ツールをダウンロードして適用した」と導かれます。

誤りやすいポイント

• 感染PCを「隔離して手動削除した」と早合点し、駆除ツールの利用を忘れる。
• 改善環境を「プロキシサーバの設定変更」と誤認し、初期設定用ネットワークを含めない。
• 駆除ツールの入手経路を「内部メールサーバ」などと誤答し、図5(2)の記述を見落とす。

FAQ

解答の論理構成

• 【問題文】表2の説明に「URL フィルタリング機能では、…パターンマッチングの方式には、完全一致、部分一致、前方一致又は後方一致のいずれかを指定する」とあります。
• 中継サーバは【問題文】図5(2)で「server.example.net」と示され、同一ドメイン下でパスやサブドメインが変化する複数 URL が想定されます。
• E主任は「この中継サーバを経由する全てのアクセスを遮断」と指示し、Fさんは「③プロキシサーバのサーバ管理者登録ブラックリストに設定を追加」と応えています。
• 可変部分を含む全 URL を一括で遮断するには、サーバ名を“部分一致”に設定しブラックリスト登録するのが最も確実です。
• 以上より「中継サーバのサーバ名を部分一致でマッチさせる」が妥当な設定内容となります。

誤りやすいポイント

• パスやプロトコルを指定し完全一致登録すると、表記ゆれや HTTPS など別プロトコルで通信された際に遮断漏れが発生します。
• ドメイン末尾の後方一致だけを指定すると、偽装された似たドメイン（例：server.example.net.evil.com）を誤遮断できません。
• URL フィルタリング機能のベンダ提供ブラックリストへ登録する、と誤解するケースがありますが、会話では「サーバ管理者登録ブラックリスト」を用いると明示されています。

FAQ

解答の論理構成

1. 感染メールの配信形態
   • 表1より「広報問合せ用メールアドレス『kouhou@n-sha.co.jp』は…営業部広報グループのメンバーのメールアドレス宛てに同報される」と明記されています。
   • したがって、G さんの受信だけでなく、同じメールは広報グループの他メンバーにも配信されていると判断できます。
2. 追加調査の必要性
   • 本文で「E 主任は、図5の(4)では、Gさん宛てのメールだけが対象であったので、追加の調査と対処が必要であると指摘した」とあり、グループ全員のメール確認が求められています。
3. 具体的な対処内容
   • 本文の指摘を受け「Fさんは④メールについて追加の調査と対処を行った」とあるため、 ① 広報グループ全員の受信メールを検索し、 ② マルウェアXを含む同報メールを発見次第削除した、という流れが自然に導かれます。
4. まとめ
   • 以上より、解答は「広報グループ全員に届いた疑いメールを調査し、マルウェアXを含むメールを削除した」という内容になります。

誤りやすいポイント

• 「管理用メールアドレス」は3種類ありますが、今回の感染源は「kouhou@n-sha.co.jp」です。他の管理用アドレスと混同しないよう注意が必要です。
• 削除対象は“全社員”ではなく“同報を受けた広報グループのメンバー”だけです。
• 「調査だけ」「削除だけ」と片方しか書かないと減点対象になります。調査＋対処の両方が求められています。

FAQ

解答の論理構成

1. 図3の現状設定では
   「検出の場合は、結果を次の方法で通知する。」
   「不検出及びスキャン不能の場合は、結果を通知しない設定としている。」
   と明記されており、スキャン不能 では通知が行われない仕組みでした。
2. しかし本文でＥ主任は
   「パスワードを用いて暗号化されたファイルを添付したメールがインターネットから届いた場合に、メールの受信者に注意を喚起する必要がある」
   と指摘しています。暗号化添付はウイルススキャンができず スキャン不能 となるため、通知しなければ受信者に危険が伝わりません。
3. 指摘を受けてＦさんは「⑤図3中の結果の通知条件を変更した」。
   変更の目的は“スキャン不能＝暗号化添付” のケースでも警告を届けることです。
4. したがって、変更内容は
   「スキャン不能の場合も通知するようにした」
   となります。

誤りやすいポイント

• 「HTTPウイルススキャン（図2）」と混同し、HTTP側の設定変更を書いてしまう。
• 不検出 まで通知対象と誤解し、全結果通知と答えてしまう。
• 図3の引用文を確認せず、もともと通知されていると思い込む。

FAQ

解答の論理構成

1. 指示内容の確認
   　本文には「ウイルス感染防止のためのウイルス対策集中管理ソフトの活用方法も考えるよう指示した」とあります。
2. 活用できる機能の抽出
   　図6には、集中管理ソフトが
   　・「ウイルス定義ファイルをダウンロードして更新するように、PCに対して動作指示を送信する」
   　・「フルスキャンを実行するように、PCに対して動作指示を送信する」
   　・「PCからアップロードされるウイルス感染情報を保管する」
   　と記載されています。
3. 機能と目的の合致
   　(1) 定義ファイル未更新やフルスキャン未実施の端末は感染確率が高い。
   　(2) 感染情報をもとに該当端末を特定し駆除まで行えば被害拡大を防げる。
4. 具体的な活用方法（解答例）
   　①「ウイルス定義ファイルが更新されないPCを指定して、ウイルス定義ファイルを更新させる。」
   　②「1週間を超えてフルスキャンが実行されないPCを指定して、フルスキャンを実行させる。」
   　（または③「アップロードされるウイルス感染情報を基に感染したPCを特定し、ウイルスを駆除する。」でも可）
   　これらはすべて上記機能を直接利用した運用であり、指示に合致します。

誤りやすいポイント

• 集中管理ソフトの機能範囲を越え、ネットワーク遮断やURLフィルタ更新など別製品の対策を書いてしまう。
• 「ダウンロード元の見直し」など既に実施済みの施策を再掲してしまう。
• 単なる監視報告（ログ閲覧）だけを書き、感染防止としての“能動的な動作指示”が欠ける。

FAQ

解答の論理構成

1. 【問題文】の図8では、入力された
   連絡用メールアドレス と お問合せ内容 が、そのまま
   18～20行目に反映されて採用グループへメール送信される仕様です。
   18 お名前 : ZZ 様
   19 連絡用メールアドレス : user-zz@example.ne.jp
   20 お問合せ内容 :
   21 採用募集案内についてご連絡ください。
2. H さんは「採用問合せ用Webフォームを悪用されるおそれがある」と指摘しました。
   この“悪用”とは、入力値を加工せずそのままメール本文に含める仕様を利用し、 (a) 第三者に“公式ドメイン n-sha.co.jp”からメールを送り付ける
   (b) しかも本文には“不正サイトへの URL”を載せてクリックさせる
   という反射型スパム／フィッシングを行える点です。
3. したがって攻撃者はフォームに
   ・連絡用メールアドレス欄 … 実際にメールを送り付けたい「攻撃対象のメールアドレス」
   ・お問合せ内容欄 … 被害者を誘導したい「不正サイトの URL」
   を入力するだけで、当社を装ったメールが自動送信されます。
4. 以上より、設問「何を入力すれば悪用できるか」の解答は
   連絡用メールアドレス：攻撃対象のメールアドレス
   お問合せ内容：誘導するWebサイトのURL
   となります。

誤りやすいポイント

• 送信先を「saiyou@n-sha.co.jp」と答えてしまう
  → インターネット上の第三者にメールを送ることが攻撃目的です。
• 「スクリプト」や「XSSコード」と書く
  → 本問はURLを使ったフィッシング想定で、コード注入ではありません。
• お問合せ内容に「ウイルス付きファイルを添付」と答える
  → 添付機能は無く、本文にURLを書かせる仕様が問題視されています。

FAQ

解答の論理構成

1. 【問題文】には
   “当社で使用しているメールソフトでは、“http://”と“https://”で始まる文字列だけは、行頭であっても、行中であっても、クリック可能なURLとして表示されます。”
   とあります。したがって、http:// または https:// という連続した文字列を壊せばクリック可能な URL ではなくなります。
2. さらに
   “図10の処理では、図11に示す文字列を入力すると、クリック可能なURLとして表示されてしまいます。”
   とあるため、replaceAll("(?i)https?://"、"") だけでは不十分であり、別の加工が必要です。
3. 加工方法の一例として【模範解答】は
   “f：「hhttp://ttp」…”
   を挙げています。
4. hhttp://ttp は
   ① 先頭を h で増やし、 ② 末尾に ttp を追加することで
   オリジナルの http:// を途中で分断しつつ目視では URL と分かる形を保っています。
   これによりメールソフトは http:// を検出できずリンク化されません。
5. よって、f に入る適切な文字列の一つは
   hhttp://ttp
   になります。

誤りやすいポイント

• http の綴りを途中で改変すれば良いと考えて ht tp:// のように空白を入れると、改行時の折り返しやコピー＆ペーストで空白が削除され再びリンク化される恐れがあります。
• replaceAll の正規表現を強化するだけでは、ユーザが意図的に別の書式（例：全角文字混在）で入力した場合に抜け穴が残る可能性があります。
• “https” も対象であることを忘れ、http:// だけを処理してしまうと安全性が確保できません。

FAQ