情報処理安全確保支援士 2016年 秋期 午後1 問03

　 　Q社は従業員数1,000名の医薬品製造会社である。Q社では、セキュリティ対策を強化するために、ブラックリスト指定のURLフィルタリング機能だけを有しているプロキシサーバ（以下、プロキシ1という）を、セキュリティ機能が豊富な新しいプロキシサーバ（以下、プロキシ2という）に更新するプロジェクトを開始した。Q社のネットワーク構成を図1に示す。

　情報システム部（以下、情シ部という）は、情報システムの管理及び情報セキュリティインシデントの対応を行っている。サーバ管理業務は、情シ部のサーバ管理者が行う。情シ部にはサーバ管理者が複数人いる。サーバ管理者は各種設定などのサーバ管理業務を行う場合だけ、1台の管理PCに自分の管理者IDでログオンし、OSの管理用のコマンドなどを使用する。OSの管理用のコマンドは、一般利用者でも起動可能なものもある。管理PCはサーバ管理業務だけに用い、Webブラウザによるインターネット接続及び電子メール（以下、メールという）の送受信はできないように設定されている。管理PCでの作業後には、開始日時、終了日時及び作業者名を記録する運用が徹底されている。 　Q社の従業員は、一人1台貸与された社員PCを使用している。管理PC及び社員PCには、全て、固定IPアドレスが割り振られている。社員PCからインターネットへの通信は、外部メールサーバ経由のメールの送受信と、プロキシ1経由のHTTP及びHTTP over TLSでのWebアクセスだけが利用できるようになっている。社員PCのWebブラウザは、インターネット接続時に、プロキシ1を経由するよう設定されている。社員PCにはOSの管理用のコマンドはインストールされていない。 　PCのプログラム起動禁止設定は、PC管理サーバによって、全て一括管理されている。プログラム起動禁止設定には、プログラム名が一致した場合にプログラムの起動を禁止にする方式と、プログラムの実行ファイルのハッシュ値が一致した場合に禁止する方式があり、両方の方式を組み合わせた設定もできる。Q社は、複数のP2Pプログラムのプログラム名を指定して起動を禁止している。 　サーバ及びPCでは、ログオン、ログオフ及び操作のログを、ネットワーク機器では通信ログをそれぞれ取得している。プロキシ1では、日時、接続先URL、送信元IPアドレス、ステータスコード、応答のサイズなどのログを取得している。 　プロキシ2の機能を表1に示す。

　プロキシ2のカテゴリ単位フィルタリング機能のために、ニュース、ゲーム、外部ストレージサービスなどのカテゴリが用意されており、これらについては、カテゴリごとに分類されたURLリストが随時更新され、プロキシベンダのWebサイトを通じて提供される。サーバ管理者がカテゴリを選んで、通常は“遮断”を指定する。URLフィルタリングとカテゴリ単位フィルタリングで同じURLが設定された場合は、URLフィルタリングによる設定が優先される。URLフィルタリングのホワイトリスト、ブラックリストで同じ URL が設定された場合は、ホワイトリストの設定が優先される。 　Q社では、フィルタリング機能の設定は、情シ部のサーバ管理者が行う。 　 〔プロキシ更新〕 　情シ部ではプロキシ1からプロキシ2への更新を、次に述べるフェーズ1～3の3段階で行うことにした。 　フェーズ1では、プロキシ1と社員 PC との通信方法を変えずに、DMZ にプロキシ2を導入し、プロキシ1とインターネット間の通信を、全てプロキシ2経由とする。プロキシ1の URL フィルタリング機能を無効にして、プロキシ2のフィルタリング機能の一部だけを有効にする。ログについては、プロキシ2で、プロキシ1と同じ項目のログを取得するよう設定する。 　フェーズ2では、プロキシ2のフィルタリング機能及びプロキシ認証機能を強化する。 　フェーズ3では、社員 PC のWebブラウザのプロキシ設定をプロキシ1からプロキシ2に変更し、プロキシ1を撤去する。 　このようにフェーズ分けを行うのは、情シ部の次の二つの判断による。 　・社員 PC の導入時期が異なるので、複数種類、複数バージョンのWebブラウザが使用されており、プロキシ2に切り替えると不具合が発生する可能性が高い。 　・何らかの不具合が発生した場合に、迅速に旧環境への切り戻しができる。 　 〔情報セキュリティインシデントの発生と対応〕 　フェーズ1開始後まもなく、海外のセキュリティ専門業者から、C&C（Command＆Control）サーバにQ社からの通信の記録があるとの連絡があった。情シ部の J部長が経営陣に報告し、情報セキュリティスペシャリストの T さんとともに調査したところ、次のことが分かった。 　・文書ファイルが添付されたメールが複数の従業員宛てに届いた。 　・そのうち、営業部の Uさんが添付ファイルを開いたので、Uさんの社員 PC がマルウェア（以下、マルウェア Z という）に感染した。 　・マルウェア Z は、文書ファイルのマクロとして実装されていた。マルウェア Z は、Uさんの社員PC上で動作し、文書閲覧ソフトの脆弱性を悪用してC&Cサーバと通信し、攻撃用プログラムを当該PC上にダウンロードして起動させた。 　・攻撃用プログラムは、OSの管理用のコマンドをUさんの社員PC上に複数ダウンロードして起動させ、サーバ情報を窃取した。 　・マルウェアZには、ネットワークで接続された他のPCやサーバに感染を広げる機能がある。 　・Uさんの社員PC以外には感染したPCやサーバはなかった。 　

　J部長は、不審なメールを受信した場合、添付ファイルや、メール内に記載されているURLをクリックしないよう全従業員に注意喚起を行った。次に、J部長は次の二つを指示した。 　・社員PCで、bのプログラム起動禁止設定を行う。 　・管理PCで、cのプログラム起動禁止設定を行う。 　 〔プロキシサーバにおける追加設定〕 　情シ部は、C&CサーバのURLをプロキシ2のブラックリストに設定した。また、マルウェアの感染の拡大に備えて、今後はプロキシ2によってC&Cサーバへの接続が遮断されたPCをプロキシサーバのログから特定し、直ちにLANから切り離すことにした。ところが、Tさんは、次の問題があることに気付いた。 　・プロキシ1のログだけでは、プロキシ2で遮断したことが確認できない。 　・①プロキシ2のログだけでは送信元PCが特定できない。 　 　そこで、プロキシ1では、HTTPヘッダとしてdヘッダフィールドを追加するように設定し、プロキシ2では、dヘッダフィールドをログに出力するように設定した。 　情シ部は、インシデント対応を完了し、プロジェクトをフェーズ2に進めた。 　 〔フェーズ2の開始〕 　フェーズ2において、情部は、まず、②プロキシ認証に対応したマルウェアも多いとの調査報告を踏まえ、効果が完全ではないことを認識しながらも、プロキシ2のプロキシ認証機能を有効にした。 　次に、計画どおりプロキシ2のカテゴリ単位フィルタリング機能を用いて、業務に不要と思われるカテゴリを“遮断”に設定した。すると、一部の部門から、業務で使用しているWebサイトが使用できなくなったとの連絡があった。そこで、業務に不要と思われるカテゴリを“検知”に設定し、1か月間運用した後、③業務に必要かつ安全であることを確認したURLは許可し、それ以外のURLは遮断することにした。 　情シ部は、問題がないことを確認後、プロジェクトをフェーズ3に進めた。