情報処理安全確保支援士 2016年 春期 午後2 問02

　 　Q社は、従業員数700名のシステムインテグレータである。東京、名古屋及び大阪に事業所がある。各事業所では、固定席をもたないフリーアドレスが採用されている。営業員やシステムエンジニアなど、テレワークを行っている社員はモバイラと呼ばれ、モバイルPCとUSBデータ通信端末が貸与されている。モバイラは、休暇や長期出張などの場合を除き、週1時間以上Q社事業所に出社し、モバイルPCを社内LANに接続することが義務付けられている。 　Q社では、モバイルPCを含むIT機器全てを情報システム部（以下、IT部という）が管理している。Q社には、IT全般に関する問合せ窓口としてIT部内にITヘルプデスクが設けられており、電話、電子メール（以下、メールという）、チャットでサポートを行っている。ITヘルプデスクは情報セキュリティに関する問合せも受け付けている。 　 〔モバイラのテレワーク環境〕 　Q社では、モバイラの顧客先などでのテレワークを支援するために、表1に示すクラウドコンピューティングで実現されたサービス（以下、クラウドサービスという）を利用させている。クラウドサービス利用に関するQ社のセキュリティガイドラインを図1に示す。

　Q社のモバイルPCには、マルウェア対策ソフト（以下、AMという）やパーソナルファイアウォール（以下、PFWという）、オフィスソフトウェアなどのQ社が利用を認めたソフトウェア（以下、標準ソフトという）がインストールされている。 　Q社内には、AM管理サーバがあり、社内LANだけからアクセス可能である。モバイルPCは、社内LAN接続時に、AMのログをAM管理サーバにアップロードする。 　Q社のモバイルPCの概要を表2に、Q社のモバイルPCに導入されているPFWの概要を図2に示す。

　Q社には、モバイルPCのバックアップを自動的に取得する仕組みはない。そのため、必要なファイルはNコラボに保管しておくことが推奨されている。 　 〔マルウェアの検知〕 　Q社では、マルウェア検知時の対応手順を、図3のとおり定めている。

　2月1日、名古屋事業所のBさんからITヘルプデスクに“モバイルPCで繰り返しマルウェアが検知される”との連絡が入り、IT部の情報セキュリティ担当者であるCさんが対応した。次は、その時のBさんとCさんの会話である。 　 　Bさん：私のモバイルPCで、先週1週間に3回も同じマルウェアMが検知されました。毎回“駆除済み”と表示されるのですが、駆除できていないのでしょうか。 　Cさん：マルウェア検知時の対応手順に従ってAMのフルスキャンをしましたか。 　Bさん：はい。もちろんです。3回とも実施しましたが、何も検知されませんでした。 　Cさん：問題ないと思いますが、念のためIT部で調査します。モバイルPCのホスト名と最後に社内LANに接続した日を教えてください。 　Bさん：ホスト名はPC01です。今日も、社内LANに接続しています。 　 〔IT部による調査〕 　CさんがAM管理サーバのマルウェア検知ログを調べたところ、PC01ではマルウェアMが3回検知され、駆除されていた。他のマルウェアは検知されていなかった。 　次に、CさんはPFW管理サーバで、マルウェア検知と同じ時間帯の、PC01のPFWのログを確認した。PFWのログには、OS標準のWebブラウザ（以下、標準ブラウザという）のプロセスからの通信だけが記録されていた。 　Cさんが、マルウェア検知と同じ時間帯のJプロキシのログを調査したところ、次のことが分かった。 　・マルウェア検知の直前に3回とも同じURLにアクセスし、同じ長さのコンテンツがダウンロードされていた。 　・当該URLへのHTTP通信は、HTTPリクエストヘッダのUser-Agent（以下、UAという）が標準ブラウザとは異なっていた。 　・HTTPリクエストヘッダには、UAとHostだけが設定されていた。 　 　該当するログは表3のとおりである。

　Cさんは、マルウェアMをダウンロードする未知のマルウェアが、UAをDL2に設定してC&Cサーバと通信していると考えた。JプロキシのログからUAがDL2の通信を検索したところ、次のことが分かった。 　・アクセス先URLは異なるものの、PC01は、1月25日以降ほぼ毎日UAがDL2の通信を行っていた。 　・他にPC02～PC04の3台のモバイルPCが、UAがDL2の通信を行っていた。 　・調査日当日もPC01からUAがDL2の通信があり、“200 OK”が返っていた。 　・①当該アクセス先URLに、Cさんに貸与されているPCの標準ブラウザからアクセスしたところ、“404 Not Found”が返ってきた。 　Cさんは、これらのログの調査から、BさんのモバイルPCでマルウェアの検知・駆除が繰り返される事象は、未知のマルウェアが原因だと結論付けた。 　Cさんは、②当該マルウェアによるモバイルPCからC&Cサーバへの通信をブロックする必要があることと、PC01について専門業者による詳細な調査の必要があることをIT部D部長に説明し、調査依頼の承認を得た。 　Cさんは、C&Cサーバへの通信のブロックを担当者に依頼した。次に、Cさんは、PC01～PC04について、利用者に連絡を取り、IT部への送付を依頼した。Bさんを含む各利用者は、当該モバイルPCをIT部に送付した。 　 〔専門業者による調査〕 　Cさんは、PC01の調査をセキュリティ専門業者のX社に依頼した。X社による調査結果は図4のとおりであった。

　 〔侵入経路と被害状況の調査〕 　X社の報告を受け、Cさんはマルウェアの侵入経路及び外部への情報漏えいの有無を調査した。侵入経路については、WebサイトWからマルウェアをダウンロードしていたことが判明した。WebサイトWで表示していたバナー広告が改ざんされており、当該バナー広告を表示するときに利用するビューア（以下、ビューアVという）の脆弱性を利用して、自動的にダウンローダを導入・実行する攻撃コードが含まれていた。いわゆるbダウンロード攻撃であった。ビューアVは以前に業務上必要があったので標準ソフトとして導入されていたが、現在では必要性はなくなっていた。ビューアVの脆弱性は度々報告されていたが、Q社では標準ソフトの脆弱性を管理しておらず、修正パッチの適用も強制していなかった。 　PC02～PC04も、Bさんと同様に利用者がWebサイトWにアクセスしたことによって感染していた。 　外部への情報漏えいの有無については、各種ログやハードディスクに残されていたファイルの痕跡からは、判断できなかった。PC01～PC04のうち、PC01だけは、お客様プロジェクト関連情報（以下、PJ情報という）を含むファイルがハードディスク上に複数保管されており、いずれも圧縮状態で200kバイト以上であった。一方、Jプロキシのログは、PC01から外部に送信されたHTTP通信のCCLが、全て2kバイト未満であることを示していた。これらから、Cさんは、外部へのPJ情報の漏えいはないと結論付け、調査結果をD部長に報告した。 　次は、調査結果についてのCさんとD部長の会話である。 　 　D部長：この分析結果からPJ情報の漏えいがないと判断するのは無理があります。 　Cさん：なぜですか。 　D部長：まず、PC01についてですが、マルウェアがPJ情報の入ったファイルをcして送信した可能性があります。また、PC01のハードディスクではなく、dやeに格納されていたPJ情報が窃取された可能性もあります。 　Cさん：確かにそうですね。再度調査します。 　 　Cさんは、再度調査を行ったが、PJ情報漏えいの痕跡は発見できなかった。CさんはそのことをD部長に報告した。D部長は調査結果を了承した。 　Cさんはこの調査結果を、Bさん及びPC02～PC04の利用者に伝えた。 　 〔委託元への報告〕 　Bさんは、名古屋に本社がある流通業E社の業務システム開発プロジェクトに参画している。E社との契約では、情報漏えいなどのセキュリティインシデント発生時には遅滞なくE社に報告することが定められている。E社では、業務システムのプログラム開発及びテストには専用のPCを貸与している。Bさんは、設計書を含む文書作成はPC01で行い、プログラム開発及びテストはE社から貸与されたPCで行っていた。 　IT部での調査結果を基に、今回の件ではPJ情報の漏えいはなかったというのがQ社の見解であるが、営業部、IT部、法務部及び名古屋事業所のF部長が協議した結果、IT部の調査結果を基にE社に報告することにした。 　3月28日、F部長がE社に報告したところ、E社のG部長から非常に厳しい叱責を受けた。G部長の見解は図5のとおりである。

　F部長は、営業部、IT部及び法務部と相談し、図6の対応方針をまとめ、早急に対応を進めた。

　X社の追加調査の結果は、Q社内での調査と同様、情報漏えいの痕跡は認められないというものであった。また、BさんからE社宛てに送信したメールの添付ファイル及びE社に提出又は送信した文書ファイルには、不審なコードは含まれていなかったとの報告であった。 　 〔再発防止策の策定〕 　今回のマルウェア感染に対する再発防止策を、IT部が中心に策定することとなった。Cさんは、調査で判明した事実を基に、他のIT部のメンバとともに課題を抽出し、対策を検討した。その結果は表4のとおりである。

　Cさんは、課題と対策をD部長に報告した。D部長は、表4の項番1～3の対策を再発防止策とし、可能な対策から順次実施するとともに、項番4の対策を具体化するよう指示した。 　 〔未知マルウェア対策の検討〕 　Cさんは、D部長の指示に従い、未知マルウェア対策の検討を始めた。次は、未知マルウェア対策の検討についてのCさんとD部長の会話である。

　Cさん：未知マルウェア対策として、図7の案を考えました。未知のマルウェアを全て検知するのは無理です。そのため、未知のマルウェアへの感染を前提とした対策も必要です。

　D部長：我が社のモバイルPCではハードディスクの暗号化も行っていますが、マルウェア感染時の情報漏えいを防げますか。 　Cさん：残念ながら、③マルウェア感染による情報漏えい対策としては役に立ちません。そうした情報漏えいを防ぐためにはDRMのような仕組みが必要になり、取引先にも影響があります。 　D部長：なるほど。ブートイメージからの復元というのはどのようなものですか。 　Cさん：ブートイメージとはOSの起動に必要なファイルや標準ソフトなどをひとまとめにしたものです。これを読取り専用領域に保存し、起動時に読み込ませることで、動作環境を復元します。実装方法として、モバイルPC上に読取り専用領域を作成する方法と、図8のように、仮想端末上でゲストOSを動かす、画面転送型の仮想デスクトップ環境（以下、VDIという）の二つがあります。これら二つの対策を我が社が利用した場合、表5で示すメリットとデメリットがあります。

　D部長：表5によるとVDIが良さそうですが、デメリットを解消する方法はありますか。 　Cさん：AMに関しては、VDIに対応した仮想アプライアンスやゲートウェイ型のものが利用できるクラウドサービスを検討します。 　D部長：VDI端末としてモバイルPCは使えるのですか。 　Cさん：はい。モバイルPCを使ってUSBメモリからVDI専用OSを起動する方法があります。 　D部長：VDI端末には、どのような要件が必要ですか。 　Cさん：要件は、次の四つです。 　　要件1：VDIサーバにログインできる。 　　要件2：仮想端末との間では、画面及びキーボード・マウスの操作データだけの送受信を許可する。 　　要件3：マルウェア感染を防ぐ仕組みがある。 　　要件4：要件1～要件3を満たすのに必要な通信だけを許可する。 　D部長：要件3が満たせずに、VDI端末がマルウェアに感染しても、要件2が満たされていれば、仮想端末には影響がないですよね。 　Cさん：いいえ。⑤要件2が満たされても、VDI端末上のマルウェアによる仮想端末からの情報の窃取は可能です。 　D部長：そうですか。 　Cさん：そういった情報の窃取を防ぐためには、VDI端末の徹底的な要塞化が必要です。VDI端末に汎用OSを使う場合、VDI端末の保護のための仕組みが必要になります。一方、VDI専用OSを使用する場合、読み取り専用のUSBメモリにVDI専用OSを入れておきます。VDI端末のハードディスクの中身は全て消去し、USBメモリからだけブートできるようにします。ブートするとVDIに接続するためのソフトウェアが自動的に起動します。 　D部長：なるほど。それでは、その案をベースに、VDIの実装案と移行計画をまとめて提出してください。その際には、既存のガイドラインへの影響なども考慮に入れてください。 　 　Cさんは、VDIの実装案、⑥クラウドサービス利用に関するQ社のセキュリティガイドラインの変更案、及び移行計画をD部長に提出した。D部長はこれを承認し、関係各部と調整して年次計画に組み込んだ。 　 　F部長はこれらの結果を受けて、X社による追加調査の結果、発防止策及び未知マルウェア対策の計画をE社G部長に説明し、理解を得た。