情報処理安全確保支援士 2017年 春期 午後2 問02

　 　A社は、従業員数500名の金属加工会社である。A社では、電子メール（以下、メールという）の送受信、Webの閲覧、及びWebサーバによる情報公開にインターネットを利用している。社外に公開するドメイン名としてa-sha.co.jp（以下、A社ドメイン名という）、サブドメイン名としてcc.a-sha.co.jp（以下、A社サブドメイン名という）を利用している。 　 〔メールによる情報交換〕 　A社では、業者とデータを交換する場合、ファイルを、あらかじめ取り決めたパスワードで暗号化し、メールに添付して送受信している。さらに、担当者不在の場合でも迅速に対応できるように、担当者が所属するグループの同報用メールアドレスにもメールを送信してもらっている。グループ同報用メールアドレスに届いたメールは、グループに所属する従業員全員のメールアドレスに転送（以下、同報転送という）される。A社で使用しているメールアドレスの種別を表1に示す。

　

〔A社の情報システム〕 　A社の情報システムのネットワーク構成を図1に示す。

　DMZの各サーバには、グローバルIPアドレスを割り当てている。L3SW、PC、内部LANのサーバ及び業務LANのサーバには、プライベートIPアドレスを割り当てている。 　ウイルス対策として、サーバ及びPCにW社のウイルス対策ソフトを導入している。サーバ及びPCでは、リアルタイムスキャンを有効にし、さらに、サーバでは毎週土曜日20時に、PCでは毎日12時にフルスキャンを起動している。ウイルス定義ファイルは、サーバ、PCとも、1時間おきに更新している。 　A社では、全ての従業員にPCを1台ずつ貸与している。PCのOS及びソフトウェアの脆弱性修正プログラムを、それぞれ毎月1回自動で適用している。 　 〔DMZのサーバの概要〕 　A社は、2年前にDMZへのプロキシサーバ新設に合わせ、DMZの全サーバをリプレースした。DMZのサーバは、システム部が運用している。システム部では、業者に委託して、年1回、DMZのサーバに対するインターネットからの脆弱性検査を実施しており、問題がないことを確認している。また、システム部では、DMZのサーバで使用されているOS及びソフトウェアの脆弱性情報を収集している。DMZのサーバでは、脆弱性修正プログラムがリリースされてから1か月以内に適用するようにしている。 　DMZのサーバの機能概要を表2に示す。

　外部メールサーバの転送機能の設定を表3に示す。この設定によってオープンリレーが防止されている。

　 〔内部 LAN のサーバ及び業務 LAN のサーバの概要〕 　内部 LAN のサーバは、システム部が運用している。内部 LAN のサーバの機能概要を表4に、内部メールサーバの転送機能の設定を表 5 に、業務 LAN のサーバの機能概要を表 6 に示す。

　業務 LAN のサーバ間では、日次でデータの転送がある。業務 LAN のサーバのうちコンテンツ管理Webサーバは、システム部が運用している。各部のサーバはそれぞれの部で運用している。 　内部 LAN のサーバ及び業務 LAN のサーバでは、OS 及びソフトウェアの脆弱性修正プログラムの適用を年1回実施している。直近では、2か月前の3月に実施した。しかし、コンテンツ管理Webサーバ及び営業部サーバでは、ソフトウェアの動作検証が間に合わず、OS 及びソフトウェアの脆弱性修正プログラムの適用を8月に延期した。 　

〔マルウェア感染と調査〕 　5月11日13時10分に、システム部 Web 管理グループの Hさんからシステム部運用グループの E主任に、“PC のフルスキャン中に PDF ファイルがマルウェア X として検出され、駆除された”との連絡があった。5月9日に、Hさんは次の操作を行ったとのことであった。 　・この PDF ファイルは、公開Webサーバで公開するコンテンツの一部であり、暗号化された形でコンテンツ作成業者 B社の J氏からメールで送信されたファイルの一つである。送信されたファイルを、一旦、PC 上で復号し、展開した。 　・復号し、展開したファイルをコンテンツ管理Webサーバにアップロードした。 　・コンテンツ管理Webサーバでコンテンツの内容を確認した。 　 　E主任は、念のために、各部のサーバ管理者にサーバのフルスキャンを依頼した。フルスキャンの結果、コンテンツ管理Webサーバではマルウェア X 及びマルウェア Y が、営業部サーバではマルウェア Y が検出され、駆除された。E主任は、上司の D部長に一報するとともに、部下の Fさんに調査を指示した。 　Fさんが行った調査の結果と感染への対処を図2に示す。

　E主任と Fさんは図2について D部長に報告した。複数のサーバでマルウェアが検出されたことから、D部長は、セキュリティ対策の見直しが必要と判断し、セキュリティ専門業者の C社に助言を求めることにした。C社のP氏が担当することになった。 　FさんとP氏は、図2を精査した。P氏は、追加の調査事項として、次の2項目を挙げた。

　・マルウェアXに感染したサーバからC&CサーバへのHTTP通信及びHTTP over TLS通信の有無を確認するために、eのログからfという条件に合致するログを抽出する。 　・gのログから、マルウェアYによって送信されたメールがhという条件に合致するログを抽出する。 　 　Fさんは、P氏が挙げた調査を実施した。 　続いて、FさんとP氏は、マルウェアYへの対策について検討した。次は、その際の会話である。 　 　P氏　：マルウェアYは、C&Cサーバから指示を受け取ります。マルウェアYと同様のタイプのマルウェアに感染した場合に備えて、①外部DNSサーバと内部DNSサーバのDNS問合せに関する設定を変更してください。 　Fさん：はい、分かりました。 　P氏　：さらに、内部DNSサーバで、DNS問合せの内容とその結果をログに記録すると、マルウェアYと同様のタイプのマルウェアの検出に役立ちます。 　Fさん：マルウェア中に多数のFQDNがあり、それぞれのFQDNに合致するログを抽出するのは時間が掛かりそうです。効率よく抽出するにはどうしたらいいでしょうか。 　P氏　：内部DNSサーバのログからiという条件に合致するログを抽出する方法はどうですか。 　Fさん：それならば、すぐにできます。 　 　FさんとP氏は、検討した結果を運用手順としてまとめた。 　 〔ウイルス対策の強化の検討〕 　FさんとP氏は、図2を基にし、ウイルス対策の強化について検討することにした。P氏は、問題点として、次の5点を挙げた。 　(あ)SMTPウイルススキャンでは、暗号化されたファイルについてウイルス検出ができないこと 　(い) PC 利用者からのマルウェア感染の申告をきっかけにして、調査及び対処に着手しているが、マルウェア感染の影響を最小限にするためには、遅過ぎること 　(う) 図2中の(6)にあるようなメール送信を防止するための対策が不十分であること 　(え) 業務 LAN のサーバから C&C サーバへの通信を遮断するための対策が不十分であること 　(お) 業務 LAN のサーバ間のマルウェア感染を防止するための対策が不十分であること 　 　問題点(あ)について、P氏は、コンテンツ作成業者との間でファイルをやり取りするためにデータ交換サーバを DMZ に導入すること、及びメールへのファイル添付を禁止することを、Fさんに提案した。データ交換サーバの機能を図3に示す。

　さらに、P氏は、②図3中の(4)のウイルススキャン機能を有効なものとするためのアップロード時の注意点を説明した。 　問題点(い)について、FさんとP氏は検討の結果、サーバ用及び PC用の③ウイルス対策集中管理ソフトをインストールしたウイルス対策管理サーバの導入を提案することにした。 　 〔内部 LAN のサーバに関する見直し〕 　問題点(う)について、FさんとP氏は内部メールサーバの設定を見直すことにした。 　次は、その際の会話である。 　 　Fさん：内部 DNSサーバ及び業務 LAN のサーバから内部メールサーバに転送されるインターネット宛てのメールを拒否する方法はありますか。 　P氏　：表5を見直し、表7のとおりに変更すれば、拒否できます。 　Fさん：はい、分かりました。表7のとおり、設定変更を提案します。 　

　引き続き、内部 DNSサーバの設定を見直し、問題がないことを確認した。 　 〔業務 LAN のサーバに関する見直し〕 　問題点(え)について、FさんとP氏は、検討の結果、業務 LAN のサーバからインターネットへの通信として、OS 及びソフトウェアの脆弱性修正プログラムのダウンロード、並びにウイルス定義ファイルのダウンロードだけを許可するように、プロキシサーバの設定変更を提案することにした。 　問題点(お)に起因するマルウェア感染によって、万が一、業務 LAN のサーバが 1 台でも停止すると、A社の業務に著しい支障が発生する。しかし、脆弱性修正プログラムがリリースされたとしても、業務 LAN のサーバでは、動作検証に時間を要し、すぐに適用できないこともある。そこで、P氏は、④業務 LAN のサーバ間の必要な通信を維持しながら業務LANのサーバ間のマルウェア感染を防止するセキュリティ強化案を提案した。 　FさんとP氏がまとめた提案内容は、D部長の承認を得た。一部の対策は即時実施され、ウイルス対策管理サーバ及びデータ交換サーバの導入、並びにセキュリティ強化案については、今年度末に予定されている内部LANのサーバ及び業務LANのサーバのリプレース計画に反映され、実施されることになった。