情報処理安全確保支援士 2018年 秋期 午後1 問02

解答の論理構成

1. 【問題文】には「全二重 1Gbps の 1 ポートの送受信をミラーリングする場合、最大abps となる。」とあります。全二重とは送信 1Gbps ＋ 受信 1Gbps の合計なので、理論上の最大は「2G」bpsです。よって a＝ウ：2G となります。
2. IEEE 802.1Q で付与されるものは VLAN を識別するための「VLANタグ」です。【問題文】「IEEE 802.1Q のbを付与した状態でミラーリングできる」より b＝ス：VLANタグ です。
3. 【問題文】「ミラーポートを使用せずにパケットを取得する方法として、ネットワークcを使用する方法もある。」とあり、ミラーポートの代替機器として用いられるのは TAP（ネットワークタップ）です。したがって c＝セ：タップ です。
4. 【問題文】「6台のPCが、dリクエストをブロードキャストで送信して、同一セグメント内のPCを探索」とあるリクエストは、IP‐MAC 対応を問い合わせる ARP リクエストです。ゆえに d＝エ：ARP となります。
5. 【問題文】「ワームVのインディケータ情報がe形式で提供されていた。」とあり、インシデント指標の共有フォーマットとして代表的なのは STIX です。よって e＝コ：STIX です。

誤りやすいポイント

• a で「10G」と誤答する例が多いですが、問題は「1 ポートの送受信」を問うており、ミラーポート側の物理速度（10Gbps）ではありません。
• c はスイッチの設定で行うポートミラーリングと混同しがちですが、“ミラーポートを使用せず”という表現がヒントです。
• d で「ECHO（ICMP）」と考えてしまう受験者がいますが、ECHO要求はユニキャスト送信が基本で、ブロードキャスト探索には使われません。
• e で TAXII を選びたくなりますが、TAXII は伝送プロトコル、STIX が「形式（フォーマット）」である点を押さえましょう。

FAQ

解答の論理構成

1. 【問題文】図3には
   “スキャンでは、各 IP アドレスに 1 パケットずつ接続要求を送信する。”
   とあり、接続要求＝SYNパケットを送ることを示しています。
2. その下線部①は
   “①正常な応答がある場合に、脆弱性を悪用して感染を試みる。”
   と記載されています。TCP で接続要求(SYN)を受信したポートが開いている場合、通常は SYN＋ACK を返します。
3. 逆にポートが閉じている場合は RST＋ACK が返るか無応答になりますが、図3は“正常な応答”と明言しているので開放ポートに対する応答を指しています。
4. 以上より、下線①で求められる“TCPフラグの組合せ”は 【回答】「SYN+ACK」となります。

誤りやすいポイント

• “正常な応答”を ACK のみと勘違いしやすいですが、3 ウェイハンドシェイクの 2 番目は SYN と ACK の両方が立つフラグです。
• RST+ACK は「ポート閉塞時の拒否応答」なので“正常な応答”ではありません。
• UDP と混同して「応答なし＝正常／異常」を判断しようとすると誤答につながります。

FAQ

解答の論理構成

1. 監視対象の確認
   • 無線 LAN 側の PC は AP 内部のプライベートアドレス帯（例：192.168.0.x）を使用し、外部へ出る際に AP で “NAPT” が行われ、送信元が “10.100.130.1” に変換される（本文「APではNAPTでIPアドレスの変換をしてPCと接続している」）。
   • NSM センサは L3SW のミラーポートに接続されており、AP 内部の無線セグメントには設置されていない。
2. (a) のスキャンが上位に現れない理由
   • ワーム V は「a 感染した PC と同一セグメントの範囲」をスキャンするとある（図3）。
   • この通信は AP 内部（同一セグメント）で完結し、L3SW まで到達しないため、NSM センサはパケットを観測できない。したがって件数が集計に入らず上位に現れない。
3. (b) のスキャンが上位に現れない理由
   • 図3 に「スキャンでは、各 IP アドレスに 1 パケットずつ接続要求を送信する。」とある。
   • 「b 1.1.1.1 から 223.255.255.255 の範囲」は非常に広い。1 つの宛先 IP あたり送るのは 1 パケットなので、宛先 IP 別に見ると件数は少なく、Top10 表に入らない。

誤りやすいポイント

• 無線セグメントのパケットも全て NSM センサが取得していると誤解し、(a) の理由を「件数が少ない」としてしまう。
• 「各 IP アドレスに 1 パケットずつ」の記述を読み落とし、(b) の理由を「ファイアウォールで遮断される」と推測してしまう。
• NAPT により全ての宛先が 10.100.130.1 に見えると考え、送信元と宛先の区別を取り違える。

FAQ

解答の論理構成

1. 445/TCP をスキャンしている端末の NAPT 変換前 IP アドレスを抽出
   • 【問題文】表1の“NAPT 変換前 IP アドレス”は
     “192.168.0.32”、“192.168.0.8”、“192.168.0.44”、“192.168.0.12”
     の4種類だけであることが注記により示されています。
   • したがって、この4つの IP アドレスを使っていた端末が感染源候補です。
2. 各 IP アドレスが“いつ誰に割り当てられていたか”を DHCP サーバログで照合
   • DHCP サーバログ（表2）はリース時刻しか記録されません（注記1）。
   • 445/TCP スキャン初観測時刻と直前の DHCP リース時刻を突き合わせます。

1. IP アドレス再割当て後のスキャンを追跡
   • 17 時台にも 4 件のスキャンが発生しています（表1 “10/28 17:31:22” 以降）。
   • これらの時刻は次のリースと一致します。

1. 6 台が感染と判断
   • ①最初に感染した “PC321”
   • ②～④ 同一 IP を引き継ぎ感染が拡大した “PC277”、“PC101”、“PC301”
   • ⑤⑥ IP 再割当て後にスキャンを行った “PC133”、“PC340”
   • よって、【模範解答】の
     “PC101、PC133、PC277、PC301、PC321、PC340”
     を○で囲むのが正解となります。

誤りやすいポイント

• IP アドレスを固定的に考え、リースの再割当てを見落として“4 台”だけと答えてしまう。
• MAC アドレス欄を詳細に追わず、同一 PC（PC101）が IP を変えて活動している事実を誤認する。
• スキャン時刻と DHCP 時刻の時系列を突き合わせずに、直近ではない古いリース情報を参照してしまう。

FAQ

解答の論理構成

1. 感染ＰＣを示すログの抽出
   – AP の通信ログ（表1）には、445/TCP を外部（例えば “1.1.1.1”）へ送信した端末が列挙されている。
   – その送信元 IP は “192.168.0.32”、“192.168.0.8”、“192.168.0.44”、“192.168.0.12” の4種類である。
   – 445/TCP スキャンはワームＶの特徴であり、これら4つの IP は少なくとも一度は感染端末から使用されたと判断できる。
2. DHCP サーバログ（表2）による「同じ IP を複数ＰＣが使用した」かどうかの判定
   – “192.168.0.8” は “10/28 10:45:38　MAC=X　PC101” と “10/28 16:54:29　MAC=P　PC301” の2台でリースされている。
   – “192.168.0.32” は “10/28 10:46:49　MAC=P　PC301”、“10/28 14:24:50　MAC=M　PC321”、“10/28 16:52:37　MAC=N　PC340” と3台でリースされている。
   – “192.168.0.44” は “10/28 10:47:11　MAC=T　PC277” と “10/28 16:51:13　MAC=G　PC133” の2台でリースされている。
   – “192.168.0.12” は “10/28 10:46:12　MAC=J　PC204” と “10/28 16:51:42　MAC=X　PC101” の2台だが、前者（PC204）が感染した証拠はなく、後者のみが感染端末である。
3. 感染複数台による使用有無の整理
   – “192.168.0.8” … PC101 と PC301 の2台とも感染 → 該当
   – “192.168.0.32” … PC301, PC321, PC340 の複数台が感染 → 該当
   – “192.168.0.44” … PC277 と PC133 の2台とも感染 → 該当
   – “192.168.0.12” … 感染は PC101 のみ → 非該当
4. よって、解答群から該当する IP は
   “イ：192.168.0.8”、“オ：192.168.0.32”、“力：192.168.0.44” となる。

誤りやすいポイント

• 445/TCP の送信ログがあるだけで即「複数ＰＣ」と決めてしまい “192.168.0.12” も選んでしまう。DHCP 再割当て後の端末が感染しているかを確かめる必要がある。
• 表2の MAC 文字が同一かどうかを見落として、同一ＰＣを誤って別ＰＣと判定してしまう。
• 「最初に感染したのは 192.168.0.32 のＰＣ」という記述だけで “192.168.0.32” しか選ばない。問題は「複数の感染ＰＣが同じ IP を使ったか」を問うている。

FAQ

解答の論理構成

1. 問題文では、無線LANに接続するPCについて「③PCを持ち帰った際に接続可否を判断するためにチェックを行う」とあります。
2. 直前の段落で、社外持ち出し時に「セキュリティ修正プログラムが未適用」であり、さらに「マルウェア対策ソフトのマルウェア定義ファイルが更新されていない状態だったので、ワームVに感染した」と原因を特定しています。
   – 原文引用：「セキュリティ修正プログラムが未適用で、かつ、マルウェア対策ソフトのマルウェア定義ファイルが更新されていない状態だったので、ワームVに感染した」
3. よって再発を防ぐには、 (1) OS・アプリケーションの「セキュリティ修正プログラム」が最新かどうか、 (2) マルウェア対策ソフトの「マルウェア定義ファイル」が最新かどうか、 (3) そもそも「PC がマルウェアに感染していないこと」を確認する、 の三要素が候補となります。
4. 設問は「二つ挙げよ」としているため、感染の直接原因である(1)(2)をまとめて1項とし、感染有無の確認(3)を2項とすると、模範解答と一致します。
5. 以上から、解答は
   ①「セキュリティ修正プログラムが適用され、マルウェア定義ファイルが更新されていること」
   ②「PC がマルウェアに感染していないこと」
   となります。

誤りやすいポイント

• “ウイルス定義ファイル”とだけ書き、「セキュリティ修正プログラム」の確認を落とす。
• 「OSが最新であること」など抽象的に記述し、具体性（修正プログラム適用・定義ファイル更新）が不足する。
• 「445/TCPを遮断していること」などネットワーク側の対策を書いてしまう（設問はPC側のチェック内容を問う）。

FAQ

解答の論理構成

1. 要求の把握
   • 本文では「④同じL2SWに接続されたPC同士のワーム感染を防ぐ」と明示されています。これは“横展開（ラテラルムーブメント）”を遮断したいという要件です。
2. 現状の課題
   • 「L3SW 及び L2SW は、VLAN をサポートしている機器であるが、G 社では VLAN の設定はしていない。」とあるように、現状は全ポートが同一ブロードキャストドメインです。したがって 445/TCP のブロードキャスト探索や直接通信が可能で、感染が拡大しました。
3. 技術的選択肢の比較
   • ACL やポートフィルタでも通信は制御できますが、L2SW だけで閉じた環境では適用範囲が限定されます。
   • そこで、スイッチ自身に備わる VLAN（およびポートアイソレーション）機能を使うと、L2 でのブロードキャストも含めて PC 間通信を一括遮断できます。
4. 要件充足
   • VLAN を設定しポートを分離すれば、同一 L2SW 配下 PC 間のトラフィックはスイッチ内部で転送されなくなり、ワーム拡散経路を物理的に断てます。
5. 以上より「VLANを使い、PC間の通信を禁止する。」という設定が最短で要件を満たす結論となります。

誤りやすいポイント

• ファイアウォールやIDSの強化だけで内部感染を止められると誤解し、L2スイッチ内の直結通信を見落とす。
• VLAN ではなくサブネット（IPアドレス）を分けるだけで十分と考え、同一スイッチ内での ARP ブロードキャストや未知のマルウェア通信を許してしまう。
• VLAN を導入してもデフォルトゲートウェイに戻る通信を許可してしまい、結果として PC 間アクセスが復活してしまう設定ミス。

FAQ