情報処理安全確保支援士 2018年 秋期 午後1 問03

解答の論理構成

• 【問題文】には「ログ管理サーバに保存されたログからイベントの発生順序を正しく追跡できるように、①ログに書かれる各 FW 及び各サーバの時刻を整合させている。」とあります。
• 時刻を「整合」させるとは、すべての機器が同一の正確な時刻を保持することを意味します。
• 異なるベンダ機器・OS でも共通して利用できる標準的な仕組みとして、ネットワーク経由で時刻を配布・同期する「NTP（Network Time Protocol）」があります。
• NTP によって FW やサーバが定期的に時刻を取得・補正すれば、ログに記録されるタイムスタンプが揃い、イベントの「発生順序を正しく追跡」できます。
• 以上より、①を実現する手段は「NTP による時刻同期」となります。

誤りやすいポイント

• 「手動で時刻合わせ」と書くと人的作業に依存し精度・継続性が不十分です。
• 「SNTP」「PTP」なども時刻同期技術ですが、一般的な企業ネットワークで FW・サーバを一括管理する目的には NTP が最も標準的です。
• 「ログ管理サーバ側で補正」と誤解すると、送信元機器のタイムスタンプがずれたまま保存されるため因果関係の解析が困難になります。

FAQ

解答の論理構成

• 【問題文】図2では、「a¹による深刻度が高い。」とあり、注¹で「a は、基本評価基準、現状評価基準、環境評価基準の三つの基準で脆弱性の深刻さを評価するシステムである。」と説明しています。
• 三つの基準（Base / Temporal / Environmental）で脆弱性を数値化する国際標準は「CVSS（Common Vulnerability Scoring System）」だけです。
• したがって a に入る語は “CVSS” となります。

誤りやすいポイント

• 「CVE」と混同する
  CVE は識別子であり深刻度を評価する仕組みではありません。三つの評価基準というキーワードが示すのは「CVSS」です。
• “CVSSv3” などバージョン付きで記述してしまう
  設問は「英字4字で答えよ」と指示しているため、「CVSS」に限定されます。
• 日本語略称を書く
  「共通脆弱性評価システム」など日本語を入れると減点対象になります。

FAQ

解答の論理構成

1. 侵入を受けたのは「Eサーバ」である
   ― 図3の調査結果で「③E サーバのコマンド履歴」と明記されています。
2. 攻撃者による追加被害を防ぐ最優先策は、侵入経路となった Eサーバ の通信遮断です
   ― 本文では「②被害拡大を防止するために必要な措置」と指示されています。
3. しかし完全停止すると利用者には何も表示できません
   ― 表1で「待機サーバ」は「サービス停止を告知するための Web サーバである」「Eサーバの代わりにレイヤ2スイッチに接続される」と説明されています。
4. したがって、 ・Eサーバをネットワークから切り離す（被害の封じ込め）
   ・代わりに待機サーバをL2SWへ接続し公開する（利用者への告知）
   という手順が最適解になります。

誤りやすいポイント

• 「FW1で通信を遮断する」と答えると、内部からの漏えい・横展開の恐れが残ります。
• 「パッチを当てて再起動する」と答えると、封じ込めより復旧が先になり手順の優先度を誤ります。
• 待機サーバの用途を読み落とし、単に Eサーバ を停止するだけの回答にしてしまうケースが多いです。

FAQ

解答の論理構成

1. まず図3の下線部「③E サーバのコマンド履歴には、SSH コマンドの接続先 IP アドレスが含まれておらず」という事実が提示されています。
   引用：
   「③E サーバのコマンド履歴には、SSH コマンドの接続先 IP アドレスが含まれておらず」
   ここにもし接続先 IP アドレスが記録されていた場合、スクリプトUが二次感染を狙う設計であるため追加調査が必要になります。
2. スクリプトUの挙動は図3(2)で明示されています。
   引用：
   「SSH コマンドの接続先 IP アドレスを全て抽出する。…成功するとその機器上でスクリプト U を実行する」
   つまり、履歴に現れた機器は“感染対象候補”とみなせます。
3. 設問では「外部メールサーバが履歴に含まれていた場合」を想定しています。
   よって、感染が広がったかを確かめるため
   ① 外部メールサーバ自身のログ確認
   ② Eサーバから外部メールサーバへの SSH 成功有無
   ③ サイトZとの HTTP 通信の痕跡
   を押さえる必要があります。
4. B社では「B社情報システム中の全サーバのログをsyslogで受信し保存する」と表1で定義されている「ログ管理サーバ」があり、どのログも集中保管されています。
   引用：
   「ログ管理サーバ…全ファイアウォール…及び全サーバのログをsyslogで受信し保存する。」
   したがって「調査すべき機器」は
   ・当該サーバ（外部メールサーバまたは E サーバ）
   ・集中ログを保持するログ管理サーバ
   ・境界を監視するFW1
   のいずれか、もしくは組合せで回答できます。
5. 以上を整理すると模範解答の3パターンが成立します。
   ① 外部メールサーバ（またはログ管理サーバ）で「外部メールサーバからサイトZへの接続の有無」を確認
   ② Eサーバ（またはログ管理サーバ）で「外部メールサーバへのSSHコマンドの接続の有無」を確認
   ③ FW1（またはログ管理サーバ）で「サイトZとHTTPを使用した通信」を確認
   これが設問条件「①、②又は③の組み合わせ」に対応します。

誤りやすいポイント

• ログ確認先を「Eサーバのみに限定」してしまう
  → 集中管理している「ログ管理サーバ」を忘れると情報が欠落します。
• FW1 の役割を取り違え、DMZ 内通信を監視できると誤解する
  → FW1 は「インターネットと通販システム間の通信」を監査する境界機器です。
• スクリプトUが「必ず」API を展開すると決めつける
  → 図3(3)の通り FW1 が HTTP ダウンロードを遮断しており実際には失敗しているケースも考慮する必要があります。

FAQ

解答の論理構成

1. 【問題文】には次のように記載されています。
   「モニタリングモードでは、アラートが通知された際に検知した通信がbであるかどうかを直ちに確認しなければなりません。もし、bであった場合は、場合によってはEサーバの停止が必要となります。また、bではなかった場合は、WAFのシグネチャの見直しが必要となります。」
2. モニタリングモードは遮断せずに“検知・通知”だけを行うため、通知内容が真の脅威か誤検知かを判断するプロセスが必須です。
3. 真の脅威であれば即時にサービスを止める必要があると【問題文】が述べています。脅威＝「攻撃」であることは文脈上自明です。
4. 一方、誤検知ならばシグネチャ（検知ルール）のチューニングが必要と指摘されています。誤検知の対義語も「攻撃」です。
5. 以上より、bに最も適切なのは「攻撃」となります。

誤りやすいポイント

• 「不正アクセス」「マルウェア」など具体的な攻撃手法名を書いてしまう。ここでは一般概念を問われているため、「攻撃」とするのが正しいです。
• 「正当通信」と勘違いし、判断基準の反対語を入れる受験者がいますが、確認対象は“アラートの通信”であり、“正当かどうか”ではなく“攻撃かどうか”を問う文脈です。
• WAFの機能説明に引きずられ「遮断」「ブロック」など動作を入れてしまうミスにも注意が必要です。

FAQ

解答の論理構成

• 【問題文】では「通販システム…E サーバの購入受付処理は、インターネットから HTTP over TLS（以下、HTTPS という）でアクセスされる。」とあり、利用者は常に暗号化された HTTPS で通信します。
• 会話中でS君は「WAFには…さらに、④暗号通信に関する機能が用意されているものがあります。」と述べています。
• ハードウェア型WAFは図1の「DMZ内のL2SWとEサーバとの間」に設置すると説明されているため、WAFの直前・直後でパケットは暗号化された状態のまま通過します。
• WAFがペイロードまで検査・遮断を行うにはTLSレイヤより上の内容（HTTPリクエスト）を可視化する必要があります。したがって、暗号通信を一度終端して内容を平文にし、検査後に再暗号化して送出する機能が必須です。
• 以上より「インターネットからのHTTPS通信を復号する機能」が下線④で求められる機能となります。

誤りやすいポイント

• 「TLS1.2への対応」「証明書管理機能」などと書き、復号が明確でない答案
• 復号後に再暗号化（リサイン）する必要を意識せず「HTTPSに対応する機能」とだけ記載
• WAFの種類を問う設問と混同し「クラウドWAFへのリダイレクト機能」と誤記

FAQ

解答の論理構成

1. クラウド型 WAF を使うときの経路変更方法
   • 原文では「クラウド型WAFを利用する場合は、サービス事業者がインターネット上で運用しているものを利用します。」とあり、既存ネットワークの物理配線を変えずに DNS だけで経路を切り替える一般的手法が示唆されています。
2. 図1 内のどの機器で DNS を公開しているか
   • 図1 の DMZ には「外部DNSサーバ」が描かれており、インターネット側の名前解決を担当します。
3. 設定変更対象の特定
   • 原文で「図1中のcの設定を変更して、Eサーバへのアクセス経路をクラウド型WAF経由に変える」とあるため、公開ゾーンのレコードを保有している「外部DNSサーバ」の設定を修正すれば目的を達成できます。
4. IP アドレス変更への追従方法
   • 「クラウド型WAFのIPアドレスが変更された場合でもcの設定に影響が出ないように、dレコードを定義…」とある。ここで IP ではなく FQDN で別名を張るレコード種別は CNAME です。
5. したがって
   • c ＝ 「外部 DNS サーバ」
   • d ＝ 「CNAME」

誤りやすいポイント

• 「内部DNSサーバ」と誤答するケース
  • 図1 には内部向けと外部向けの二系統が描かれている。インターネット利用者が参照するのは「外部DNSサーバ」であり、内部 DNS を選ぶと経路が変わらない。
• A レコードを書き換えると考えてしまう
  • IP 直書きの A レコードを修正すると、WAF 側 IP が変わる度に再変更が必要になる。問題文は「設定に影響が出ないように」と明記しているので CNAME を選ぶ。
• 「MX」や「SRV」といった他のレコード種別を選択
  • メール用やサービス位置特定用であり、WEB アクセス経路変更の要件を満たさない。

FAQ