情報処理安全確保支援士 2018年 春期 午後1 問02

解答の論理構成

1. SPFレコードの役割確認
   • 【問題文】図2に「t‐sha.co.jp. IN TXT ”v=spf1 +ip4:a -all”」とある。
   • “v=spf1 … -all” は、送信元アドレスが T 社ドメイン名の場合に、どの IP アドレスからの送信を正当とみなすかを示す仕組みである。
2. インターネットへ実際にメールを送信するサーバの特定
   • 表2「外部メールサーバ」の行
     • サーバ名：「外部メールサーバ」
     • IP アドレス：「x1.y1.z1.4」
     • 機能の概要：「転送されてきたメールをインターネットに SMTP で転送する機能がある。」
   • 他にインターネットへ直接 SMTP 送信するサーバは、表2・表1を通読しても存在しない。
3. SPF レコードに登録すべき IP の決定
   • 送信ドメイン認証として公開 DNS に登録するのは、「インターネットに SMTP で転送する」サーバのグローバル IP である。
   • したがって a には 「x1.y1.z1.4」 が入る。

誤りやすいポイント

• 迷惑メール対策サーバ（x1.y1.z1.2）がインターネットからメールを受信するため、「送信側」と誤解してしまう。実際に外部へ SMTP 送信するのは外部メールサーバである。
• 内部システム LAN 上の「Web メールサーバ (192.168.1.11)」は SMTP 転送機能を持つが、FW の設定と DMZ 構成からインターネットへ直接出るわけではないので SPF 登録対象外である。
• SPF で登録するのはサーバ名ではなくグローバル IP アドレスである点を忘れ、ホスト名を記入してしまう。

FAQ

解答の論理構成

1. インターネットから最初に SMTP で受信するサーバ
   • 表2に「迷惑メール対策サーバ」について
     「『インターネットからのメールの受信』において、…メールを転送する機能がある。」と記載されています。
   • したがって、表3 ①「送信元：インターネット → 宛先：b」はインターネット側から直接到達するメールゲートウェイである「迷惑メール対策サーバ」です。
2. 迷惑メール対策サーバから次に SMTP 転送されるサーバ
   • 表2「迷惑メール対策サーバ」には「『受信したメールを Web メールサーバに SMTP で転送する機能がある。』」と明示されています。
   • よって、表3 ②「送信元：b → 宛先：c」の宛先は「Web メールサーバ」です。
3. 社内で作成した送信メールが外部へ出る前に経由するサーバ
   • 表1「Web メールサーバ」には「『外部メールサーバに、SMTP でメールを転送するメール転送機能がある。』」という仕様があります。
   • 従って、表3 ③「送信元：c → 宛先：d」の宛先は「外部メールサーバ」です。
4. 外部メールサーバはインターネットへ最終転送
   • 表2「外部メールサーバ」には「『転送されてきたメールをインターネットに SMTP で転送する機能がある。』」と説明されています。
   • これにより、表3 ④「送信元：d → 宛先：インターネット」に整合します。

誤りやすいポイント

• 「Web メールサーバが直接インターネットと SMTP でやり取りしている」と早合点してしまい、b と c を逆にする。
• 「外部メールサーバ」を DMZ 内の名称だと知りながら、転送方向（社内→外部）を意識せず b に入れてしまう。
• ステートフルパケットインスペクション型 FW のため戻りパケットは自動許可される点を忘れ、サーバ間の順序関係を混同する。

FAQ

解答の論理構成

1. 問題文の該当箇所
   • DMZ 上の「DNSサーバ」の機能として、 「インターネット上のドメイン名の名前解決を行う機能がある。」
     と明記されています。
2. チェックリストの確認事項
   • 表4では「DNSサーバ」が「オープンリゾルバ防止機能」を対象に、 「DNSサーバがeを許可するのは、DMZ 上の他のサーバからだけであること」
     と記載されています。
3. オープンリゾルバ防止の趣旨
   • オープンリゾルバを放置すると外部から不特定多数の再帰問い合わせを受け、 DNS増幅攻撃などの踏み台にされる恐れがあります。
   • そこで「インターネット上のドメイン名の名前解決」は
     DMZ 内の特定ホストだけに限定すべき通信になります。
4. 以上より、e には
   「インターネット上のドメイン名についての名前解決」
   が入ることが導かれます。

誤りやすいポイント

• 「T社ドメイン名の管理」と混同しやすい
  権威応答（自社ドメイン）ではなく再帰的な外部ドメイン解決を制限する趣旨です。
• 「DNS問い合わせ」だけでは曖昧
  内部・外部どちらの問い合わせかを明確にしないと部分点も失います。
• オープンリゾルバ＝外部からの問い合わせ全拒否と早合点
  DMZ 内部サーバからの再帰問い合わせは許可する設計である点を見落としがちです。

FAQ

解答の論理構成

• 【問題文】でプロキシサーバは「HTTPS 通信の中継には、CONNECT メソッドを利用する。」とあります。
  CONNECT は任意の TCP ポートにトンネルを掘れるため、図3のように CONNECT x1.y1.z1.4:25 HTTP/1.1 と送ればポート “25”＝SMTP へ直接つながります。
• すると PC →プロキシ→「外部メールサーバ」へ直結し、Web メールサーバを経由しません。
• Web メールサーバには
  ・「インターネットメール送信制限機能」
  ・「送信者メールアドレス詐称防止機能」
  ・「SMTP 通信及び HTTP 通信のマルウェアスキャン機能」
  があると【問題文】に明示されています。
• 回避により上記3機能が働かなくなるため、(1) インターネットへの送信が禁止されている従業員でも送信できる、(2) 詐称やマルウェア混入メールもそのまま外部へ流出する、という二つの典型的な問題が生じます。

誤りやすいポイント

• CONNECT＝HTTPS と短絡し、ポート 443 だけを想定してしまう
• Web メールサーバの「HTTP 接続拒否機能」だけに注目し、メール系機能の迂回に気付かない
• 「マルウェアスキャン機能」を bypass する点を見落とし、“詐称だけ”または“送信制限だけ”と単一の問題にまとめてしまう

FAQ

解答の論理構成

• 【問題文】には Web メールサーバの設定として
  「IP アドレス単位に、HTTP による接続を拒否することができる HTTP 接続拒否機能がある。その機能を用いて、内部システム LAN 上の他のサーバからの接続を拒否している。」
  とあります。現状は “内部システム LAN 上の他のサーバ” だけが対象です。
• 一方、運用方法の見直しで
  「運用PCでは、メールの送受信及びインターネットのWeb閲覧を技術的に制限する。」
  と明記され、さらに下線②として
  「WebメールサーバのHTTP接続機能の設定」
  を変更対象に挙げています。
• 運用PCは新設する「運用PC-LAN」に接続され、運用担当者はサーバに特権 ID でログインします。したがって運用PCから Web メール（HTTP）を使えてしまうと、攻撃面が残るため遮断が必要です。
• 以上より、HTTP 接続拒否機能の拒否対象に “運用PC-LAN（運用PC の IP アドレス）” を追加し、「運用PCからの接続も拒否するように変更する」ことが適切となります。

誤りやすいポイント

• 「Web メールを禁止＝全 PC を拒否」と早合点し、営業・業務 PC まで遮断してしまう。要件は運用PCのみ。
• HTTP 接続拒否機能ではなく FW や L3SW に設定すると勘違いする。設問はあくまで “Web メールサーバの HTTP 接続機能”。
• 「許可リストに運用PCを追加しない」と表現してしまう。実装は拒否リスト追加であるため逆の意味になる。

FAQ

解答の論理構成

• 【問題文】ではプロキシサーバの「アクセス制限機能」について「送信元 IP アドレスごとに接続可能な URL を制限する」ことができ、「現在は、全ての URL への接続を許可している。」と明記されています。
• さらに運用PCに関しては「運用PCでは、メールの送受信及びインターネットのWeb閲覧を技術的に制限する。」という運用方針が示されています。
• しかし運用PCも「T社標準ソフト」の自動更新を行う必要があるため、これらのサイトへの通信は残さなければなりません。
• したがって下線③の設定変更は、「運用PCの送信元 IP アドレスに対してだけ URL フィルタを強く掛け、T社標準ソフトのベンダサイト以外への HTTP／HTTPS トラフィックを拒否する」ことになります。
• これにより (1)Web閲覧経由のマルウェア感染リスクを低減しつつ、(2)業務に不可欠な更新系通信だけを許可するという要件を同時に満たせます。

誤りやすいポイント

• 運用PCでもアップデート通信が必要であることを見落とし、「全ての外部 URL を遮断」と書いてしまう。
• プロキシサーバの「接続元制限機能」と混同し、「IP アドレスで制限する」と記述してしまう。
• 「Web閲覧禁止」とだけ説明し、URL 単位で許可を残すという具体性が不足する。

FAQ