情報処理安全確保支援士 2019年 秋期 午後1 問01

　 　N社は、従業員数500名の情報サービス事業者である。N社の情報システムの構成を図1に示す。

　 　N社の情報システムは、情報システム部（以下、情シ部という）のQ部長とU主任を含む5名で運用している。 　各PC及び各サーバは脆弱性修正プログラムが自動的に適用され、導入済のマルウェア対策ソフトのマルウェア定義ファイルが自動的にアップデートされる設定になっている。外部メールサーバでは、スパムメールフィルタの機能を利用している。 　N社では、インターネットドメイン名n-sha.co.jp（以下、N社ドメイン名という）を取得しており、メールアドレスのドメイン名にも使用している。外部DNSサーバは、電子メール（以下、メールという）に関して図2のように設定してある。

　送信者メールアドレスには、SMTPのaコマンドで指定されるエンベロープの送信者メールアドレス（以下、Envelope-FROMという）と、メールデータ内のメールヘッダで指定される送信者メールアドレス（以下、Header-FROMという）がある。送信したメールが不達になるなど配送エラーとなった場合、Envelope-FROMで指定したメールアドレス宛に通知メールが届く。N社では、従業員がPCからメールを送信する場合、Envelope-FROM及びHeader-FROMとも自身のメールアドレスが設定される。 　昨今、メールを悪用して企業秘密や金銭をだまし取る攻撃が発生しており、N社が属する業界団体の会員企業でも、なりすましメールによる攻撃によって被害が発生した。こうした被害を少しでも抑えるため、同団体から送信者メールアドレスが詐称されているかをドメイン単位で確認する技術（以下、送信ドメイン認証技術という）を普及させるよう働きかけがあったことから、N社でも情シ部が中心になって送信ドメイン認証技術の利用を検討することになった。 　 〔送信ドメイン認証技術の検討〕 　Q部長とU主任は、送信ドメイン認証技術の利用について検討を始めた。次は、その際のQ部長とU主任の会話である。

　Q部長：当社でも送信ドメイン認証技術を利用すべきだと経営陣に報告したい。まずは、どのような送信ドメイン認証技術を利用するかを検討しよう。 　U主任：送信ドメイン認証技術では、SPF、DKIM、DMARCが標準化されています。当社の外部メールサーバでは、いずれも利用が可能です。 　 　Q部長は、図3のなりすましメールによる攻撃の例を示し、送信ドメイン認証技術が各攻撃の対策となるかどうかをまとめるようにU主任に指示した。

　U主任は、SPFへの対応と各攻撃に対する効果の関係を表1にまとめ、SPFが対策となるかどうかを同表を用いてQ部長に説明した。

　次は、その後のQ部長とU主任の会話である。

　Q部長：SPFに対応するには、具体的にどのような設定が必要になるのか。 　U主任：DNSサーバでの設定は、当社の外部DNSサーバに図4に示すTXTレコードを登録します。

　メールサーバでの対応は、当社の外部メールサーバの設定を変更します。SPFによる検証（以下、SPF認証という）が失敗したメールは、件名に[NonSPF]などの文字列を付加して、受信者に示すこともできます。

　Q部長：なるほど。SPFの利用に注意点はあるのかな。 　U主任：メール送信側のDNSサーバ、メール受信側のメールサーバの両方がSPFに対応している状態であっても、その間でSPFに対応している別のメールサーバがEnvelope-FROMを変えずにメールをそのまま転送する場合は、①メール受信側のメールサーバにおいて、SPF認証が失敗してしまうという制約があります。 　Q部長：なるほど。それでは、DKIMはどうかな。 　U主任：DKIMに対応したメールを送信するためには、まず、準備として公開鍵と秘密鍵のペアを生成し、そのうち公開鍵を当社の外部DNSサーバに登録し、当社の外部メールサーバの設定を変更します。DKIM利用のシーケンスは、図5及び図6に示すとおりとなります。

　Q部長：DKIMの方が少し複雑なのだな。 　U主任：はい。しかし、DKIMは、メール本文及びメールヘッダを基にディジタル署名を付与するので、転送メールサーバがディジタル署名、及びディジタル署名の基になったメールのデータを変更しなければ、たとえメールが転送された場合でも検証が可能です。SPFとDKIMは併用できます。 　Q部長：分かった。両者を導入するのがよいな。それでは、DMARCはどうかな。 　U主任：DMARCは、メール受信側での、SPFとDKIMを利用した検証、検証したメールの取扱い、及び集計レポートについてのポリシを送信側が表明する方法です。DMARCのポリシの表明は、DNSサーバにTXTレコードを追加することによって行います。TXTレコードに指定するDMARCの主なタグを表2に示します。

　これらの検討結果を経営陣に報告したところ、N社は送信ドメイン認証技術としてSPF、DKIM、DMARCを全て利用することになり、情シ部が導入作業に着手した。 　 〔ニュースレターの配信〕 　送信ドメイン認証技術の導入作業着手から1週間後、N社営業部で取引先宛てにニュースレターを配信する計画が持ち上がった。ニュースレターの配信には、X社のクラウド型メール配信サービス（以下、X配信サービスという）を利用する。ニュースレターは、X社のメールサーバから配信され、配送エラーの通知メールは、X社のメールサーバに届くようにする。Header-FROMには、N社ドメイン名のメールアドレス（例：letter@n-sha.co.jp）を設定する。Envelope-FROMには、N社のサブドメイン名a-sub.n-sha.co.jpのメールアドレス（例：letter@a-sub.n-sha.co.jp）を設定する。X社のメールサーバのホスト名は、mail.x-sha.co.jpであり、グローバルIPアドレスは、x2.y2.z2.1である。X社のDNSサーバのグローバルIPアドレスは、x2.y2.z2.2である。X配信サービスでは、SPF、DKIM、DMARCのいずれも利用が可能である。

　N社は、ニュースレターの配信についても、3種類の送信ドメイン認証技術を利用することにした。具体的には、N社の外部DNSサーバに図7のレコードを追加する。

　ここで、受信側で検証に失敗したメールは隔離するポリシとするため、DMARCのpタグとaspfタグの設定は表3のとおりとする。

その後、N社と主要な取引先での送信ドメイン認証技術の導入が完了した。