情報処理安全確保支援士 2019年 秋期 午後1 問03

解答の論理構成

1. 図2の(2)には、 「不審PCの電源が入っていれば、電源を入れたままにしておく．」
   と明記されています。
2. PC の電源を切ると、RAM 内に保持されている各種レジスタ値・プロセス一覧・暗号鍵・マルウェアの揮発性痕跡などが直ちに消失します。
3. これらの揮発性情報は、後続の(6)「Rログを調査」や(8)「メモリやストレージの調査」のようなフォレンジック作業で極めて重要です。
4. よって、(2)の措置は「メモリ上の情報を保存し、後の解析に活用するため」であり、模範解答「メモリ上の情報が失われないようにするため」となります。

誤りやすいポイント

• 電源を入れたままにする理由を「ディスクの破損防止」や「業務継続」の観点で答える誤答が多いです。
• LAN から切り離す操作(3)と混同し、「外部への通信遮断が目的」と答えてしまうケースがあります。
• メモリ退避の必要性を理解せず、「証拠保全」とだけ記述して具体性を欠く記述も減点対象となり得ます。

FAQ

解答の論理構成

1. 図2の(3)には「不審PCに接続しているLANケーブルを抜き、利用者LANから切り離す」とあります。
   これは“ネットワーク隔離”によって被害を局所化する目的です。
2. もし隔離を行わなければ、マルウェアがネットワーク経由で活動を続けられます。N氏の助言には、 「マルウェアが、外部のC&C（Command and Control）サーバと通信を開始しようとする段階や、ほかの機器に感染を拡大しようとする段階で検知し対処できれば、情報漏えいの被害を軽減できる」
   と記載されています。ここから、望ましくない活動は
   • 社内で「ほかの機器に感染を拡大」すること
   • 社外の「C&Cサーバと通信」を続行し「情報を外部へ送信」すること
   の2点であると論理的に導けます。
3. よって解答は
   ①「J社情報システムに感染を拡大する。」
   ②「インターネットに情報を送信する。」
   となります。

誤りやすいポイント

• 「LANケーブルを抜く理由＝通信断」と理解せず、電源断と混同してしまう。電源を切るとメモリ上の痕跡が消える恐れがあるため図2では電源を維持している。
• 「C&Cサーバ通信＝単なる外部アクセス」と誤解し、情報漏えいリスクを過小評価する。
• 感染拡大を「ウイルス定義ファイルが古いから」と原因分析をずらして記述してしまい、行動自体（横展開）を答えそこねる。

FAQ

解答の論理構成

1. 表3にはコマンドと攻撃フェーズが列挙され、空欄には「想定される攻撃者の目的」を入れるよう指示されています。
2. 各コマンドがどの情報を取得するのかを知っていれば、目的を類推できます。

1. 以上より
   　a＝ウ
   　b＝イ
   　c＝オ
   　d＝ア
   となります。

誤りやすいポイント

• tasklist を「稼働中のプロセスを監視してパスワードを盗む」と早合点し、解答群カを選ぶミスが多いです。目的は「解析環境（デバッグツール、サンドボックスなど）の有無確認」です。
• net view と ipconfig /all を混同しやすいですが、前者は「ネットワーク上の他端末」、後者は「自端末のインタフェース情報」です。
• systeminfo は「パッチ確認」に直結します。OS情報だけでなく修正プログラム番号まで出力される点を思い出してください。

FAQ

解答の論理構成

1. 目的の確認
   本文でＥ部長は「ほかにもマルウェアMに感染したPC又はサーバがある場合」を想定し、過去の通信有無を調べるよう指示しています。
   引用：「Ｅ部長：13:17:15より前の、ログ蓄積サーバ中のFWのログにeが含まれているかどうかを確認する必要がある。」
2. 過去通信を調べる理由
   ・Pサービスは「過去に遡っての分析は行わない」と明記されています。
   ・よって 13:17:15 以前の通信は Pサービスではなく、ログ蓄積サーバに保存された FW のログを検索する必要があります。
3. 何を検索すべきか
   インシデントの鍵は「宛先のC&Cサーバ」です。通知内容には
   「宛先のC&CサーバのIPアドレス　w1.x1.y1.z1」
   と記載されています。感染拡大の有無を確認するには、この同一 IP アドレスへの通信履歴を調べるのが合理的です。
4. 解答導出
   上記より e に入るべき内容は「IPアドレスw1.x1.y1.z1との通信履歴」となります。

誤りやすいポイント

• 「C&Cサーバ名」や「ポート番号」のみで検索してしまう
  ➔ 他サイトと同じ 80/tcp を大量に含むため誤判定の可能性が高いです。
• Pサービスのログを検索対象にしてしまう
  ➔ Pサービスはログを蓄積せず過去分析もしない、と仕様に記載されています。
• 送信元 IP（192.168.1.20）だけを調べる
  ➔ 感染端末が複数あるかどうかを調べる目的に合致しません。

FAQ

解答の論理構成

1. 本文では、E部長が「①PC又はサーバの状態によっては、FWのログを使った確認ではマルウェアMに感染していることを検知できない」と指摘しています。ここで鍵となるのは「FWのログで検知できない」理由です。
2. 表2の対応内容を見ると、Gさんは13:49に「L-PCからLANケーブルを抜くように指示」しています。LANケーブルを抜けば、そのPCは「利用者LANから切り離され」通信が発生しません。
3. FW（ファイアウォール）のログには「送信元IPアドレス、宛先IPアドレス、ポート…を取得」とありますが、通信が発生しなければ記録は残りません。
4. したがって「感染しても C&Cサーバ と通信を行わない（行えない）状態」では、FWのログ検索だけでは感染判定が不可能です。
5. これらを踏まえて導かれる解答が「感染したが、C&Cサーバと通信する前にネットワークから切り離された状態」です。

誤りやすいポイント

• 「C&Cサーバへの通信が失敗した場合」ではなく、「通信がまったく発生していない場合」であることを取り違えやすいです。
• 「マルウェアが休止状態」などと機能面で説明してしまい、ネットワーク遮断という“状態”の説明が欠落すると減点されやすくなります。
• 「FWの設定ミス」に言及する受験者もいますが、問題文にはFWの誤設定を示唆する記述はなく論点がずれます。

FAQ

解答の論理構成

• 本文には「エージェントプログラムは、…実行したプログラムのハッシュ値…を、ログ…として取得」し、「情シ部員は、Rログをマルウェアのハッシュ値で検索することによって、そのマルウェアが実行された痕跡があるかどうか調査することができる。」と明記されています。
• また、下線②では「Rログを使った確認もする必要がある。」と指摘され、感染端末の判定に Rログ が活用される場面であると分かります。
• 以上より、既に判明している「マルウェアMのハッシュ値」を手掛かりに、Rログを検索すれば同じハッシュ値を用いて実行された端末＝感染端末を特定できます。
• 従って「RログをマルウェアMのハッシュ値で検索する。」が適切な具体策になります。

誤りやすいポイント

• Rログではなく FW のログを検索してしまう
  → FW にはハッシュ値情報が記録されません。
• プログラム名やファイル名で検索しようとする
  → マルウェアはリネームされる恐れがあるため、ハッシュ値検索が確実です。
• 管理サーバの検索機能の存在を見落とす
  → 本文に機能が明記されているので、手作業でログを直接解析する必要はありません。

FAQ