情報処理安全確保支援士 2019年 秋期 午後2 問02

解答の論理構成

1. 【問題文】では、マルウェア通信のログ例として
   ――「User-Agentヘッダフィールドの値が “curl/7.64.0” のHTTPリクエスト」
   が挙げられています。
2. ところが攻撃者は検知を逃れるために “curl/7.64.0” のような分かりやすい値ではなく、ターゲット組織が日常的に使うブラウザと同じ値を偽装することがあります。
3. その結果、ログ上は通常業務の通信と区別できず、マルウェア判定が困難になります。
4. よって「A社で利用しているWebブラウザを示す値の場合」が判定しにくいケースとなり、模範解答に合致します。

誤りやすいポイント

• “curl/7.64.0” が不審だから常に判定できると早合点する。攻撃者は “Mozilla/5.0 …” など正規ブラウザ値へ容易に書き換えられる点を見落としがちです。
• User-Agent だけでマルウェアを特定できると考え、通信先や振る舞いの相関分析を怠る。
• HTTP 以外のプロトコルや暗号化通信（HTTPS）では User-Agent が取得できない場合があることを忘れる。

FAQ

解答の論理構成

1. 【問題文】には
   “CAD-Vの脆弱性情報及びその対策であるaはCAD-Vの開発元によって公開されていた”
   とあります。
2. 文脈から読み取れるキーワードは “脆弱性情報” と “その対策”。
   ソフトウェアの脆弱性に対する一般的かつ直接的な対策は “パッチ” です。
3. 解答群を照合すると「エ：パッチ」だけが脆弱性対策を示しています。
4. よって a に入る適切な字句は「エ：パッチ」です。

誤りやすいポイント

• “ディジタル証明書” を選ぶ誤り
  証明書は通信の安全性や真正性を確保する仕組みであり、脆弱性そのものの修正ではありません。
• “共通脆弱性識別子” を選ぶ誤り
  これは脆弱性を識別する番号（CVE など）であって、対策そのものではありません。
• “ファイル復号鍵” を選ぶ誤り
  ランサムウェア対策としては登場し得ますが、本設問は CAD-V の脆弱性修正に関する文脈です。

FAQ

解答の論理構成

1. 図3「9.(1) PC-Sはbする。」は、対処工程の最初に実施されるステップです。
2. 直後の「(3) PC-Sに、業務用ソフトをインストールする。」および「(4) PC-S上に必要なファイルは、バックアップから復元する。」という記載は、PC-S がクリーンな状態になっていることを前提としています。
3. 感染した OS をそのまま残した状態では再インストール・復元作業の前提が崩れます。したがって PC-S は “完全に工場出荷状態へ戻す” ことが必要です。
4. よって b には「ア：初期化」が入るのが妥当です。

誤りやすいポイント

• 「エ：ネットワークから切断」は図3「1．システム部は、PC-SをA-NETから切断し回収した。」で既に実施済みです。
• 「ウ：内蔵ストレージを暗号化」はランサムウェアの被害と同質の操作であり、対処ではありません。
• 「イ：内蔵ストレージをUSBメモリにコピー」や「オ：メモリをダンプ」は保全目的の作業ですが、図3の対処手順には明記されていません。

FAQ

解答の論理構成

1. まず、PC-S が不審な通信を行っていた宛先が何かを確認します。
   【問題文】図3‐2 の「2」より

   “PC-Sが、正体不明の宛先（以下、サイトUという）に、①User-Agentヘッダフィールドの値が “curl/7.64.0” のHTTPリクエストを繰り返し送信している”
   ここで宛先を サイトU と命名しています。

2. 次に、最終的な対処内容を確認します。
   【問題文】図3‐2 の「9」より

   “ファイルTを配布していたWebサイト、及びcに対する社内からのアクセスをFWによって遮断する。”

3. 感染源である Web サイトに加え、マルウェアが通信を試みた宛先（＝情報流出や遠隔操作の危険）が遮断対象であると読み取れます。
4. その宛先は 1. で示した サイトU しか該当しません。
5. したがって c には「サイトU」を入れるのが妥当です。

誤りやすいポイント

• 「ファイルTを配布していたWebサイト」と「サイトU」を同一視してしまい、遮断対象を一つだと思い込む。問題文には “及び” と明記されており、二つの異なる宛先である点に注意が必要です。
• “正体不明の宛先” という説明だけを見て具体名を探さずに「不審サイト」などと記述してしまう。正式名称として【問題文】で与えられた “サイトU” をそのまま書く必要があります。
• 図や脚注を深読みして別の URL・IP アドレスを想像してしまう。問題文中で明示的に名前が登場するのは サイトU のみです。

FAQ

解答の論理構成

1. 表1「番号 2 武器化」には、 「侵入を成功させるために、正常な d に偽装した “おとりファイル” を作成する場合もある。」
   とあります。攻撃メールに添付されるのは一般に Word、Excel、PDF などの“文書ファイル”であり、正常に見えるドキュメントへ細工を施す手口が典型です。解答群で該当する語は「カ：ドキュメント」です。
2. 表1「番号 5 インストール」には、 「当該機器に e を設置することによって、長期にわたり侵入を継続できるようにする場合もある。」
   長期潜伏を可能にする秘密の侵入口は“バックドア”と呼ばれます。解答群の「キ：バックドア」が適切です。
3. 表1「番号 6 コマンドとコントロール」には、 「マルウェアは、インターネット上に設置された攻撃者のサーバと通信して、f を受け取り、それに従って動作する。」
   C&C サーバから送られるのは具体的な行動を指定する“攻撃者の指示”です。解答群の「オ：攻撃者の指示」を選びます。

誤りやすいポイント

• 「APT」や「ランサムウェア」を選んでしまう
  攻撃の全体像と“おとりファイル”は別概念です。
• 「鍵ペア」を選択する誤り
  鍵ペアは暗号通信の構成要素であり、持続的侵入の仕掛けとしては不適切です。
• 「フィッシング」と混同する
  フィッシングは配送手段の一例であり、“攻撃者のサーバと通信して受け取るもの”ではありません。

FAQ

解答の論理構成

誤りやすいポイント

• USBメモリを置く行為を「エクスプロイト（4）」と誤認しやすいですが、まだマルウェアは実行されておらず「配送（3）」段階です。
• 機密情報の窃取を「コマンドとコントロール（6）」と混同しがちですが、コマンドとコントロールは「遠隔操作指令を受け取る」フェーズであり、実際の窃取は「目的の実行（7）」です。
• 「偵察（1）」は技術的スキャンだけでなく、SNS・公開情報収集も含む点を見落としやすいです。

FAQ

解答の論理構成

1. 【問題文】では、無線 LAN アクセスポイント（AP）が「接続を許可する機器をMACアドレス認証によって制限している」と明示されています。
2. しかし、パスワードやディジタル証明書を用いた強固な認証は行われていません。つまり、物理的に AP 付近に接近できる攻撃者は、通信に使われているフレームを受信しやすい状況にあります。
3. 無線フレームには送信元・宛先の MACアドレス が平文で含まれています。したがって攻撃者は AP 近くでフレームを受信し、MACアドレス を取得できます。
4. 以上より、空欄の語句は
   • g：AP 近傍で「電波を傍受」する行為
   • h：傍受によって入手できる「MACアドレス」
   となります。

誤りやすいポイント

• 無線 LAN の盗聴で取得できる情報として SSID や パスフレーズ と混同しがちですが、問題文は「MACアドレス認証しか行っていない」点を強調しています。
• 「傍受」を「解析」「侵入」と読み替えてしまうと、求められている行為の本質（受信して情報を取るだけ）を外してしまいます。
• 認証方式に WPA2‐エンタープライズを導入することが後述されていますが、これは課題解決策であって空欄補充のヒントではありません。

FAQ

解答の論理構成

1. APT攻撃のステップ6「コマンドとコントロール」では、 “マルウェアは、インターネット上に設置された攻撃者のサーバと通信して、f を受け取り、それに従って動作する。”
   と説明されています。ここで攻撃者は遠隔から機器を操作する指示を送り込もうとします。
2. 見直し案で採用を検討したデータダイオードについて、表3には
   “データダイオードは、二つの接続点間において、片方向だけデータを転送する機能をもつネットワーク機器である。…F-NET側からA-NET側へのデータの転送を許可し、逆方向は全ての通信を遮断する。”
   と記載されています。
3. 本問の想定では、FA端末が表1の番号5「インストール」までは成功しているため、マルウェアはFA端末内に常駐しています。しかしデータダイオードにより「逆方向は全ての通信を遮断」されるため、外部の攻撃者サーバからFA端末へ戻る通信路（C2通信）が物理的に断たれます。
4. したがって、ステップ6以降で本来行われる「攻撃者→FA端末」方向の命令伝達が不可能となり、マルウェアは実害を引き起こす行動を開始できません。

誤りやすいポイント

• データダイオードを「機密情報の外部漏えい防止」とのみ捉え、攻撃者からの指示遮断効果を見落とす。
• ステップ7「目的の実行」を止める要因を“ファイル暗号化を許さない”などと具体行為で答えてしまい、指示経路遮断という本質を外す。
• 「一方向通信なので攻撃者の接続を検知できる」と誤記し、遮断と検知を混同する。

FAQ

解答の論理構成

1. まず、「データ転送の即時性」を決める鍵は、人手を介さずに転送が“自動”で行われるかどうかです。
   • FW方式の説明には「データは、スクリプトを用いて、自動的に業務サーバに転送し登録する。」とあります。よって即時性は高く“○”になります。
   • 中継用PC方式は「担当者は、必要時に、FA端末を操作し…その後、中継用PCにリモートログインし…」と二段階の手動操作が必須です。自動ではないため即時性は“△”に下がります。
   • データダイオード方式も「データは、スクリプトを用いて、自動的に業務サーバに転送し登録する。」とあり、FW方式と同様に即時性は“○”です。
2. つぎに「セキュリティ（マルウェア感染）」の強さで3方式を相対比較します。
   • データダイオード方式は「片方向しか流れないことを物理的に保証」するためマルウェアの逆流がほぼ不可能で“○”。
   • FW方式はステートフルパケットインスペクションで逆方向を遮断しますが、論理制御なのでデータダイオードよりは劣り“△”。
   • 中継用PC方式は1台のPCが2ネットワークに接続されるため、マルウェアが入り込む経路が残り“×”。
3. 解答群を整理します。
   ア：○／○　イ：○／△　ウ：△／×
   • データダイオード方式 ＝ 「○／○」 → ア
   • FW方式 ＝ 「○／△」 → イ
   • 中継用PC方式 ＝ 「△／×」 → ウ
4. よって表4の空欄は
   i：イ（FW方式）
   j：ウ（中継用PC方式）
   k：ア（データダイオード方式）

誤りやすいポイント

• 「FW方式はファイアウォールだから最高安全」と早合点し、セキュリティ評価を“○”にしてしまう。問題文は論理制御と物理制御の差を意図しています。
• 「中継用PCはネットワーク間でパケットを転送する機能をもたない」＝安全と読み違え、“セキュリティ”を過大評価する。
• 即時性を単に“回線がつながっているかどうか”で判断し、手動操作の有無を見落とす。

FAQ

解答の論理構成

1. 【問題文】では、FA端末は「パッチの適用やマルウェア対策ソフトの導入などの、セキュリティを維持するための措置が施されていなかった」と明記されています。
2. さらに、データ更新時の手順として
   ・「A-NETに接続した標準PCにUSBメモリを接続して必要なデータをコピー」
   ・その後「②その USB メモリを FA 端末に接続」
   ・Y社担当者の場合でも「③その USB メモリを FA 端末に接続」
   とあり、USBメモリがFA端末との唯一の“橋渡し”です。
3. FA端末側にはマルウェア対策ソフトがないため、持ち込まれるUSBメモリが感染していればFA端末は無防備です。
4. よって、USBメモリをFA端末に挿す前に安全性を確認することがリスク低減策の核心となります。
5. 標準PC側にはマルウェア対策ソフトが導入済みであるため、USBメモリを「マルウェア対策ソフトでスキャン」すれば、FA端末に接続する前に不正コードを検知・駆除できます。
6. 以上より、共通して実施すべき措置は「USBメモリをマルウェア対策ソフトでスキャンする」となります。

誤りやすいポイント

• 「USBメモリを暗号化する」「書込み禁止スイッチを使う」などは情報漏えい対策であり、感染防止には直接的ではありません。
• スキャンの実施主体をFA端末側と誤解しがちですが、FA端末にはマルウェア対策ソフトがない点に注意が必要です。
• 持参したUSBメモリを“そのまま使用しない”という運用ルール全体ではなく、接続前に具体的に行う技術的措置を問われています。

FAQ

解答の論理構成

1. 認証サーバの設置方針を確認
   【問題文】
   「今後は、APでの機器の認証方式として、WPA2エンタープライズ方式を採用する…このうち、前者は全社で共用のサーバとし、システム部が管理する。後者はα工場が管理する。」
2. 事務LAN用（全社共用・システム部管理）の設置場所を特定
   ・全社向けサーバは、本社の「全社サーバLAN」に置くのが自然です。
   ・図1で「全社サーバLAN」内に位置するのは「(い)」。
   よって、事務LAN用＝(い)。
3. センサNET用（α工場管理）の設置場所を特定
   ・α工場が独自に運用するため、α工場内のセンサNETに物理的に属する必要があります。
   ・図5でセンサNET内に示されているサーバは「(か)」。
   よって、センサNET用＝(か)。
4. 結論
   事務LAN用：（い）
   センサNET用：（か）

誤りやすいポイント

• 「全社共用」というキーワードを見落とし、本社以外を選択してしまう。
• 図5の(う)はサーバLANにあるため「センサNETとは別」である点を取り違える。
• WPA2エンタープライズ＝RADIUSサーバ＝DMZと短絡し、「(あ)」を選択するミス。

FAQ

解答の論理構成

1. プロジェクトＷの目的は「サイバー攻撃などによる生産設備の停止を防ぐこと」（問題文）です。生産設備は「FA端末」に接続されているため、まず「FA端末」を守ることが必須になります。
2. 図4では「AP」が「工場LAN」にあり、その配下に「FA端末」も同居しています。よって「APへの不正接続」が成功すれば、同一ネットワーク内の「FA端末」へ到達しやすい構成です。
3. 図5では「事務LAN」「センサNET」「F-NET」の三つがそれぞれ独立に描かれており、「AP」は「事務LAN」と「センサNET」側だけに置かれ、「FA端末」は「F-NET」側にのみ接続されています（表2の説明でも「F-NET」は“FA端末…だけを接続する部門NET”と明記）。
4. したがって図5では、たとえ攻撃者が「APに不正接続」して「事務LAN」や「センサNET」に侵入しても、「F-NET」へはルーティングされないため「FA端末」を直接攻撃できません。
5. 問題指定どおり「FA端末から業務サーバにデータを安全に転送するための仕組み」を導入しなくても、上記ネットワーク分離だけで“生産設備を停止させる攻撃経路”を遮断できるため、図4よりも目的達成に優れます。
6. この論理を60字以内に凝縮したものが模範解答「事務LANとセンサNETはF-NETと分離されており、APに不正接続してもFA端末を攻撃できないから」です。

誤りやすいポイント

• 「WPA2エンタープライズ方式」に注目し過ぎて、ネットワーク分離という根本的な防御策を見落とす。
• 図5でも「AP」が増えたと誤解し、“攻撃面が広がるので不利”と逆評価してしまう。
• 「業務サーバ」は「サーバLAN」にあるため、AP侵入者が到達できると考え、FA端末保護の問いと混同してしまう。

FAQ

解答の論理構成

1. 【問題文】には、脆弱性管理プロセスの②「深刻度評価」で
   “入手した脆弱性情報について ④その時点での自社にとっての深刻度 を評価する。”
   と明記されています。
2. CVSS（Common Vulnerability Scoring System）は深刻度を多角的に示す仕組みで、
   • 基本値（Base Score）：脆弱性そのものの一般的な深刻度
   • 現状値（Temporal Score）：時間の経過や対策状況などを反映
   • 環境値（Environmental Score）：組織固有の環境や資産価値を加味
     という3層構造を採ります。
3. 文中の表現「その時点での自社にとって」は、組織固有の事情を反映した指標を求めていることを示します。CVSS の各値のうち、組織環境に応じてスコアを再計算するのは “環境値” だけです。
4. よって④に入るのは「CVSS環境値」であり、解答群の「イ」に該当します。

誤りやすいポイント

• 「現状値＝最新状況を反映」と早合点しやすい
  現状値は共通対策の有効性やエクスプロイト成熟度を表す値で、組織固有の事情までは反映しません。
• 「基本値はすべての判断基準」と思い込む
  基本値はベースラインであり、資産価値や業務影響などは盛り込まれません。
• 「CVE／CWE を深刻度評価に使う」と混同する
  CVE は識別子、CWE は脆弱性分類であり、点数ではありません。

FAQ

解答の論理構成

1. 問題文では、脆弱性管理プロセスの③「措置の実施」において
   「深刻度評価の結果に従い、⑤適切と考えられる措置を実施する。」
   と明記されています。
2. 設問は「図5中の業務サーバのソフトウェアにネットワーク経由での遠隔操作につながる可能性がある深刻度の高い脆弱性」が前提です。遠隔操作型の被害は企業ネットワーク全体（A-NET）へ波及しやすいことが、〔ランサムウェア感染〕やAPT攻撃の説明でも示唆されています。
3. したがって、まず「当該脆弱性を除去する」か「問題のソフトウェア自体を利用させない」という根本対策が最優先となります。
4. 具体策としては以下の二つが典型例です。
   ・ベンダがすでに対策を公開している場合は「当該脆弱性に対応したパッチを適用」する。
   ・パッチが未公開、または業務影響を許容できない場合は「脆弱性をもつソフトウェアの利用を停止」し、影響範囲を物理的・論理的に遮断する。
5. これらはいずれも「A-NETへの被害拡大を未然に防ぐ」という設問の要求を満たします。

誤りやすいポイント

• 「ファイアウォールで通信を遮断する」だけでは、ソフトウェアが他経路で悪用される可能性を残すため根本対策になりにくい点を見落としがちです。
• 「監視を強化する」「アクセス制御を追加する」などは補助的施策であり、脆弱性そのものを排除する措置とは区別して考える必要があります。
• ソフトウェア停止を選ぶ場合、停止による業務影響の調整を怠ると現実的でない回答になる恐れがあります。

FAQ

解答の論理構成

1. 標準PCの管理者
   • 図2の「1. “A社が従業員に貸与するPC（以下、標準PCという）は、システム部が管理する。”」より、図4・図5に登場する全ての標準PCはシステム部が担当します。
     → 解答はいずれも「エ：システム部」。
2. A-NETに属するネットワークの管理者
   • 図2の「4. “システム部は、A-NETについて、セキュリティ及びその他の不都合が生じないように管理・維持する責任と、そのための権限をもつ。”」が根拠です。
   • 図4の注記1に「“サーバLAN及び工場LANはA-NETの一部である。”」と明記されています。
     → 工場LANはシステム部が管理（エ）。
3. 部門機器の管理者
   • 図2の「5. “各部門は、標準PCとは別のPC及びその他の機器（以下、これらを併せて部門機器という）を調達し利用できる。”」により、FA端末はα工場が調達・利用する部門機器です。
     → 図4・図5のFA端末はα工場が管理（ア）。
4. 部門NETの管理者
   • 図2の「6. “各部門は、専用のネットワーク（以下、部門NETという）を構築し利用できる。”」が根拠です。
   • 表2で「“F-NET”」「“センサNET”」は部門NETであると説明されています。
     → F-NET・センサNETはいずれもα工場が管理（ア）。
   • 図5の「事務LAN」は表2で「“A-NET の一部として管理する。”」とされているためシステム部が担当（エ）。
5. 以上を整理すると
   • 図4
     ・工場LAN：エ
     ・標準PC：エ
     ・FA端末：ア
   • 図5
     ・事務LAN：エ
     ・F-NET：ア
     ・センサNET：ア
     ・標準PC：エ
     ・FA端末：ア

誤りやすいポイント

• 「事務LAN」を“部門NET”と勘違いし、α工場管理とするケース
  → 表2に「A-NET の一部」と明記されているので要注意です。
• FA端末を“標準PCの一種”と思い込みシステム部と答えてしまうケース
  → 図2の定義では標準PCはシステム部管理、その他のPCは部門機器です。
• 工場LANがA-NETに含まれることを見落とし、α工場管理にしてしまうケース
  → 図4の注記1を必ず確認しましょう。

FAQ

解答の論理構成

1. 問題は、図2‐7の「申請時には、次の事項を記した書面を提出する。」に対し、下線⑥として新たに二つの事項を追記するよう求めています。
2. 本文には、Cさんが追加を検討した項目として、次の二つが明記されています。
   • 「各部門は、部門機器及び部門NETを適切に管理・維持するための措置を定める。」
   • 「各部門は、…A-NETに接続するための申請を行う前に、当該接続についてリスクアセスメントを実施する。」
3. これらはそのままでは“実施すべき作業”の説明ですが、図2‐7に追加する以上、申請書に記載すべき具体的内容へ言い換える必要があります。
   • 1つ目は「各部門が定めた管理・維持のための措置」と整理できます。
   • 2つ目はリスクアセスメントを行った結果そのものを提出させる趣旨なので「リスクアセスメントの結果」と整理します。
4. 以上より、下線⑥に追記する二つの事項は次の通り導かれます。
   • ① 各部門が定めた管理・維持のための措置
   • ② リスクアセスメントの結果

誤りやすいポイント

• 「リスクアセスメントの実施予定」など“計画”を書くと誤答です。本文は「実施する」と述べており、提出すべきは結果です。
• 「対策内容」だけを書くと、管理・維持の“ための措置”である点が抜け、具体性不足で減点になります。
• 既存の提出項目「接続の目的」等と重複してしまう回答をしがちですが、それらはすでに規程に存在するため追加項目には該当しません。

FAQ