情報処理安全確保支援士 2020年 秋期 午後1 問03

　L社は、ECサイトを運営している従業員数800名の企業である。L社のモールの会員は、モールで買物をすると、購入金額に応じてL社が独自に発行するポイントが得られる。L社のポイントサービス部が管理するポイントシステム（以下、Pシステムという）のネットワーク構成を図1に示す。

　Pシステムが受付する1日の時間帯別の通量の比率は、0時～8時が2%、8時～16時が55%、16時～24時が43%である。Pシステムの機器は全て固定IPアドレスで運用している。 　Pシステムの機器の概要を表1に示す。

〔Pシステムの診断計画〕 　ECサイトへの情報セキュリティ上の脅威の高まりを受け、L社は、Pシステムの脆弱性診断を実施することを決定した。L社のリスク管理部のT主任と部下のUさんが、診断計画を策定する担当に任命された。T主任は、図3に示す診断要件を基に診断計画を策定するようUさんに指示した。

　Uさんは、専門業者の診断サービスについて調査し、図4に示す調査結果を得た。

　Uさんは、調査結果を基にL社で実施すべき脆弱性診断の検討に入った。Web診断については、次のように実施することにした。 　・診断用の利用者IDを作成する。その利用者に診断用のポイントを付与し、Pシステムにログインして診断する。 　・ログイン無しでアクセスできるページも診断する。 　・診断の状態に戻せないようなデータの更新が発生する診断は実施しない。 　 　PF診断については、T主任から助言を得ることにした。次は、本番Webサーバがインターネットから攻撃される脅威を想定した時の、PF診断に関する、UさんとT主任の会話である。

　Uさん： インターネットから診断する場合、調査した幾つかの事例によると、PF診断の実施時だけ、N-IPSの脅威通信判定を無効にすることがあるようです。有効なまま診断するケースと比べ、無効にすると、①より多くの脆弱性を検出する可能性があります。 　T主任： 無効にすると、PF診断実施時に本物の攻撃を防げないというリスクも生ずる。無効にするのではなく、②N-IPSの設定を変更すれば、そのようなリスクは生じない。 　Uさん： 分かりました。 　T主任： それと、インターネットからのPF診断の通信経路を考慮すると、インターネットからのPF診断だけでなく、内部のネットワークからのPF診断も実施すべきだ。 　Uさん： 分かりました。その場合は、想定する脅威を踏まえると、診断PCを図1中の接続点aに接続して診断すれば良いでしょうか。 　T主任： そのとおりだ。 　 　UさんはT主任のアドバイスを踏まえ、更に検討を進め、診断計画を表2のとおりにまとめた。

　 〔Pシステムの診断計画レビュー〕 　診断計画レビューにおいてT主任は、診断の検査項目の内容は妥当であるとした上で、次の指摘を行った。

　指摘1：Web診断は本番環境ではなく、ステージング環境で行うべきである。ステージング環境で実施する際、全ての診断の終了後に、担当者が、FW1の設定を元に戻すこと、及びステージング環境のbを削除することを、明確に手順書に記載すること 　指摘2：PF診断は本番環境で実施すべきだが、サーバが異常停止した場合の影響を最小化するために③計画の一部を変更すること 　指摘3：診断2の実施に当たっては、警告灯が点灯することで社内に混乱が起きないよう、運用グループに④機器の設定の変更を依頼すること　

　その後、指摘3に従い、Uさんは運用グループに診断計画を説明して設定の変更を依頼した。運用グループから、設定の変更については承諾を得られたが、診断計画について、診断2の診断PCを接続するポイントを、図1の(e)から(d)に変更する必要があるという提案があった。 　この提案について、運用グループから説明があった。運用グループによれば、最近配属された担当者が、Web管理PCから本番DBサーバにログインを試みた。その結果、警告灯が点灯し、運用グループは緊急対応体制をとることになってしまった。その再発防止策の一つとして、FW2のルールを修正し、c宛ての通信については、dからの通信だけをeすることにした。その影響で、接続ポイントの変更が必要になるとのことだった。 　 　UさんはT主任の指摘及び運用グループからの提案を踏まえ、診断計画を確定し、診断実施に向けて準備を進めた。