情報処理安全確保支援士 2021年 春期 午後1 問03

解答の論理構成

1. 【問題文】の該当箇所
   「パッチ担当者は、セキュリティパッチを検証LANのPCに適用し、社内で利用しているアプリケーションプログラムを2日間動作させて［　a　］を確認する。」
   ──ここで求められているのは、“2日間試験運用した目的”です。
2. セキュリティパッチ適用後の一般的な確認項目
   ・パッチ適用で OS やアプリが起動しなくなる／異常終了するなどの不具合がないか
   ・ネットワークや周辺機器の利用に支障が出ないか
   → まとめると「PCの通常業務が問題なく行えるか」を確認する作業になります。
3. よって［　a　］には
   「PCの動作に問題がないこと」
   と記述するのが的確であり、【問題文】の流れとも合致します。

誤りやすいポイント

• 「脆弱性がないこと」など“セキュリティ面”だけを書いてしまう
  → パッチ適用後の動作検証は機能面の正常性確認が主目的です。
• 「アプリケーションが正常に動作すること」と限定してしまう
  → OS や周辺機器も含めた PC 全体を確認する必要があります。
• 「2日間」の期間に注目して期間そのものを書いてしまう
  → 問われているのは“目的”であって“期間”ではありません。

FAQ

解答の論理構成

1. 問題文は、パケット収集装置を接続する場所について
   “①マルウェア感染がDMZ又はどのLANで起きてもマルウェアからインターネットへの通信が通過することになるL2SW”
   と指定している。
2. 図1の通信経路を整理すると
   ・インターネット ⇔ FW ⇔ L2SW1 ⇔ DMZ（外部メールサーバ、外部DNSサーバ、プロキシサーバ）
   ・利用者LAN・内部システムLAN・検証LANからインターネットへ出る際は、まずFWを越える必要があり、その出入口となるのがDMZ側にある“プロキシサーバ”。
   ・したがって、利用者LANや内部システムLANでマルウェアが発生しても、外部と通信するためにはプロキシサーバを経由し、その通信は必ず「FW→L2SW1→プロキシサーバ」という経路を通る。
3. DMZ 内でマルウェアが動作した場合も、インターネットへ出るときは同じく
   “L2SW1 → FW → インターネット”
   を通過する。
4. 以上より、 “DMZ又はどのLANで起きても”
   という条件を同時に満たす唯一の L2SW は “FW と DMZ セグメントを直結している L2SW1” である。
5. よって解答は
   L2SW1
   となる。

誤りやすいポイント

• 「全LANの出口＝L3SW」と早合点しやすい
  L3SW は利用者LANや内部システムLANの集約点ですが、DMZ からは経由しません。問題は“DMZ又はどのLAN”を同時に満たすことが条件です。
• 「FW 直下に L2SW は無い」と図を見落とす
  図1では FW と DMZ サーバ群の間に確かに “L2SW1” が存在します。DMZ サーバ同士はハブ的に L2SW1 で接続されています。
• 「プロキシを経由する通信だけを対象」と思い込む
  外部メールサーバや外部DNSサーバも DMZ 内にあるため、これらへのアクセスも L2SW1 を通過します。

FAQ

解答の論理構成

1. 【問題文】では、WoLに関して次のように記載されています。
   「PC－XからPC－Yに対し、bに続けて、起動したいPCのcを16回繰り返したデータを含む起動パケットを送信」
   WoL の“マジックパケット”は
   ① 先頭に FF が 6 バイト（16進表記で「FF:FF:FF:FF:FF:FF」）並び、 ② 続いて対象 PC の MAC アドレスを 16 回繰り返す
   という固定フォーマットで定義されています。
2. 解答群を見ると、①に該当する「FF」6バイト連続は【エ：FF:FF:FF:FF:FF:FF】のみです。
3. したがって、b に入る字句は「FF:FF:FF:FF:FF:FF」となり、記号【エ】が正答です。

誤りやすいポイント

• 「ブロードキャスト＝00:00:00:00:00:00」と誤解する。ARP などで使う“全 0”と、WoL の“全 FF”を混同しやすいです。
• 「FF が 3 バイト交互に出るパターン（00:FF:00…）」をマジックパケットと誤認する。WoL は必ず FF が 6 連続です。
• 先頭 6 バイトの後に来る16回繰り返しを MAC アドレスの代わりにブロードキャストアドレスだと思い込む。フォーマット順序を把握していないと間違えがちです。

FAQ

解答の論理構成

• 【問題文】には
  “PC－XからPC－Yに対し、bに続けて、起動したいPCのcを16回繰り返したデータを含む起動パケットを送信”
  とあります。
• Wake on LAN の“マジックパケット”は
  ① 先頭に FF FF FF FF FF FF（16進表記、bに該当）
  ② 続けて対象端末の“48bitのMACアドレス”を16回連続で配置
  というフォーマットであることが標準仕様です。
• 選択肢では
  ア：IPアドレス
  イ：MACアドレス
  ウ：製造番号
  エ：プロダクトID
  オ：ホスト名
  が提示されています。
• 16回繰り返し送るのは「48bit×16＝96byte」に固定できる“イ：MACアドレス”だけです。IPアドレスやホスト名は長さが可変で、マジックパケット仕様と一致しません。
• したがって c に入る語句は
  “イ：MACアドレス”
  となります。

誤りやすいポイント

• 「ARPテーブルに載っている＝IPアドレスを使う」と早合点してしまう。WoLがレイヤ2の仕組みであることを忘れないようにしましょう。
• “16回繰り返す”というヒントを見落とし、単に識別情報だからと「オ：ホスト名」を選んでしまうケース。
• マジックパケットをブロードキャスト送信する流れを知らず、「ユニキャストだからIPアドレスが必要」と思い込むミス。

FAQ

解答の論理構成

1. WoLの仕組み
   • 【問題文】「WoLとは、WoLに対応したPCに対し、特定の起動パケットを送信すると、当該PCが起動するという仕組みです。」
   • 起動パケットは MAC ブロードキャストで送られるため、同一セグメント内であれば届くが、L3 で区切られた先には届かないのが通常です。
2. 検証時の現象
   • 【問題文】「PC－XからPC－Y…起動パケットを送信し、PC－Yが起動することを確認した。」
   • これは両 PC が検証 LAN の同一 L2SW（同一セグメント）にあるため成功したと読み取れます。
3. 失敗の原因
   • 【問題文】「資産管理サーバからPC－Yの起動を試みたが、起動しなかった。」
   • 資産管理サーバは「内部システム LAN」、PC－Y は「検証 LAN」にあり、間に「L3SW」が存在しています。L3SW は通常、ブロードキャストを次のセグメントへ転送しません。
4. 求められる設定変更
   • 【問題文】「②L3SWの設定を変更する必要がある」
   • したがって、L3SW に“ブロードキャスト転送（Directed Broadcast や IP helper など）を有効化する”設定を入れ、起動パケットが他セグメントへ届くようにする必要があります。
5. 設定後の結果
   • 【問題文】「L3SWの設定を変更し、資産管理サーバからPC－Yを起動できることを確認した。」
   • これは設定が“起動パケットを他のセグメントに転送”する内容だったことを裏付けます。

誤りやすいポイント

• 「資産管理サーバの送信先 IP やポートを変える」などアプリ側設定と誤解しがちです。問題は L3SW のレイヤ設定です。
• VLAN 間ルーティングを無効化すると考える受験者もいますが、それでは通常通信まで遮断してしまいます。
• ACL 追加と回答してしまうケースがありますが、ここで求められるのはブロードキャスト転送機能の有効化です。

FAQ

解答の論理構成

1. 図5の記述を確認
   • 下線部③には「自身が動作するPCのARPテーブルから下記(2)及び(4)の活動に必要な情報を読み取って」とあります。
   • ARPテーブルは「IPアドレス」と「MACアドレス」を対応付けて保持するデータ構造です。
2. (2) の活動を読み解く
   • 図5の(2) には「夜間にARPテーブル中のPC全てにpingコマンドを送信し、PCが起動しているかどうかを確認する」とあります。
   • pingコマンドは ICMP を用いて「宛先IPアドレス」にエコー要求を送ることで通信可否を確認するため、必要なのは IP アドレスです。
3. (4) の活動を読み解く
   • 図5の(4) には「起動していないPCを発見したら、WoLを使ってそれらのPCを起動し、感染拡大を試みる」とあります。
   • WoL（Wake on LAN）の起動パケットは「FF FF FF FF FF FF」に続けて対象機器の「MACアドレスを16回繰り返したデータ」を送る方式であり、MAC アドレスが必須です。
   • 問題文中にも「PC－XからPC－Yに対し、bに続けて、起動したいPCのcを16回繰り返したデータを含む起動パケット」と記載され、WoLに MAC アドレスを使用している事実が裏付けられています。
4. 以上より
   • (2) の活動に必要な情報 … 「IPアドレス」
   • (4) の活動に必要な情報 … 「MACアドレス」

誤りやすいポイント

• ARPテーブル＝「IP ⇔ MAC」が対になっていることを失念し、「ホスト名」などと混同する。
• ping が名前解決を伴うケースを想像し DNS 情報を答えてしまう。実際には ARP テーブル内のエントリへ直接 ICMP を送るので IP アドレスが必要です。
• WoL の魔法パケット構造を誤解し、ブロードキャストアドレスやポート番号を回答してしまう。

FAQ

解答の論理構成

1. 問題は下線部④「対策3をG社で導入済のシステムを用いて実現する方法」を問うています。
2. マルウェアの挙動は図5に記載された「(2)夜間にARPテーブル中のPC全てにpingコマンドを送信し…」であり、夜間に ARP／ping が動くこと自体が不審行為です。
3. G社に既に導入済みで、プロセス監視と通信遮断ができるのは表1「エージェント」の次の機能です。
   ・「PC上で起動する全てのプロセスを監視する。指定した時間帯に指定したコマンドが実行された場合、EDR管理サーバとの間の通信を除き、当該PCの全ての通信を遮断する機能をもつ。」
4. これを利用し、「夜間」という時間帯に「arp コマンド」（ARPテーブル参照用）を検知したら即遮断、すなわちネットワーク隔離すれば侵害拡大を防げます。
5. よって模範解答は「エージェントによって、夜間にarpコマンドの実行を検知したら、当該PCをネットワークから隔離する。」となります。

誤りやすいポイント

• 「ping」実行検知と書くとARPテーブル参照というマルウェアの前段を見逃す恐れがあります。ARP参照自体を監視対象にすることが重要です。
• FW や IDS を用いると答えると「導入済のシステム」ではないため不適切です。問題は既存の「エージェント」を使うことを求めています。
• 夜間の定義を書かずに単に「検知したら遮断」とすると時間帯条件を欠き、設問の趣旨から外れます。

FAQ