情報処理安全確保支援士 2022年 秋期 午後2 問01

解答の論理構成

1. 検体αの挙動から注目すべき特徴
   【問題文】表4に「ダウンロードしたプログラムコードは、①ディスクには展開されずメモリ内だけに展開される。」と明記されています。
2. この特徴が示すマルウェアの種別
   ファイルシステム上に実体を残さずRAM上だけで動作するものは、一般に “ファイルレス” と呼ばれます。したがって該当する解答群の選択肢は「エ：ファイルレスマルウェア」となります。
3. 結論
   メモリ内でのみ動作し、痕跡を残しにくい性質から、解答は「エ」です。

誤りやすいポイント

• 「キーボード入力を記録する」という記述から「ウ：トロイの木馬」と誤認するケースがありますが、トロイの木馬はファイルとして常駐する例が多く、メモリだけに展開される点が決定的な相違です。
• 「C&Cサーバに接続」という文言で“ランサムウェア”など遠隔操作系を連想しやすいものの、ファイルレスかどうかは別問題である点に注意が必要です。
• “ファイルレス”のキーワードが見当たらなくても、「ディスクには展開されず」という表現＝ファイルレス、と直結させる読み取り力が問われます。

FAQ

解答の論理構成

1. 検体αの挙動
   【問題文】表4より
   「検体α：『C&Cサーバに接続し、プログラムコードをダウンロードした。』」
   ─ 検体αは外部のC&Cサーバと通信して初めてキーロガー機能を実行します。
2. 攻撃者が変更し得る要素
   近年の攻撃では、発覚を避けるためC&Cサーバの所在を頻繁に変える手口が一般的です。IPアドレスを切り替えれば、旧アドレスへアクセスしても応答がなくなり、マルウェアはプログラムコードを取得できません。
3. 下線②の主旨
   【問題文】
   「『今日確認した検体αの挙動が、検体αを週明けに再実行した時には、攻撃者による変更によって再現できなくなる』」
   ─ 再現不能になる原因は、検体αがアクセスするC&Cサーバ側の情報が週末の間に書き換わるケースを想定しています。
4. 保存指示の理由
   仮想マシンをスナップショット保存しておけば、アクセス先のIPアドレスやDNS解決結果を含むネットワーク状態を保持できます。これにより、月曜に旧アドレスが既に無効化されていても、保存した環境で再現試行が可能です。
5. 以上から、攻撃者が変更することで挙動が再現できなくなるものは
   「C&CサーバのIPアドレス」です。

誤りやすいポイント

• 「C&Cサーバそのもの」と答えてしまう
  物理サーバ移転ではなく“所在情報”の変更が本質です。
• 「ダウンロードするプログラムコード」と誤解する
  コード内容が変わっても接続自体は再現できます。挙動が再現不能になる決定的要因は接続先のIPアドレス変更です。
• 「ドメイン名」と答える
  多くのマルウェアは直接IPアドレスで通信するか、DNSキャッシュを利用するため、ドメインよりIPが重要となります。

FAQ

解答の論理構成

1. 現在の解析環境の特徴
   【問題文】表1「解析環境」には“サンドボックス用の複数の仮想マシンで構成されている”と記載されています。
2. 検体γが解析できなかった理由
   表4の検体γの簡易解析結果には“自身が仮想マシン上で動作していることを検知すると…終了する”とあります。これは仮想環境での解析を回避する典型的機能です。
3. 会議で決まった対応
   本文では“検体γは現在の解析環境ではこれ以上解析できないので、③別の環境を構築して解析することが決定した”とあります。
4. したがって「別の環境」とは、仮想マシン依存を回避できる実機環境を指すと導けます。
5. 以上より模範解答は「仮想マシンではない実機環境を使う」となります。

誤りやすいポイント

• 「ネットワークを外部と切り離す」など通信面の違いと誤解する。実際の焦点は“仮想/実機”の違いです。
• 解析ツールを変えるだけと判断しがちですが、検体γは仮想マシン自体を検知して終了するため環境全体を実機に替える必要があります。
• “高性能な仮想化基盤”や“別のハイパーバイザ”では同じく検知される可能性があり根本解決になりません。

FAQ

解答の導き方

1. 必要条件の確認
   • 手順の基本方針として「解析ファイルの転送は、必ず検疫PCを経由させる。」とあります。これにより、OF機器から直接ファイルシェアサーバへ渡すことは禁止され、必ず検疫PCを経由して検査を行う必要があります。
   • また「検疫PCは、表3の通信制御のルールについては、OF機器として扱う。」とあるため、ルータのモード（内部モード／公開モード）に応じた通信可否の規則が検疫PCにも適用されます。
   • PFW（パーソナルファイアウォール）については「検疫PCは、パーソナルファイアウォール（以下、PFWという）の設定によって、検疫PCと管理Webサーバとの間の通信だけを許可しておき、解析ファイルの転送に必要な通信を転送時にだけ許可する。」とあるため、転送時にのみ必要な通信を一時的に許可する運用が前提です。
   • さらに「検体の実行後、検疫PC以外のOF機器と、ファイルシェアサーバとは直接通信させない。」という制約があります。
2. 表3からの論理的帰結（重要）
   • 表3を見ると、OF機器→ファイルシェアサーバは「内部モード」で「許可」、「公開モード」で「禁止」です。同様にファイルシェアサーバ→OF機器も「内部モード」で「許可」です。つまりルータが内部モードのときはOF機器とファイルシェアサーバ間の双方向通信が可能になります。
   • したがって、ルータを内部モードに切り替えた状態でOF機器が稼働していると、検疫PC以外のOF機器からファイルシェアサーバへ（あるいは逆方向へ）通信できてしまい、ファイルシェアサーバ感染のリスクが高まります。
3. 図5手順への当てはめ方（順序の論理）
   • 図5の手順2でOF機器から解析ファイルを収集しているため、まずその収集物を検疫PCに移す必要があります。選択肢の中で「解析ファイルをOF機器から検疫PCに転送する」操作が含まれるのはアだけです。さらにアは「検疫PCのPFWの設定を変更して検疫PCとOF機器との間の通信を許可する」と明示しており、PFW運用方針にも合致します。したがって［a］＝アが妥当です。
   • 検疫PCにファイルを移した後、ルータを先に内部モードに切り替えると他のOF機器がファイルシェアサーバと通信可能になってしまうため、安全確保のために「検疫PCを除くOF機器をシャットダウンする」操作を行って、内部モードにしても通信可能な端末を検疫PCのみに限定する必要があります。これは選択肢ウに該当するため［b］＝ウです。
   • 図5の手順5で「検疫PCにログインし、マルウェアスキャンを実行して検疫PCがマルウェアに感染していないことを確認した上で、以降の手順に進む。」とあるため、シャットダウン後にスキャンを行い、検疫PCがクリーンであることを確認します。スキャンが成功したら、ファイルシェアサーバとの通信を可能にするためにルータを内部モードに切り替えます。表3より、ファイルシェアへの送信は「内部モード」でないと許可されないため、ここで「使用したOF環境内のルータを内部モードに切り替える」操作（選択肢エ）を実行します。よって［c］＝エです。
   • ルータが内部モードになり、かつ検疫PCのスキャンでクリーンが確認できたら、PFWを一時的に変更して検疫PCとファイルシェアサーバ間の通信のみを許可し、検疫PCからファイルをファイルシェアサーバに転送します。これに対応するのは選択肢イです。したがって［d］＝イです。

誤りやすいポイント

• 図4の旧手順のようにルータを先に「内部モード」に切り替えてしまう誤り。内部モードでは「OF機器→ファイルシェアサーバ」が「許可」されるため、検疫PC以外のOF機器がファイルシェアサーバと通信してしまい、感染を広げる危険があります。
• 表3の双方向性を見落とす誤り。片方向（OF→ファイルシェア）だけを考え、ファイルシェア→OF機器の挙動（内部モードで許可される）を無視すると、ファイルシェアからOF機器への逆伝播を見落とします。
• PFWの変更タイミングを間違える誤り。PFWは必要な転送時にのみ許可する運用であるため、常時広く許可してしまうと危険です。
• 「検疫PCはOF機器として扱う」を忘れる誤り。検疫PCにも表3のルールが適用される点を見落とすと、ルータモード切替の影響を誤判断します。

FAQ

解答の論理構成

1. eは「ネットワーク内の機器の情報を得たいと考え」て実行した機能です。
   ――【問題文】“(3) ネットワーク内の機器の情報を得たいと考え、表5中の項番eの機能を実行した。”
2. 機器情報の取得は、ARP要求をブロードキャストし応答を収集する作業に相当します。
3. 表5を確認すると、項番“1”の“プローブ機能”の説明に
   ――【問題文】“OS標準の機能を用いて同一セグメント内にARP要求を出し、応答を記録する。”
   とあり、まさに機器情報（IPとMACの対応）を得るための処理です。
4. よって、eに入るのは項番“1”となります。

誤りやすいポイント

• “ARPスプーフィング機能”を選んでしまう
  └ 機器情報を得る目的ではなく、偽情報を送って通信を乗っ取るための機能。説明文にも“機器がARP要求を出した際に…不正なARP応答を送る”とあり目的が異なる。
• “中継機能”を選んでしまう
  └ これはスプーフィング成立後に盗聴を成立させるための機能であり、ARPテーブル調査とは無関係。
• ARPテーブルの変化＝スプーフィング開始と早合点
  └ まず機器一覧を把握しなければ標的選定ができない。順序を意識すること。

FAQ

解答の論理構成

1. 前提となる各機器のMACアドレス
   • 図6には
   － X-PC：XX-XX-XX-fb-44-25
   － 標的PC：XX-XX-XX-23-46-4a
   － DNSサーバ：XX-XX-XX-f9-48-1b
   が示されています。
2. ARPスプーフィングの狙い
   問題文の「標的PCからDNSサーバへの通信を盗み見る準備を整えた。」より、X-PCは
   ① 標的PCの「DNSサーバ → MAC」の対応を自分のMACに書き換える
   ② DNSサーバの「標的PC → MAC」の対応も自分のMACに書き換える
   ことで中間者(MITM)を成立させています。
3. X-PCのARPテーブル（表7）の決定
   X-PC側は正しい宛先へパケットを転送しなければならないため、 ・192.168.15.51（標的PC）→ 標的PC本来のMAC XX-XX-XX-23-46-4a
   ・192.168.15.98（DNSサーバ）→ DNSサーバ本来のMAC XX-XX-XX-f9-48-1b
   と保持します。
   よって
   f：ア（XX-XX-XX-23-46-4a）
   g：イ（XX-XX-XX-f9-48-1b）
4. 標的PCのARPテーブル（表8）の決定
   標的PCには攻撃者MACを注入するので、 ・192.168.15.50（X-PC）→ 当然X-PCのMAC XX-XX-XX-fb-44-25
   ・192.168.15.98（DNSサーバ）→ X-PCのMAC XX-XX-XX-fb-44-25（偽情報）
   となります。
   よって
   h：ウ（XX-XX-XX-fb-44-25）
   i：ウ（XX-XX-XX-fb-44-25）

誤りやすいポイント

• 「攻撃者のARPテーブルも改ざんされる」と勘違いし、f・gに攻撃者MACを入れてしまう。攻撃者は転送のために正しい対応表が必要です。
• 標的PCの192.168.15.50を“自分自身”と誤解して別のMACを選択するケース。IPがX-PCであることを把握しましょう。
• ブロードキャストMAC XX-XX-XX-ff-ff-ffを選びがちですが、ARPでは要求時にのみ使われ、テーブルには登録されません。

FAQ

解答の論理構成

1. 事前情報の整理
   ・図6より
   ― Ｘ-ＰＣ：IP“192.168.15.50”、MAC“XX-XX-XX-fb-44-25”
   ― 標的ＰＣ：IP“192.168.15.51”、MAC“XX-XX-XX-23-46-4a”
   ― ＤＮＳサーバ：IP“192.168.15.98”、MAC“XX-XX-XX-f9-48-1b”
   ・Ａツールの“ARPスプーフィング機能”は【問題文】「標的の機器がARP要求を出した際に…自身のMACアドレスを含んだ不正なARP応答を送る」とある。
   ⇒ 標的ＰＣもＤＮＳサーバも、互いのIPアドレスをＸ-ＰＣのMAC“XX-XX-XX-fb-44-25”と誤認する。
2. パケット流れの推定
   (1) 標的ＰＣ → ＤＮＳサーバ（クエリ）
   ・IPヘッダは送信元“192.168.15.51”／宛先“192.168.15.98”
   ・宛先MACは誤認によりＸ-ＰＣ“XX-XX-XX-fb-44-25”
   ・送信元MACは標的ＰＣ自身“XX-XX-XX-23-46-4a”
   (2) Ｘ-ＰＣ → ＤＮＳサーバ（中継）
   ・IPヘッダはそのまま転送
   ・送信元MACはＸ-ＰＣ“XX-XX-XX-fb-44-25”
   ・宛先MACはＤＮＳサーバ“XX-XX-XX-f9-48-1b”
   (3) ＤＮＳサーバ → Ｘ-ＰＣ（応答）
   ・送信元MACはＤＮＳサーバ“XX-XX-XX-f9-48-1b”
   ・宛先MACはＸ-ＰＣ“XX-XX-XX-fb-44-25”
   (4) Ｘ-ＰＣ → 標的ＰＣ（応答を中継）
   ・送信元MACはＸ-ＰＣ“XX-XX-XX-fb-44-25”
   ・宛先MACは標的ＰＣ“XX-XX-XX-23-46-4a”
3. 表9と照合
   【問題文】表9は送信元IP/宛先IPがすべて“192.168.15.51”→“192.168.15.98”またはその逆で固定。
   行ごとに上記(1)〜(4)を対応させると
   ・1行目＝(1) → j＝標的ＰＣMAC“XX-XX-XX-23-46-4a”、k＝Ｘ-ＰＣMAC“XX-XX-XX-fb-44-25”
   ・2行目＝(2) → l＝Ｘ-ＰＣMAC“XX-XX-XX-fb-44-25”、m＝ＤＮＳMAC“XX-XX-XX-f9-48-1b”
   ・3行目はすでに数値で固定（ＤＮＳ→Ｘ-ＰＣ）
   ・4行目＝(4) → n＝Ｘ-ＰＣMAC“XX-XX-XX-fb-44-25”、o＝標的ＰＣMAC“XX-XX-XX-23-46-4a”
4. 解答
   j：ア　k：ウ　l：ウ　m：イ　n：ウ　o：ア

誤りやすいポイント

• 「送信元IP＝192.168.15.51なら送信元MACも同一」と早合点し、ARPスプーフィング後の中継パケット（送信元MACがＸ-ＰＣ）を見落としやすい。
• ブロードキャストMAC“XX-XX-XX-ff-ff-ff”はARP要求のときだけ現れる。表9はDNSトラフィックなので該当しない。
• DNS応答の最終中継（Ｘ-ＰＣ→標的ＰＣ）を逆方向の通信と勘違いし、MACを入れ替えてしまう。

FAQ

解答の論理構成

1. 図7には「利用者が設定したパスワードは、Blowfish暗号を用いた、ソルトあり、④ストレッチングありのハッシュ関数を用いて出力した文字列」と記載されています。
2. 「ストレッチング」は、パスワードのハッシュ計算を多数回繰り返すことで計算量を増やし、⑤ブルートフォース攻撃に対抗する機能を強化する技術として用いられます。
3. したがって、④は「同じハッシュ処理を反復して実行し、計算コストを高めること」を指します。
4. 以上より模範解答「ハッシュ化を繰り返す処理」となります。

誤りやすいポイント

• ソルトとストレッチングを混同し、単に「ランダム値を付与」と答えてしまう。
• 「鍵長を伸ばす」「暗号化を複数回」など、ハッシュではなく暗号処理と誤解してしまう。
• ストレッチングの目的を「ハッシュ値を長くする」と捉え、反復計算である点を外してしまう。

FAQ

解答の論理構成

1. 表10の項番「1」では、ブルートフォース攻撃を断念した理由として
   「⑤ブルートフォース攻撃に対抗する機能があるから」
   と明示している。
2. その“機能”が具体的に何かは、図7の設計資料に示されたログイン制御に着目すると判明する。図7には
   「ログイン失敗が『5回』連続した場合は当該利用者ＩＤによるログインを『10分間』ロックする」
   という仕様が記載されている。
3. 連続失敗回数と時間でアカウントを一時的に停止する挙動は、辞書／総当たりを阻止する典型的な防御策であり、これが⑤で求められている機能である。
4. したがって解答は
   「ログイン失敗が5回連続した場合に当該利用者IDをロックする機能」
   となる。

誤りやすいポイント

• 「CAPTCHA表示」や「IPアドレスを遮断する機能」と誤解しやすい。⑤は“利用者ＩＤ”単位のロックであり、ネットワーク層での遮断ではない。
• 「パスワードリトライ回数を制限する機能」とだけ書くと、時間によるロックを明示していないため減点対象になる。
• 5回→10分の具体値を示さず抽象表現（例：一定回数でロック）にすると根拠不足になりやすい。

FAQ

解答の論理構成

• 表10の項番2には、 「文字列Zに含まれるハッシュ値から平文を得るために、p攻撃を行う。」
  とあり、その困難理由として
  「文字列Zの生成にはソルトが用いられているから」
  と説明されています。
• ソルトは、同じ平文パスワードでもユーザごとに異なるハッシュ値を生成させ、あらかじめ計算済みのハッシュ一覧表を無効化します。
• 事前計算済みのハッシュ一覧表を利用して逆引きする代表的な攻撃が「レインボーテーブル攻撃」です。
  ソルトによって「レインボーテーブルの事前計算が成立しない」ため、困難になるという理由と完全に一致します。
• したがって、p に入る攻撃は解答群「エ：レインボーテーブル」と判断できます。

誤りやすいポイント

• 「Pass the Hash」はハッシュそのものを再利用する横取り型であり、ソルトの有無で困難さはほとんど変わらない点を見落としやすいです。
• 「既知平文攻撃」は暗号文と対応する平文が既に手元にある前提の手法で、ソルトとは直接関係しません。
• ソルトは辞書攻撃全般を遅延させますが、特に「事前計算型」であるレインボーテーブル攻撃に強いことを押さえておく必要があります。

FAQ

解答の論理構成

• 【問題文】図7‐3には「システム管理者のパスワードは、いずれも “Admin［数字5桁］”」と明記されています。
• 図8‐ＳＴＥＰ2では「⑥システム管理者のパスワードとしてn番目の候補となる文字列 を生成する」と示されています。
• したがって、候補生成は“Admin”の後ろに0〜99999をゼロパディングした5桁の数字を連結する処理になります。
• この連結結果こそが下線⑥で求められている「具体的な文字列」です。

誤りやすいポイント

• 「5桁」のゼロパディングを忘れ、桁数可変の数字列を付けてしまう。
• ⑥をハッシュ値や暗号文と誤解し、H文字列を答えてしまう。
• “Admin”以前にソルトを付けるなど、パスワード形式を勝手に拡張してしまう。

FAQ

解答の導き方

1. 設問が問うていることの確認
   図9は「各PC及びサーバのARPテーブルを常時監視して、⑦ARPテーブルの不審な状態を確認した場合には…」と記載しており、⑦には具体的な「不審な状態」を記述する必要があります。
2. 攻撃手法の動作から期待されるARPテーブルの変化を押さえる
   表5の説明に「ARPスプーフィング機能…自身のMACアドレスを含んだ不正なARP応答を送る。」とあります。攻撃者は自分のMACアドレスで複数のIPアドレスに対して不正応答を返すため、被害端末のARPテーブルは攻撃者のMACアドレスを複数のIPに対して記録する可能性があります。
3. 問題文中の観測結果と照合する
   • (5)で「標的PCのIPアドレスを指定して実行した後、DNSサーバのIPアドレスを指定して実行」しており、攻撃者は両方のIPに対して不正応答を行っています。
   • 表7（ARPスプーフィング機能実行後のX-PCのARPテーブル）では192.168.15.51 → f, 192.168.15.98 → g があり、表8（標的PCのARPテーブル）でも192.168.15.50 → h, 192.168.15.98 → i とあります。これらはARP応答が書き換えられたことを示す抜粋です。
   • さらに表9のパケット記録を見ると、同じ送信元IP 192.168.15.51のDNSパケットで送信元MACが j と l で異なる行が存在します（表9の1行目と2行目）。同一IPに対してネットワーク上で異なるMACが現れている＝ARPの割り当てに矛盾が生じていることを意味します。
4. 以上をまとめると
   攻撃者が自身のMACで複数のIPに不正応答を返しているため、被害側のARPテーブルには同一の攻撃者MACが複数のIPに対するエントリとして記録されます。つまり、図9の「ARPテーブルの不審な状態」は、同一のMACアドレスが複数のIPエントリとして存在する状態、すなわち「同一のMACアドレスのエントリが複数存在する状態」です。

誤りやすいポイント

• 「同一IPに複数のMACが登録される状態」と表現してしまう誤り。観測データ（表9）では同一IPに対し複数のMACが現れる現象も見えるが、図9で提案する監視項目は「同一のMACが複数のIPに登録されること」を意図している点に留意する。
• 表7～表9の角かっこ付き表記（例：f）をそのまま異なる値と断定してしまう誤り。角かっこは観測値の占有記号であり、「同じ実体（攻撃者MAC）が複数のエントリに現れているか」を確認することが重要。
• 監視対象を「単発のARP変化」だけにすると誤検知が多くなる点。短時間の変化と継続的・複数IPへの同一MAC出現は意味合いが異なる。

FAQ

解答の論理構成

1. 図7の情報には「デバッグログには、ログインした利用者IDごとの、セッション情報、H文字列を含む認証情報…が出力されていた。」と明記されています。
2. Tさんはこの「H文字列を含む認証情報」を利用し、図8のオフライン攻撃でシステム管理者のパスワードを解読して5番目のflagを取得しました。
3. 従って、同様の攻撃を防ぐための最も直接的な運用改善は、デバッグログから認証情報自体を取り除くことです。
4. 図9は改善提案の(3)ログの観点でqを求めています。ここには「デバッグログに認証情報を出力しないこと」と記載することで、上記の問題点を根本から解消でき、攻撃の再現を防止できます。

誤りやすいポイント

• 「ログを暗号化する」「アクセス制御を強化する」なども有効ですが、設問は“デバッグログに記録される内容”を直接改善する提案を求めています。
• 「パスワードをハッシュ化して保存する」は既に実装済み（Blowfish＋ソルト＋ストレッチング）であり、本問の焦点ではありません。
• 「H文字列をマスクする」と書くとハッシュ以外の認証情報は残ってしまうため不十分です。

FAQ