情報処理安全確保支援士 2024年 春期 午後 問02

　H社は、従業員3,000名の製造業であり、H社製品の部品を製造する約500社と取引を行っている。取引先は、H社に設置された取引先向けWebサーバにHTTPSでアクセスし、利用者IDとパスワードでログインした後、H社との取引業務を行っている。また、公開Webサーバでは、H社製品の紹介に加え、問合せや要望の受付を行っている。いずれのWebサーバが停止しても、業務に支障が出る。 　H社では、社内に設置しているPC（以下、H-PCという）とは別に、一部の従業員に対して、VPNクライアントソフトウェアを導入したリモート接続用PC（以下、リモート接続用PCをR-PCという）を貸与し、リモートワークを実現している。R-PCとH社との間のVPN通信には、VPNゲートウェイ（以下、VPNゲートウェイをVPN-GWといい、H社が使用しているVPN-GWをVPN-Hという）を使用している。 　H社のネットワークは、情報システム部のL部長とT主任を含む6名で運用している。H社のネットワーク構成を図1に示す。

　UTMの機能概要及び設定を表1に、VPN-Hの機能概要及び設定を表2に示す。

　最近、同業他社でサイバー攻撃による被害が2件立て続けに発生したという報道があった。1件は、VPN-GWが攻撃を受け、社内ネットワークに侵入されて情報漏えいが発生した事案である。もう1件は、DDoS攻撃による被害が発生した事案である。 　H社でも同様な事案が発生する可能性について、L部長とT主任が調査することにした。 　 〔VPN-GWへの攻撃に対する調査〕 　T主任は、VPN-GWへの攻撃方法を次のようにまとめた。 　方法1：VPN-GWの認証情報を推測し、社内ネットワークに侵入する。 　方法2：VPN-GWの製品名や型番を調査した上で、社内ネットワークへの侵入が可能になる脆弱性を調べる。もし、脆弱性が存在すればその脆弱性を悪用し、社内ネットワークに侵入する。 　 　T主任は、方法1については、VPN-Hの認証強化を検討することにした。また、方法2については、VPN-Hの脆弱性対策と、VPN-Hへのポートスキャンに対する応答を返さないようにする方法（以下、ステルス化という）を検討することにした。方法1と方法2についてT主任がまとめた対策案を表3に示す。

　

〔DDoS攻撃に対する調査〕 　次に、T主任は、DDoSに関連する攻撃について調査し、H社で未対策のものを表4にまとめた。

　次は、表4についてのT主任とL部長の会話である。 　 　T主任：項番1、2、4のDDoS攻撃のサーバへの影響は、UTMのIPS機能とWAF機能で軽減することができます。 　L部長：そうか。機能の設定に関する注意点はあるのかな。 　T主任：例えば、アノマリ型IPS機能で、トラフィック量について、しきい値が高すぎる場合にも、①しきい値が低すぎる場合にも弊害が発生するので、しきい値の設定には注意するようにします。また、項番3の対策として、現在のDNSサーバを廃止して、権威DNSサーバの機能をもつサーバ（以下、DNS-Kという）とフルサービスリゾルバの機能をもつサーバ（以下、DNS-Fという）を社内に新設します。インターネットから社内へのDNS通信はbへの通信だけを許可し、社内からインターネットへのDNS通信はcからの通信だけを許可します。 　 〔対策 V-1 についての検討〕 　次は、対策 V-1 についての L部長と T主任の会話である。 　 　L部長：対策 V-1 での注意点はあるのかな。 　T主任：最近は、多要素認証の利用が多くなってきたこともあり、多要素認証を狙った攻撃が発生しています。多要素認証を狙った攻撃例を表 5 に示します。

　L部長：攻撃例1 については、不正なリモート接続を阻止するために、メールで受信したメッセージ内の URLリンクを安易にクリックしないよう注意喚起する必要があるな。 　T主任：はい。しかし、当社では、業務の手続の督促などで従業員に URLリンクが含まれるメールを送っているので、URLリンクのクリックを禁止することはできません。不審なURLかどうかを見極めさせることは難しいでしょう。そこで、②たとえ罠の Webサイトへの URLリンクをクリックしてしまっても、不正なリモート接続をされないように、従業員全員が理解できる内容を、注意喚起する必要があります。 　 〔対策V-3についての検討〕 　次は、対策V-3についてのL部長とT主任の会話である。

　L部長：対策V-3について説明してほしい。 　T主任：VPN-Hには、どのような通信要求に対しても応答しない“Deny-All”を設定した上で、あらかじめ設定されている順番にポートに通信要求した場合だけ所定のポートへの接続を許可するという設定（以下、設定Pという）があります。 　L部長：設定Pの注意点はあるのかな。 　T主任：設定されている順番を攻撃者が知らなくても、③攻撃者が何らかの方法でパケットを盗聴できた場合、設定Pを突破されてしまいます。 　L部長：設定Pとは別の方法はあるのかな。 　T主任：VPN-Hの機能にはありませんが、SPA（Single Packet Authorization）というプロトコルがあります。SPAの主な仕様を表6に示します。

　T主任：SPAなら、④攻撃者が何らかの方法でパケットを盗聴できたとしても、突破はされません。 　L部長：そうか。VPN通信機能と同様の機能をもち、SPAを採用している製品があるかどうか、ベンダーに相談してみよう。

　L部長がベンダーに相談したところ、S社が提供しているアプライアンス（以下、S-APPLという）の紹介があった。L部長とT主任は、S-APPLの導入検討を進めた。 　 〔S-APPLの導入検討〕 　S-APPLは、VPN通信機能、SPAパケットを検証する機能などをもつ。S-APPLと接続するためには、S-APPLのエージェントソフトウェア（以下、Sソフトという）を接続元のPCに導入し、接続元のPCごとのIDと秘密情報を、S-APPLと接続元のPCそれぞれに設定する必要がある。なお、秘密情報は、SPAパケットのHMACベースのワンタイムパスワードの生成などに使われる。S-APPLとSソフトの主な機能を表7に示す。

　T主任は、対策V-1～3について、次のように考えた。 　・対策V-1については、表7項番3の機能で対応する。方式は、表2（イ）の方式を採用する。 　・対策V-2については、S-APPLの脆弱性情報を収集し、脆弱性修正プログラムが公開されたら、それを適用する。 　・対策V-3については、表7項番1の機能で対応する。 　 　T主任は、対策V-3のためのH社のネットワーク構成の変更案を作成した。なお、変更する際は、次の対応が必要になる。 　（1）VPN-HをS-APPLに置き換える。R-PCには、Sソフトを導入する。 　（2）R-PCごとのIDと秘密情報を、S-APPLとR-PCそれぞれに設定する。 　（3）VPN-Hに付与していたIPアドレスをS-APPLに付与する。 　（4）S-APPLのFQDNをDNSサーバに登録する。 　 　T主任は、S-APPLの導入によってVPN-GWへの攻撃の対策が可能であることをL部長に説明した。L部長は、効果とリスクを検討した上で、S-APPLを導入することを決めた。 　 〔DDoS攻撃に対する具体的対策の検討〕 　T主任は、表4の項番3以外に対する具体的対策の検討に着手した。 　まず、通信回線については、DDoS攻撃で大量のトラフィックが発生すると、使えなくなる。これについては、通信回線の帯域を大きくするという方法のほか、⑤外部のサービスを利用するという方法があることが分かった。 　次に、サーバへの影響は、これまでに検討したUTMのIPS機能とWAF機能を有効化することで軽減できることが分かっている。加えて、取引先向けWebサーバについては、次の対応によって、⑥更にDDoS攻撃の影響を軽減できることが分かった。

　・取引先には、H社との取引専用のPC（以下、取引専用PCという）を貸与する。取引専用PCには、Sソフトを導入する。 　・取引専用PCごとのIDと秘密情報を、S-APPLと取引専用PCそれぞれに設定する。 　・S-APPLに、取引専用PCがVPN確立後にアクセス可能なサーバとして、取引先向けWebサーバだけを設定する。 　・UTMのファイアウォール機能で、インターネットから取引先向けWebサーバへの通信を拒否するように設定する。 　 　その後、H社では、S-APPLの導入、UTMの設定変更、DNSサーバの変更などを行い、新たな運用を開始した。