平成29年度 春期 午後Ⅱ（旧試験）

本文の根拠

図2 (2)

電源オンの状態のまま移動できない場合は，①電源をオフにすると消去されてしまう情報について，必要な調査を電源オンの状態で行い，調査終了後，電源をオフにして直ちに解析室へ不審 PC を移動する。

図3 4.(1)

動作中のプロセスの一覧を比較対照用 PC と突き合わせると，比較対照用 PC には存在しないプロセスが存在する。

電源をオフにすると消えるのは，メモリ上にだけある情報，つまりPCが今動いている状態を表す情報である。解答群では，画面に表示されているウィンドウの名称一覧（ウ）と，起動しているプロセスの一覧（エ）がこれに当たる。どちらも電源を切った時点で失われ，次に起動したときには同じ状態は再現できない。解答例は“ウ，エ”である。

HDDのパーティションテーブル（ア）はHDDに書き込まれている情報で，電源を切っても残る。OSのバージョン（イ）と脆弱性修正プログラムの適用状況（オ）も，OSの設定やファイルとしてHDDに残るので，解析室に移してから調べられる。図3の解析チェックリストの(1)が“動作中のプロセスの一覧”を比較の対象にしているのも，プロセスがマルウェアの動作の手掛かりになるからで，電源を切る前に取っておかないと失われる。

“全て選び”なので，二つとも選ぶ。片方だけでは正答にならない。迷ったら，電源を入れ直したときに同じ内容が得られるかどうかで分ける。

本文の根拠

表3 順序1

a のログから，被疑サーバを宛先としたエントリを抽出し，送信元 IP アドレスとアクセス時刻を洗い出した。

表3 順序1

送信元 IP アドレスとアクセス時刻を基に，b のログを検索し，アクセス時刻に送信元 IP アドレスを使用していた不審 PC の MAC アドレスを特定した。

表1 プロキシサーバ

社内 PC から社外の Web サーバへのアクセスを中継する。本サーバ以外から社外の Web サーバへの直接アクセスは，FW1 で遮断される。

表1 DHCPサーバ

IP アドレスのリース期間は，20 時間である。ログは DHCP による割当て結果。

aは，被疑サーバを宛先としたエントリと送信元IPアドレス，アクセス時刻が分かるログである。社内PCから社外のWebサーバへのアクセスは必ずプロキシサーバを経由し，プロキシサーバはアクセスログを取っている。不審な通信もU君がプロキシサーバのアクセスログから見つけたものである。aはプロキシサーバである。表6の順序2（被疑PCがアクセスした社外のURLの一覧）と本文の対応策（Q社のWebサイトを閲覧した社内PCの洗い出し）も，社外へのWebアクセスの記録なので同じくプロキシサーバのログを使う。

bは，ある時刻にあるIPアドレスを使っていたPCのMACアドレスが分かるログである。事務用PCのIPアドレスはDHCPサーバが割り当て，リース期間は20時間なので，時刻によって同じIPアドレスを別のPCが使っていることがある。DHCPサーバは割当て結果をログに取っているので，アクセス時刻とIPアドレスからMACアドレスを引ける。bはDHCPサーバである。

字数制限は無いが，“図1中の構成要素から選び”なので，図1の表記どおり“プロキシサーバ”“DHCPサーバ”と書く。FW1も通過するパケットのログを取るが，宛先がプロキシサーバになるので被疑サーバを宛先としたエントリは残らない。

本文の根拠

〔マルウェアのHTTPS通信の解析〕

マルウェアが HTTPS 通信を行う際，サーバ証明書の検証を行っている可能性を考慮し，検証が成功するよう，②サーバ証明書を発行し，図 5 の環境に，サーバ証明書と，それに対応する秘密鍵を組み込んだ。

図6 (1)

被疑サーバを宛先とした HTTPS 通信を開始するために，被疑 PC から解析用プロキシサーバにセッション開始要求を送信する。

本文（プライベートCA）

そのルート証明書を社内 PC にインストールしている。プライベート CA は，必要に応じてサーバ証明書を発行することができる。

HTTPSのクライアントは，サーバ証明書が信頼できるCAから発行されていることに加えて，証明書に書かれたサーバの名前が，接続しようとしているサーバの名前と一致することを確かめる。RFC 2818は，証明書にsubjectAltNameのdNSNameがあればそれを，無ければサブジェクトの（最も具体的な）コモンネームを，接続先のホスト名と照合すると定めている。マルウェアは被疑サーバに接続しているつもりなので，コモンネームには被疑サーバのFQDNを入れる。解答例は“被疑サーバのFQDN”である。

発行元は，ルート証明書が社内PCにインストールされているR社のプライベートCAである。被疑PCはこのルート証明書を信頼しているので，プライベートCAが発行した証明書なら検証が成功する。名前の照合は証明書の検証の一部なので，CAの条件だけでなく名前も被疑サーバに合わせておかないと，マルウェアが検証を行っていれば通信を中止してしまう。

字数は15字以内で，解答例は10字である。設問は“どのサーバの何”を問うので，“被疑サーバ”と“FQDN”の二つを書く。IPアドレスは証明書のコモンネームとの照合に使うものではないので，“FQDN”とする。

採点講評（IPA）

設問2は，正答率が低かった。HTTPSのセッション開始時の仕組みが理解できていれば正答が導き出せる問題である。HTTPSは通信の安全の確保のため重要な技術であるので，確実に理解しておいてほしい。

本文の根拠

図6 (2)

解析用プロキシサーバが，HTTPS 通信を中継することによって，被疑 PC と中継サーバ 1 間の通信路が確立する。

図6 (4)

中継サーバ 1 は，HTTPS 通信を復号して HTTP 通信に変換した上で，中継サーバ 2 に転送する。

被疑PCとTLSの通信路を結ぶのは中継サーバ1である。解析用プロキシサーバはHTTPS通信をそのまま中継するだけで，TLSを終端しない。中継サーバ1がHTTPS通信を復号してHTTPに変換するので，被疑PCから見たTLSのサーバは中継サーバ1になる。TLSのサーバは，サーバ証明書を提示し，対応する秘密鍵で鍵交換を完了させるので，証明書と秘密鍵は中継サーバ1に組み込む。解答例は“中継サーバ1”である。

中継サーバ2は，中継サーバ1から受け取ったHTTP通信を暗号化して本物の被疑サーバと通信する。中継サーバ2はTLSのクライアントとして動くので，自分のサーバ証明書は要らない。パケットキャプチャ装置は中継サーバ1と中継サーバ2の間にあり，ここは平文のHTTPなので通信の中身が読める。

字数制限は無い。“図5中の機器から選び”なので，図5の表記どおり“中継サーバ1”と書く。

採点講評（IPA）

設問2は，正答率が低かった。HTTPSのセッション開始時の仕組みが理解できていれば正答が導き出せる問題である。HTTPSは通信の安全の確保のため重要な技術であるので，確実に理解しておいてほしい。

本文の根拠

図6 (1)

被疑サーバを宛先とした HTTPS 通信を開始するために，被疑 PC から解析用プロキシサーバにセッション開始要求を送信する。

図6 (2)

解析用プロキシサーバが，HTTPS 通信を中継することによって，被疑 PC と中継サーバ 1 間の通信路が確立する。

図5

L2SW には解析用プロキシサーバ，解析用認証サーバ，解析用 DHCP サーバと，中継サーバ 1 が接続されている。

被疑PCは，被疑サーバを宛先としたHTTPSのセッション開始要求を解析用プロキシサーバに送る。普通のプロキシサーバなら，宛先の被疑サーバの名前を解決して被疑サーバに接続しに行く。しかし図5の環境では，被疑PCと中継サーバ1の間に通信路ができなければならない（図6の(2)）。そのため，解析用プロキシサーバに，被疑サーバへのHTTPS接続要求を中継サーバ1へ届けるように設定しておく必要がある。解答例は“被疑サーバへのHTTPS接続要求を，中継サーバ1に到達するようにする。”である。

図5からは解析用DNSサーバが外されており，解析用プロキシサーバが被疑サーバの名前を引いても，中継サーバ1のアドレスは返らない。被疑サーバの名前やアドレスに対する接続先を中継サーバ1にする（上位のプロキシとして中継サーバ1を指定するなど）特別な設定が要る。HTTPSをプロキシで中継するときは，クライアントがCONNECTメソッド（RFC 9110）で宛先を伝え，プロキシがその宛先へのTCP接続を作るので，ここで接続先を差し替えればよい。

字数は45字以内で，解答例は35字である。“被疑サーバへのHTTPS接続要求”という対象と，“中継サーバ1に到達するようにする”という行き先の二つを残す。

採点講評（IPA）

設問2は，正答率が低かった。HTTPSのセッション開始時の仕組みが理解できていれば正答が導き出せる問題である。HTTPSは通信の安全の確保のため重要な技術であるので，確実に理解しておいてほしい。

本文の根拠

〔デバッガによる解析〕

マルウェアがデバッガ環境下であることを検知する方法としては，デバッガ環境下であるかどうかを調べるシステムコールを実行する方法があるが，③その他にも幾つかの方法が知られている。

図3 4.(1)

動作中のプロセスの一覧を比較対照用 PC と突き合わせると，比較対照用 PC には存在しないプロセスが存在する。

デバッガ環境下では，デバッガそのものがプロセスとして動いている。そこでマルウェアは，実行中のプロセスの一覧を取り出し，よく知られたデバッガのプロセス名が含まれているかどうかを調べれば，デバッガ環境下で実行されていることを検知できる。解答例は“実行中プロセスの一覧から既知のデバッガのプロセス名を探す。”である。

下線③は，システムコールでデバッガの有無を直接問い合わせる方法“以外”を問うている。プロセスの一覧の取得はどのプログラムでも普通に行う処理なので，デバッガ検知用のシステムコールより目立たない。M君がシステムコールの呼出しにブレークポイントを設定しても，こうした検知は残りうる。

字数は40字以内で，解答例は29字である。“実行中プロセスの一覧”という調べる対象と，“既知のデバッガのプロセス名”という探すものの二つを残す。“デバッガを検知する”だけでは方法になっていないので，何を見て判断するかまで書く。

採点講評（IPA）

設問3は，正答率が低かった。攻撃者は，マルウェアの発見を遅らせるために様々な技法を用いている。マルウェアの技術動向について学習を進めてほしい。

本文の根拠

図7 (3)

暗号化済みコード部のデータは実行プログラム部によって復号されて，見せかけのデータ部に書き込まれる。

図7 (5)

このようなマルウェアは，ウイルス定義ファイルに基づくウイルススキャンでの検知が著しく難しい。

ウイルス定義ファイルに基づくスキャンは，既知のマルウェアのファイルが持つ特徴（パターン）と照合して検知する。パッカーを使ったマルウェアでは，マルウェア本体は暗号化済みコード部として暗号化されてファイルに入っている。暗号鍵を変えてパック処理し直すと，暗号化済みコード部の中身が変わり，ファイルとしては別物になる。ウイルス定義ファイルには登録されていないファイルなので，検知できない。解答例は“暗号鍵を変えてパック処理すると暗号化済みコード部が変化し，ウイルス定義ファイルに登録されていないファイルとなるから”である。

マルウェア本体はメモリ上で実行するときに初めて復号されて現れる（図7の(3)(4)）ので，ファイルを見ても本体のパターンは出てこない。同じ本体から鍵の数だけ違うファイルを作れるので，定義ファイルの登録が追い付かない。検体αから読解可能な文字列がほとんど見つからず，システムコールの呼出しも少なかったのも，本体が暗号化されていたからである。

字数は60字以内で，解答例は57字である。“暗号鍵を変えて（パック処理する）”“暗号化済みコード部が変化する”“ウイルス定義ファイルに登録されていない”の三つを因果の順につなぐ。

採点講評（IPA）

設問3は，正答率が低かった。攻撃者は，マルウェアの発見を遅らせるために様々な技法を用いている。マルウェアの技術動向について学習を進めてほしい。

本文の根拠

表5

被疑サーバへの HTTPS アクセスの禁止：c に被疑サーバを登録するとともに，念のため FW1 のルールを変更する。

表1 プロキシサーバ

アクセス先 URL に基づき，アクセス制御を行う。ホワイトリスト／ブラックリストの登録ができる。

被疑PCのHTTPS通信は，プロキシサーバを経由して被疑サーバに向かっていた。表1のとおり，プロキシサーバはアクセス先URLに基づいてアクセス制御ができ，ブラックリストを登録できる。被疑サーバをブラックリストに登録すれば，社内PCから被疑サーバへのHTTPSアクセスを止められる。解答例は“プロキシサーバのブラックリスト”である。

FW1では，社外のWebサーバへの直接アクセスはもともと遮断されている。社内PCのHTTPS通信はプロキシサーバからFW1を通って出て行くので，FW1では送信元がプロキシサーバになる。表5が“念のため”FW1のルールを変更するとしているのは，プロキシサーバでの禁止を主にした上で，被疑サーバへの通信をFW1でも重ねて遮断するためである。

字数は20字以内で，解答例は15字である。“ブラックリスト”だけでは，どの機器のリストか分からないので，“プロキシサーバの”を付ける。ホワイトリストは許可する宛先を登録するものなので，禁止には使わない。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

〔マルウェアの詳細解析〕

社内 PC の OS で以前発見された脆弱性（以下，脆弱性 K という）を突いて攻撃を仕掛けていることが判明した。脆弱性 K は，2 か月ほど前に脆弱性修正プログラムと併せて公開されており，R 社でも社内 PC に脆弱性修正プログラムを配信していた。

観測の結果 (ⅳ)

被疑 PC と同一サブネット上の IP アドレスに対して，何らかのアクセスをする。

聞き取り調査

昨日まで出張が続いていたので，被疑 PC の電源を入れるのは 3 か月ぶりであった。

マルウェアは，同じサブネットのPCに対し，OSの脆弱性Kを突いて感染を広げようとしていた。脆弱性Kの修正プログラムは2か月ほど前に公開され，R社も社内PCに配信している。しかし，被疑PCのように長く電源が入っていなかったPCには適用されていない可能性がある。全ての社内PCで脆弱性Kの修正プログラムが適用されている状態にすれば，この経路での感染は防げる。解答例は“脆弱性Kに対応した脆弱性修正プログラムを適用する”である。

“新規にソフトウェアや機器を調達しない前提”なので，ウイルス対策製品の追加などではなく，既にあるパッチ配信サーバと各PCのパッチ管理プログラムで修正プログラムを配信・適用する。パッチ配信サーバは各PCの適用結果を収集しているので，未適用のPCを見つけて確実に適用できる。

字数は30字以内で，解答例は24字である。“脆弱性K”という対象と“脆弱性修正プログラムを適用する”という措置の二つを残す。“OSを最新にする”のように対象をぼかすより，感染に使われた脆弱性Kを名指しする。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

〔応急措置の決定と実施〕

被疑 PC 内に一時的に保存された認証情報（利用者 ID と，パスワードのハッシュ値を含む）

表5

窃取されたアカウント情報の悪用の防止：被疑 PC 内にキャッシュされていた認証情報に含まれる利用者のアカウントについて，e を行う。

被疑サーバには，被疑PC内に保存されていた認証情報として，利用者IDとパスワードのハッシュ値が送られていた。ハッシュ値からは総当たりなどでパスワードを割り出される恐れがあり，割り出されれば利用者IDと組み合わせて不正にログインされる。窃取されたパスワードを使えなくするには，そのアカウントのパスワードを変更すればよい。解答例は“パスワードの変更”である。

解析用認証サーバから取得した認証情報は利用者IDだけでパスワードのハッシュ値を含まないので，表5もパスワードを変更する対象を被疑PC内にキャッシュされていた認証情報のアカウントに絞っている。利用者IDは変えなくても，パスワードが変われば窃取した情報ではログインできない。

字数は10字以内で，解答例は8字である。“eを行う”に続くので，“パスワードの変更”と名詞の形で書く。アカウントの削除や停止でも悪用は防げるが，利用者の業務が止まるので，応急措置としては変更が適切である。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

図3 2.

比較対照用 PC とは，OS 及びアプリケーションソフトウェアをインストールした後に，最新の脆弱性修正プログラムの適用やウイルス定義ファイルの更新を行った社内 PC であり，インシデント対応開始時に作成する。

〔感染経路の特定と対処〕

N ページを Web ブラウザで開くと，Q 社のドメイン外のサイトから PDF ファイルをダウンロードして，PDF 閲覧ソフトで開く。

聞き取り調査

昨日まで出張が続いていたので，被疑 PC の電源を入れるのは 3 か月ぶりであった。

表1 パッチ配信サーバ

OS と PDF 閲覧ソフトの脆弱性修正プログラムを社内 PC に配信し，適用結果を収集する。

比較対照用PCは，最新の脆弱性修正プログラムを適用した状態で作られる。一方，被疑PCは3か月ぶりに電源を入れたので，今日の勤務開始時刻の時点では，その間に公開された修正プログラムが適用されていなかった。Nページは外部のPDFファイルをPDF閲覧ソフトで開かせるので，PDF閲覧ソフトの脆弱性を突くPDFであれば，修正済みの比較対照用PCは感染せず，未修正の被疑PCだけが感染する。異なっていた点はPDF閲覧ソフトの脆弱性修正プログラムの適用状況である。解答例は“PDF閲覧ソフトの脆弱性修正プログラムの適用状況”である。

パッチ配信サーバはOSとPDF閲覧ソフトの修正プログラムを配信している。比較対照用PCを被疑PCと同じ（修正プログラムが未適用の）状態に戻してNページにアクセスしたところ感染したことで，この推測が確かめられた。

字数は30字以内で，解答例は24字である。“PDF閲覧ソフト”と“脆弱性修正プログラムの適用状況”の二つを残す。“OSの”としないのは，Nページの動作がPDFファイルを開くことだからである。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

本文

f のログを確認した M 君は，比較対照用 PC の状態を，今日の勤務開始時刻時点の被疑 PC と同一の状態にした上で，もう一度 N ページにアクセスした。

表1 パッチ配信サーバ

ログは配信した脆弱性修正プログラムの情報，各 PC の脆弱性修正プログラム適用結果。

fは，比較対照用PCを今日の勤務開始時刻の被疑PCと同じ状態にするために見るログである。設問5(1)のとおり，違いは脆弱性修正プログラムの適用状況なので，各PCにどの修正プログラムがいつ適用されたかが分かるログを見ればよい。表1で，各PCの脆弱性修正プログラム適用結果をログに取っているのはパッチ配信サーバである。解答例は“パッチ配信サーバ”である。

本文の対応策では，プロキシサーバ（a）のログでQ社のWebサイトを閲覧した社内PCと閲覧時刻を洗い出し，パッチ配信サーバ（f）のログでその時点の修正プログラムの適用状況を突き合わせている。fをパッチ配信サーバとすると，この二つのログの組合せとも筋が合う。

字数制限は無い。“表1中の機器から選び”なので，表1の表記どおり“パッチ配信サーバ”と書く。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

本文の対応策

過去 1 週間の a のログを調査し，Q 社の Web サイトを閲覧した社内 PC を洗い出し，それらの PC について，a のログと f のログを突き合わせ，⑤マルウェア L に感染する可能性があったかどうか判断する。

〔感染経路の特定と対処〕

比較対照用 PC の状態を，今日の勤務開始時刻時点の被疑 PC と同一の状態にした上で，もう一度 N ページにアクセスした。その結果，不審なプロセスや検体 α などの不審なファイルが生成されていた。

マルウェアLは，PDF閲覧ソフトの脆弱性修正プログラムが適用されていないPCがNページを閲覧したときに感染する。したがって，Q社のWebサイトを閲覧した時刻（プロキシサーバのログ）が，そのPCにPDF閲覧ソフトの脆弱性修正プログラムが適用された時刻（パッチ配信サーバのログ）より前であれば，感染の可能性があったと判断できる。解答例は“PDF閲覧ソフトの脆弱性修正プログラムを適用する以前に，Q社のWebサイトを閲覧した場合”である。

修正プログラムを適用した後に閲覧したPCは，比較対照用PCと同じく感染しない。二つのログを突き合わせるのは，閲覧した時刻と適用した時刻の前後を比べるためである。

字数は55字以内で，解答例は44字である。“PDF閲覧ソフトの脆弱性修正プログラムを適用する以前に”という時期と，“Q社のWebサイトを閲覧した”という行為の二つを残す。“具体的に”とあるので，“修正プログラムが未適用の場合”だけで終えず，閲覧との前後関係まで書く。

採点講評（IPA）

設問4及び設問5は，インシデントの終結に向けての対応について出題した。正答率は高かった。終結の手順はインシデント対応の中でも重要な点である。様々な状況を考えた上で机上演習を行うなど，学習を進めてほしい。

本文の根拠

〔マルウェアのHTTPS通信の解析〕

解析作業による被疑 PC の状態変化を考慮し，被疑 PC の状態を保存するために，被疑 PC の HDD の複製を作成した。

〔マルウェアの詳細解析〕

M 君が解析室に戻り，図 3 中の解析チェックリストの (4) についてファイルの差異を解析したところ，不審なファイルを発見した。その後，被疑 PC を図 4 の詳細解析環境に接続し，通信の観測を続けた。

ディジタルフォレンジックスでは，証拠となるデータを改変しないよう，解析を始める前に原本の複製（証拠保全）を取り，以後の解析は複製で行うのが原則である。今回，被疑PCのHDDの複製を作成したのは，初期判定，チェックリストの(3)(4)の解析，詳細解析環境での通信の観測などを済ませた後の〔マルウェアのHTTPS通信の解析〕の段階だった。それまでの作業で被疑PCの状態は変わっており，マルウェア自身も動き続けていた。複製作業は解析を始める前に行うよう見直す必要がある。解答例は“被疑PCのHDDの複製作業”である。

本文でもHDDの複製の目的を“解析作業による被疑PCの状態変化を考慮し，被疑PCの状態を保存するため”としている。その目的からすれば，状態を変える解析作業より前に行うべきだったことになる。

字数は20字以内で，解答例は13字である。“被疑PCのHDD”と“複製作業”の二つを残す。“証拠保全”のような一般論でなく，本文の作業名で答える。

本文の根拠

〔インシデント対応の事後評価〕

⑦被疑 PC の利用者の業務継続を考慮して対応する必要がある

表3 順序2

不審 PC はノート PC であったので，電源オンの状態のまま解析室に移動することにした。

被疑PCは解析のために解析室に移され，その後もHDDの複製や詳細解析に使われた。その間，利用者のSさんは自分のPCを使えず，業務を続けられない。業務継続を考えるなら，被疑PCを解析している間に使う代わりのPCを利用者に貸し出せばよい。解答例は“被疑PCの解析中に使用する代替PCの払出し”である。

本文の対応は，図2の手順どおり被疑PCを回収して解析を進めることに集中しており，利用者への手当ては書かれていない。マルウェアに感染していない代替PCを用意すれば，解析を急がずに済み，利用者も業務を止めずに済む。

字数は25字以内で，解答例は21字である。“代替PC”と，それを使う時期の“被疑PCの解析中”の二つを残す。“具体的に”とあるので，“業務に配慮する”のような言い方ではなく，何をするかを書く。

本文の根拠

〔マルウェアの詳細解析〕

発見したプロセスは，一通りの処理を終えると自身のファイルの隠蔽処理を行うとともに，自身を所定の時間経過後に起動するための設定を OS に対して組み込み，終了することが判明した。

図3 4.

次のチェックリストのうち，不審 PC において 1 件でも該当すれば，マルウェアに感染している疑いがあると判定する。

マルウェアLは，一通りの処理を終えると自身のファイルを隠蔽し，所定の時間が経ってから自身を起動する設定をOSに組み込んで終了する。終了している間は，チェックリストの(1)のプロセスにも，(2)(3)の通信にも現れない。ファイルを隠蔽するので(4)でも見つからないことがある。しかし，自動的に起動する設定はOSに残るので，これを比較対照用PCと突き合わせれば差異が見つかる。解答例は“PC起動時や所定の時刻などに特定のプログラムを自動的に起動する設定内容”である。

今回は，たまたまプロセスが動いて通信している最中に解析したので発見できた。チェックリストを，プロセス・通信・システムファイルの比較に，起動の設定の比較を加えたものにすれば，マルウェアが休止している時でも感染を判定できる。

字数は40字以内で，解答例は35字である。“特定のプログラムを自動的に起動する設定”を中心に，“PC起動時や所定の時刻など”という起動の契機も入れる。本文の“所定の時間経過後に起動する”だけでなく，OS起動時の自動起動も同じ仕組みでありうるので，両方を含める書き方になっている。

本文の根拠

表2 外部メールサーバ

サーバ証明書を用いて SMTP 通信をセキュアにした a に対応している。

SMTPの通信をTLSで暗号化し，サーバ証明書でサーバを認証する方式は，SMTP over TLSと呼ばれる。SMTPのセッションの中でSTARTTLSコマンドを使ってTLSに切り替える拡張がRFC 3207に定められている。解答例は“SMTP over TLS”である。

HTTPに対するHTTP over TLS（HTTPS）と同じ名付け方で，本文でもプロキシサーバについて“HTTP over TLS通信”と書かれている。TLSはサーバ証明書でサーバを認証し，通信路を暗号化するので，“サーバ証明書を用いて”“セキュアにした”という表2の説明に合う。

字数制限は無いが“英字で答えよ”なので，カタカナや日本語の説明ではなく英字で書く。“SMTPS”“STARTTLS”のような呼び方もあるが，解答例は“SMTP over TLS”である。

採点講評（IPA）

設問1(1)は，正答率が低かった。セキュリティに関するプロトコルについて，名称だけでなく，その仕組みについて理解を深めてほしい。

本文の根拠

表2 外部メールサーバ

メールの転送を行う b プログラムの起動と停止を記録する。

表4 内部メールサーバ

宛先メールアドレスのドメイン名が A 社ドメイン名又は A 社サブドメイン名の場合，メールをメールボックスに格納する d プログラムを起動する。

bは“メールの転送を行う”プログラムで，サーバ間でメールを中継するMTA（Mail Transfer Agent，ウ）である。dは“メールをメールボックスに格納する”プログラムで，受け取ったメールを宛先の利用者のメールボックスに配送するMDA（Mail Delivery Agent，ア）である。解答例はbが“ウ”，dが“ア”である。

MSA（Mail Submission Agent，イ）は，利用者のメールソフトから送信されるメールを最初に受け付ける役割である。MUA（Mail User Agent，エ）は，利用者がメールを読み書きするメールソフトそのものを指す。表4では，メールボックスに格納するプログラムとは別にPOP3プログラムがあり，利用者はPOP3でメールボックスからメールを取り出す。

字数制限は無い。記号で答えるので，bに“ウ”，dに“ア”と書く。転送（Transfer）と配送（Delivery）の違いで見分ける。

本文の根拠

表3 項番1

転送元 IP アドレスは全て，宛先メールアドレスのドメイン名は A 社ドメイン名，A 社サブドメイン名，処理は c に転送する。

表3 項番2

転送元 IP アドレスは c の IP アドレス，宛先メールアドレスのドメイン名は全て，処理は宛先メールアドレスのドメイン部を基に MX レコードを問い合わせる。

表2 外部メールサーバ

インターネットと内部メールサーバとの間でメールを転送する。

外部メールサーバは，インターネットと内部メールサーバとの間でメールを転送する。項番1は，A社宛ての（A社ドメイン名・A社サブドメイン名の）メールをどこから来ても受け取って社内に渡すルールなので，転送先は内部メールサーバである。項番2は，社外宛てのメールをMXレコードを引いて転送するルールで，これを使えるのは社内から送ってくる内部メールサーバだけに限る。解答例は“内部メールサーバ”である。

項番3で残りを全て拒否するので，インターネットから届いた社外宛てのメールは中継されない。これがオープンリレーの防止である。転送元を内部メールサーバのIPアドレスに限っているのが要点である。

字数制限は無い。“図1中の構成要素から選び”なので，図1の表記どおり“内部メールサーバ”と書く。

採点講評（IPA）

設問1(3)は，正答率が高かった。電子メールのオープンリレー対策について，受験者の知識が高いことがうかがわれる。

本文の根拠

図2 (2)

ダウンロード型のマルウェアであり，内部に C&C（Command and Control）サーバの URL が保持されている。

表2 プロキシサーバ

PC，内部 LAN のサーバ，及び業務 LAN のサーバから，DMZ，及びインターネット上の Web サーバへの HTTP 通信及び HTTP over TLS 通信を中継する。

表2 プロキシサーバ

送信元 IP アドレス，URL，HTTP ヘッダ情報及び通信データサイズを記録する。

業務LANのサーバからインターネットへのHTTP通信とHTTP over TLS通信は，プロキシサーバが中継している。プロキシサーバは送信元IPアドレスとURLをログに記録するので，C&Cサーバへの通信の有無はプロキシサーバ（e）のログで調べられる。マルウェアXは内部にC&CサーバのURLを保持しているので，そのURLへのアクセスを抽出すればよい。解答例はeが“プロキシサーバ”，fが“URLがマルウェアX中に保持されたURLである”である。

マルウェアXが見つかったのはコンテンツ管理Webサーバなので，そのサーバの送信元IPアドレスでも絞り込める。業務LANのサーバからインターネットへのWebアクセスは全てプロキシサーバを通るので，ここで見つからなければC&Cサーバへの通信は無かったと判断できる。

fの字数は30字以内で，解答例は23字である。“URL”が“マルウェアX中に保持されたURL”であるという，ログの項目と照合する値の二つを残す。“という条件に合致する”に続くので，“〜である”と条件の形で書く。

本文の根拠

図2 (6)

5 月 9 日 10 時，コンテンツ管理 Web サーバが転送元で，メールサイズが 1k バイトのメールが 10 通，転送された。送信者メールアドレスは，コンテンツ管理 Web サーバのメールソフトに設定されているメールアドレスであり，宛先メールアドレスはインターネット上のメールアドレスであった。

表2 外部メールサーバ

メールの転送結果，転送元 IP アドレス，転送先 IP アドレス，送信者メールアドレス，宛先メールアドレス及びメールサイズを記録する。

表5 項番3

転送元 IP アドレスは A 社が利用しているプライベート IP アドレス，宛先メールアドレスのドメイン名は全て，処理は外部メールサーバに転送する。

マルウェアYのメールは，コンテンツ管理Webサーバから内部メールサーバを経て外部メールサーバに渡り，そこからインターネットに出て行く。内部メールサーバの調査で分かったのは，内部メールサーバが外部メールサーバへ転送したところまでである。実際にインターネット上のサーバに送り出されたか（情報が社外に漏れたか）は，外部メールサーバ（g）のログで，そのメールの転送結果と転送先を見て確かめる。解答例はgが“外部メールサーバ”，hが“インターネット上のサーバに転送された”である。

外部メールサーバのログには転送結果と転送先IPアドレスが記録されるので，送信者メールアドレスなどでマルウェアYのメールを特定し，転送先がインターネット上のサーバで転送が成功したものを抽出できる。外部メールサーバはウイルススキャンなどで転送しないこともあるので，転送されたかどうかは外部メールサーバでしか分からない。採点講評は，電子メールによる情報漏えいが疑われる場合には関連するメールサーバのログの調査が重要だと述べている。

hの字数は25字以内で，解答例は18字である。“インターネット上のサーバ”という転送先と“転送された”という結果の二つを残す。

採点講評（IPA）

設問2(2)hは，正答率が低かった。電子メールによる情報漏えいが疑われる場合，関連するメールサーバのログの調査が重要であることを理解して解答してほしかった。

本文の根拠

図2 (3)

OS の設定で指定された DNS サーバに対して，マルウェアに保持された FQDN の全ての TXT レコードを問い合わせ，得られた文字列を指示として解釈し，動作する。

表2 外部DNSサーバ

オープンリゾルバ対策が行われており，再帰的な DNS 問合せを許可するのは，公開 Web サーバ，外部メールサーバ，プロキシサーバ及び内部 DNS サーバだけである。

表4 内部DNSサーバ

内部 DNS サーバで解決できない DNS 問合せは，外部 DNS サーバに DNS 問合せを送る。

マルウェアYは，OSに設定されたDNSサーバ（社内では内部DNSサーバ）にTXTレコードを問い合わせ，その答えをC&Cサーバからの指示として受け取る。内部DNSサーバは解決できない問合せを外部DNSサーバに送り，外部DNSサーバがインターネットに問い合わせるので，この経路でC&Cサーバの指示が届いてしまう。そこで，外部DNSサーバでは内部DNSサーバからの問合せを拒否し，内部DNSサーバではインターネット上のサーバ名の問合せを拒否する。解答例は，外部DNSサーバが“内部DNSサーバからのDNS問合せを拒否する。”，内部DNSサーバが“インターネット上のサーバ名についてのDNS問合せを拒否する。”である。

社内のPCやサーバは，Webへのアクセスはプロキシサーバ，メールの送受信は外部メールサーバに任せている。インターネット上の名前を引くのはDMZにあるプロキシサーバや外部メールサーバで，これらは外部DNSサーバに直接問い合わせるので，内部DNSサーバがインターネットの名前を解決できなくても業務には差し支えない。二つの設定を両方入れておけば，片方の設定漏れがあっても止められる。

字数はそれぞれ35字以内で，解答例は外部DNSサーバの欄が23字，内部DNSサーバの欄が30字である。外部DNSサーバの欄は“内部DNSサーバからの”という問合せ元を，内部DNSサーバの欄は“インターネット上のサーバ名についての”という問合せの内容を書き，どちらも“拒否する”で締める。

本文の根拠

会話（P氏）

さらに，内部 DNS サーバで，DNS 問合せの内容とその結果をログに記録すると，マルウェア Y と同様のタイプのマルウェアの検出に役立ちます。

表4 内部DNSサーバ

社内専用のドメイン名を管理する。

会話（Fさん）

マルウェア中に多数の FQDN があり，それぞれの FQDN に合致するログを抽出するのは時間が掛かりそうです。

設問2(3)の設定変更の後は，社内の機器が内部DNSサーバにインターネット上の名前を問い合わせる理由は無くなる。内部DNSサーバが答えるべき名前は，自分が管理する社内専用のドメイン名だけである。したがって，社内専用のドメイン名以外のFQDNを問い合わせているログを抽出すれば，マルウェアのFQDNを一つずつ照合しなくても，マルウェアの疑いがある問合せをまとめて拾える。解答例は“社内専用のドメイン名以外のFQDNが書かれている”である。

この方法は，マルウェアYに保持されたFQDNを知らなくても使えるので，同様のタイプの未知のマルウェアの検出にも役立つ。P氏が“マルウェアYと同様のタイプのマルウェアの検出に役立ちます”と言っているのはこのためである。

字数は30字以内で，解答例は24字である。“社内専用のドメイン名以外”という条件と“FQDN”という照合の対象を残す。“という条件に合致する”に続くので，“〜が書かれている”と条件の形で書く。

本文の根拠

問題点(あ)

SMTP ウイルススキャンでは，暗号化されたファイルについてウイルス検出ができないこと

図3 (4)

ファイルのアップロード及びダウンロード時にウイルススキャンを行う。

図3 (5)

HTTP over TLS を用いて通信を暗号化する。

ウイルススキャンは，ファイルの中身を検査するので，暗号化されたファイルの中は調べられない。これが問題点(あ)である。データ交換サーバでアップロード時のウイルススキャンを有効にするには，ファイルを暗号化しないままアップロードしてもらう必要がある。解答例は“ファイルを暗号化しない。”である。

暗号化しなくても安全性が下がらないのは，データ交換サーバが通信をHTTP over TLSで暗号化し（図3の(5)），利用者IDとパスワードの認証，フォルダやファイルごとのアクセス制限，接続元のIPアドレスの制限を備えているからである。これまでファイルを暗号化していたのはメールでの盗聴に備えるためで，データ交換サーバではその役割をTLSとアクセス制限が担う。

字数は20字以内で，解答例は12字である。“暗号化しない”ことが要点で，暗号化圧縮ファイルのままアップロードすると(4)が働かないことを押さえる。

本文の根拠

問題点(い)

PC 利用者からのマルウェア感染の申告をきっかけにして，調査及び対処に着手しているが，マルウェア感染の影響を最小限にするためには，遅過ぎること

〔マルウェア感染と調査〕

5 月 11 日 13 時 10 分に，システム部 Web 管理グループの H さんからシステム部運用グループの E 主任に，“PC のフルスキャン中に PDF ファイルがマルウェア X として検出され，駆除された”との連絡があった。

今回は，PCでマルウェアが検出されても，利用者のHさんがシステム部運用グループに連絡するまで調査が始まらなかった。ウイルス対策集中管理ソフトで，サーバとPCでのウイルス検出結果を自動的にシステム部運用グループに通知するようにすれば，利用者の申告を待たずに調査と対処に着手できる。解答例は“サーバ及びPCでのウイルス検出結果をシステム部運用グループに通知する機能”である。

図2では，PCでの検出は5月11日13時で，連絡は13時10分だったが，W社がウイルス定義ファイルをリリースしたのは同じ日の3時である。サーバについてはE主任が依頼して初めてフルスキャンが行われた。検出結果が集まって通知される仕組みがあれば，各部のサーバ管理者や利用者の動きに頼らずに済む。

字数は40字以内で，解答例は36字である。“サーバ及びPC”という対象，“ウイルス検出結果”という通知する内容，“システム部運用グループ”という通知先の三つを残す。

本文の根拠

会話（Fさん）

内部 DNS サーバ及び業務 LAN のサーバから内部メールサーバに転送されるインターネット宛てのメールを拒否する方法はありますか。

表4 内部メールサーバ

業務 LAN のサーバから送信される通知用メールの宛先メールアドレスは，従業員用メールアドレスだけである。

表7 項番3

転送元 IP アドレスは j の IP アドレス，宛先メールアドレスのドメイン名は全て，処理は外部メールサーバに転送する。

表5の項番3は，A社のプライベートIPアドレスからのメールを全て外部メールサーバに転送するので，業務LANのサーバからでもインターネット宛てのメールが送れてしまう。表7では，インターネット宛てを含む全ての宛先へのメールを転送できる送信元（項番3）と，同報転送を使える送信元（項番2）を，PCの接続しているPC-LANに限る。業務LANのサーバからの通知用メールは従業員用メールアドレス（A社ドメイン名）宛てだけなので，項番1で配送され，それ以外は項番4で拒否される。解答例は“PC-LAN”である。

項番2にはPC-LANに加えて外部メールサーバのIPアドレスがあり，社外の業者がグループ同報用メールアドレス（A社サブドメイン名）に送るメールも同報転送できる。内部DNSサーバや業務LANのサーバは項番2・3の転送元に入らないので，マルウェアがサーバのメールソフトから社外にメールを送ろうとしても拒否される。

字数制限は無い。“図1中の構成要素から選び”なので，図1の表記どおり“PC-LAN”と書く。PCはPC-LANに全て接続している（図1の注記1）。

本文の根拠

〔業務LANのサーバに関する見直し〕

しかし，脆弱性修正プログラムがリリースされたとしても，業務 LAN のサーバでは，動作検証に時間を要し，すぐに適用できないこともある。

図2 (3)

OS のバッファオーバフローの脆弱性を悪用して，ネットワーク経由で感染を広げる。

本文

業務 LAN のサーバ間では，日次でデータの転送がある。

マルウェアYは，OSのバッファオーバフローの脆弱性を突いてネットワーク経由で業務LANのサーバ間に感染を広げた。業務LANのサーバは修正プログラムをすぐに適用できないことがあり，日次のデータ転送があるのでサーバ間の通信も止められない。そこで，各サーバにホスト型IPSソフトウェアを導入し，脆弱性を突く不正な通信をサーバ上で検知して遮断する。解答例は“業務LANの全てのサーバにホスト型IPSソフトウェアを導入する。”である。

IPSは不正な通信を検知した上で遮断するので，修正プログラムを適用するまでの間の防御になり，正常なデータ転送は通したまま攻撃だけを止められる。ネットワーク型ではなくホスト型にするのは，業務LANのサーバは同じL2SWにつながっており，サーバ間の通信がネットワークの境界を通らないからである。採点講評は，IDSには不審な通信を検知する機能はあるが，IPSとは異なり遮断する機能はないと指摘している。

字数は35字以内で，解答例は32字である。“業務LANの全てのサーバ”という範囲と“ホスト型IPSソフトウェアを導入する”という対策の二つを残す。“IDS”と書くと遮断できないので誤りになる。

採点講評（IPA）

設問5は，IDSの導入について述べている解答が散見された。IDSには，不審な通信を検知する機能はあるが，IPSとは異なり，不審な通信を遮断する機能はない。IDSとIPSの機能の違いを理解してほしい。