送信者メールアドレスには，SMTP の a コマンドで指定されるエンベロープの送信者メールアドレス（以下，Envelope-FROM という）と，メールデータ内のメールヘッダで指定される送信者メールアドレス（以下，Header-FROM という）がある。
SMTP（RFC 5321）では，送信側が MAIL FROM コマンドで，配送エラーの通知先にもなる送信者のアドレス（リバースパス）を指定する。これがエンベロープの送信者メールアドレス，すなわち Envelope-FROM である。メールデータの中の From ヘッダに書かれる Header-FROM（RFC 5322）とは別の値で，空欄 a には MAIL FROM が入る。
本文の“送信したメールが不達になるなど配送エラーとなった場合，Envelope-FROM で指定したメールアドレス宛てに通知メールが届く”という説明も，MAIL FROM で指定したアドレスが配送の経路制御に使われることと合う。SPF が検証するのも，この MAIL FROM のドメインである（RFC 7208 の 2.1 は，SPF のレコードが“HELO”と“MAIL FROM”の識別子で使うドメイン名を認可すると書いている）。表1の SPF の欄が，Envelope-FROM を使う前提で読めるのはこのためである。
字数制限のない穴埋めなので，字句の正確さが採点の対象になる。RCPT TO（受信者のアドレスを指定するコマンド）や，接続の最初に送る HELO・EHLO と取り違えやすい。コマンド名は空白を入れて MAIL FROM と書く（解答例も同じ）。
攻撃 1：N 社の取引先のメールアドレスを送信者として設定したメールを，攻撃者のメールサーバから N 社に送信する。
図3
攻撃 2：N 社のメールアドレスを送信者として設定したメールを，攻撃者のメールサーバから N 社の取引先に送信する。
表1
項番7：設定済み，実施しない，未設定，実施する，f，g。
表1の注記
注 2) メール受信時に，SPF に必要な問合せを実施するかを示す。
SPF は，メールを受け取る側が，送信元ドメインの DNS に登録された SPF レコード（TXT レコード，RFC 7208 の 3.1）を引いて，SMTP の接続元 IP アドレスが許可された送信元かを調べる仕組みである。したがって，なりすましを判断できるのは，（ア）なりすまされたドメインの DNS に SPF が設定済みで，かつ（イ）受信側のメールサーバが SPF の問合せを実施するときだけである。
攻撃1は取引先のアドレスを騙って N 社に送るので，必要なのは“取引先の DNS サーバでの設定”と“外部メールサーバ（N 社）での対応”の両方である。攻撃2は N 社のアドレスを騙って取引先に送るので，“外部 DNS サーバでの設定”と“取引先のメールサーバでの対応”の両方が要る。これを項番ごとに当てはめる。項番4（取引先の DNS が未設定，取引先のメールサーバが実施しない）は攻撃1も攻撃2も満たさず，b・c は×。項番6（外部メールサーバも取引先のメールサーバも実施しない）は両方×で，d・e は×。項番7（外部 DNS 設定済み，取引先のメールサーバが実施する）は攻撃2だけを満たし，f は×，g は○。項番13（外部 DNS 未設定，外部メールサーバは実施しない）は攻撃1の受信側が実施しない，攻撃2の送信側が未設定で，h・i は×。
表に項番1が○・○，項番16が×・×と示されているので，“設定済みと実施する”が揃う列だけが○になるという読み方で合っている。○が付くのは g だけで，攻撃1と攻撃2を分けて考えず“どちら側の DNS・メールサーバが関わるか”を表の列に対応づけるのが間違えにくいコツである。
設問2(2)解答欄1つ
図4中の j に入れる適切な字句を答えよ。
〔j〕解答例
x1.y1.z1.1
解説
本文の根拠
図2の注
注 1）mail.n-sha.co.jp は，外部メールサーバのホスト名である。注 2）x1.y1.z1.1 は，グローバル IP アドレスを示す。
SPF 認証は，Envelope-FROM のドメインに登録された SPF レコードの IP アドレスと，メールを受け取った SMTP の接続元 IP アドレスを突き合わせる（RFC 7208）。メールが別のメールサーバで転送されると，受信側から見た接続元は転送サーバの IP アドレスになる。Envelope-FROM が元のドメインのままなら，そのドメインの SPF レコードには転送サーバの IP アドレスが登録されていないので，一致せず SPF 認証が失敗する。
本文は“Envelope-FROM を変えずにメールをそのまま転送する”ことを条件にしている。つまり，検証に使う送信元ドメイン（Envelope-FROM）は変わらず，接続元の IP アドレスだけが変わる，という状況である。採点講評は，SPF の認証の仕組みを理解していない解答が散見されたとしている。“転送されたから失敗する”だけでは仕組みを踏まえたことにならないので，何と何が一致しないのかを書く。
50 字以内なので，“送信側のDNSサーバに設定されたIPアドレスとSMTP接続元のIPアドレスが一致しないから”（解答例は 45 字）のように，比べる二つの IP アドレス（DNS に登録された送信元，SMTP の接続元）を入れ，不一致を理由にする。
したがって，下線②の検証によって，送信元のドメインが正当であること（公開鍵が d タグのドメインのものであること）に加えて，署名対象のメール本文及びメールヘッダが途中で改ざんされていないことが確認できる。U 主任の説明も，転送サーバが署名の基になったデータを変更しなければ検証できるとしており，変更されると検証に失敗する，という裏返しを含んでいる。
Z 社は，従業員数 150 名の金融事業会社である。事業規模は小さいが，多くの個人情報を扱っている。サイバーセキュリティ情報を共有し，サイバー攻撃への防御力を高める目的で活動する組織（ISAC：Information Sharing and Analysis Center）に最近加盟した。Z 社には 5 名で構成される IT 部門があり，IT システムの運用や管理を行っている。Z 社のネットワーク構成を図1に示す。
図3中の下線①について，通信が遮断された理由を 20 字以内で述べよ。ここで，図1で示した Z 社内の機器及び攻撃グループ X の C&C サーバは正常に稼働していたものとする。
解答例
プロキシ認証に失敗したから
解説
本文の根拠
図3 B)（う）
マルウェア P は，汎用検索サービス A 及びグローバル IP アドレス M への HTTP による通信を試みたが，①当該通信は Z 社のネットワーク環境によって遮断されていたことがプロキシサーバのログに記録されていた。
表2 (c)
PC からインターネットにアクセスするためには利用者 ID とパスワードによる BASIC 認証（以下，PC からインターネットにアクセスする際にプロキシサーバで実施される BASIC 認証をプロキシ認証という）を必須としている。
図2 E)（う）
HTTP の場合，Web ブラウザに設定されたプロキシサーバの IP アドレスを確認し，プロキシサーバ経由で C&C サーバと通信する。
Z 社では PC のインターネット向け通信は全てプロキシサーバを経由するように設定され，プロキシサーバでは BASIC 認証（プロキシ認証）が必須である。マルウェア P は，Web ブラウザの設定を確認してプロキシサーバ経由で通信しようとしたが，通信は遮断され，その記録がプロキシサーバのログにあった。FW 側を見ても，表1の項番7が全ての通信を拒否するので，PC から直接インターネットへ HTTP で出ることはできない。経路がプロキシサーバだけで，そこで遮断されたのだから，理由は“プロキシ認証に失敗したから”になる。
マルウェア P はプロキシ認証に必要なアカウント情報（利用者 ID とパスワード）を持っていないので，認証に通らなかった。表3項番1の“プロキシ認証情報を窃取して，プロキシ認証を突破し”という手法が対策の検討に挙がるのも，この認証が実際の防壁になっているからである。ここでは Z 社内の機器と C&C サーバは正常に稼働していたとされているので，機器の故障や C&C サーバ側の停止を理由にしない。
Z 社が導入している EDR では，DNS プロトコルによる通信を記録しない設定となっていたが，パブリック DNS サービス L に対して DNS プロトコルによる通信が発生すれば，aのログに記録される。
表1
項番3：全て，インターネット，DNS，許可。
表2 (b)
(b) FW：ステートフルパケットインスペクション型の FW である。取得ログ：・動作ログ。
図2の E)（う）は，DNS プロトコルを使う C&C 通信では，攻撃対象組織の DNS サーバではなくパブリック DNS サービス L を経由する，としている。Z 社の PC がパブリック DNS サービス L と DNS で通信するには，FW のフィルタリングルールを通る必要がある。表1の項番3は，送信元を全てとして DNS をインターネットへ許可しているので，この通信は FW を通過し，FW の動作ログに記録される。EDR は DNS の通信を記録しない設定なので，FW のログで確かめることになる。したがって a は表2の (b) FW である。
(c) プロキシサーバは HTTP・HTTPS を中継するだけで，DNS は扱わない。(d) 外部 DNS サーバと (g) 内部 DNS サーバは，表2の取得ログが“なし”である。(a) PC は EDR で記録するはずだが，D) が“DNS プロトコルによる通信を記録しない設定”と述べているので除く。(e) メールサーバのログは送受信履歴で，DNS の通信は含まない。(f) 認証サーバは認証結果だけである。
図3中の下線②について，情報持ち出しが成功した可能性が高いと Z 社が判断可能な痕跡は何か。該当する痕跡を二つ挙げ，それぞれ 30 字以内で述べよ。
〔①〕解答例
グローバルIPアドレスMへのHTTP通信成功のログ
〔②〕解答例
パブリックDNSサービスLへのDNS通信成功のログ
解説
本文の根拠
図2 E)（い）
窃取する情報を持ち出す際には，まず，窃取する情報を暗号化し，一定のサイズに分割する。その後，C&C（Command and Control）通信を使用して持ち出す。
図3 B)（う）
マルウェア P は，汎用検索サービス A 及びグローバル IP アドレス M への HTTP による通信を試みたが
図3 D)
パブリック DNS サービス L に対して DNS プロトコルによる通信が発生すれば
図2の E)（い）のとおり，情報は C&C 通信で持ち出される。C&C 通信の手段は（う）にあるとおり HTTP 又は DNS である。持ち出しが成功したと判断できる痕跡は，その通信が成功したことを示すログである。HTTP は，C&C サーバに割り当てられたグローバル IP アドレス M への HTTP 通信が成功したログ（図3の B)・E) は，遮断されたことがプロキシサーバのログから分かった）。DNS は，パブリック DNS サービス L への DNS 通信が成功したログ（図3の D)）である。
採点講評は，設問1(3)は具体性が不十分な解答が多く，正答率が低かったとしている。“ログが残る”とだけ書かず，宛先（グローバル IP アドレス M，パブリック DNS サービス L），プロトコル（HTTP，DNS），結果（成功）まで入れると，何を調べたらよいかが分かる。持ち出しが成功していれば遮断ではなく成功のログが残るので，図3の“遮断のログ”とは逆の内容になる。
30 字以内なので，“グローバルIPアドレスMへのHTTP通信成功のログ”（解答例は 25 字）と，“パブリックDNSサービスLへのDNS通信成功のログ”のように，宛先・プロトコル・成功の三点を一つの句にまとめる。二つ挙げる設問なので HTTP と DNS を一つずつ書く。
採点講評（IPA）
設問1は，全体的に正答率が高かったが，(3)は正答率が低かった。具体性が不十分な解答が多かった。
設問1(4)解答欄2つ
本文中の下線③について，ISAC に伝えるべき情報のうち，他社が EDR などセキュリティ対策ソフトウェア又はセキュリティ機器を用いて感染端末を検出する際に有効であり，共有すべき情報を解答群の中から二つ選び，記号で答えよ。解答群 ア PC-V と PC-T がマルウェアに感染した日時情報 イ マルウェア P とマルウェア R が HTTP による通信を試みたグローバル IP アドレス M ウ マルウェア P とマルウェア R が配置されていたフォルダ N のパス名 エ マルウェア P に感染した PC-V のプライベート IP アドレス オ マルウェア P のファイル名 カ マルウェア R に感染した PC-T のプライベート IP アドレス キ マルウェア R のファイル名
マルウェア P は AmX3PxvR7.exe というファイル名で，PC-V のローカルストレージのフォルダ N に配置されていた。
図3 E)
グローバル IP アドレス M との通信を試みたことを示すログを発見した。
他社が感染端末を検出するときに有効なのは，他社の環境でも同じになる情報である。イのグローバル IP アドレス M は攻撃グループ X の C&C サーバのアドレスなので，他社でもその宛先への通信ログを調べれば感染端末を見つけられる（図3の E) も，同じ調べ方で PC-T を見つけている）。ウのフォルダ N のパス名は，マルウェア P・R のどちらも同じフォルダに配置されていたので，他社でも同じ場所の実行ファイルを探す手掛かりになる。
オ・キのファイル名は，図2の E)（あ）が“攻撃対象ごとにファイル名だけ変更して送付する”と述べており，P は AmX3PxvR7.exe，R は bV6fZq3hi.exe と実際に違っているので，他社の検出には使えない。ア（感染した日時）は Z 社に固有で，他社の検出には役立たない。エ・カ（PC-V・PC-T のプライベート IP アドレス）も Z 社の内部のアドレスなので，他社の PC を探す手掛かりにならない。
記号を二つ選ぶ設問なので字数の制約はない。“自社だけの情報（日時，プライベート IP アドレス）”と“攻撃者側で変わる情報（ファイル名）”を除き，“攻撃者が使い続ける情報（宛先・配置先）”を残すと絞れる。
プロキシ認証は，利用者 ID とパスワードによる BASIC 認証である。BASIC 認証では，利用者 ID とパスワードは Base64 でエンコードされるだけで暗号化されず，ネットワーク上を平文同様に流れる（RFC 7617 の 1・4）。そのため，ア（ブラウザのオートコンプリート情報の窃取），イ（キーロガー），エ（総当たり攻撃），オ（偽の入力フォームへの誘導），カ（ネットワーク盗聴）は，どれもこの利用者 ID とパスワードを盗む，又は推測する手法になる。
ウのゴールデンチケットは，Windows のドメインの Kerberos 認証で使われるチケットを偽造する攻撃手法で，Kerberos のチケットを不正に作るものであり，BASIC 認証の利用者 ID とパスワードを盗む手法ではない。したがって，プロキシ認証情報の窃取に使用できない攻撃手法はウである。採点講評は，マルウェアがプロキシ認証情報を窃取する手法を理解していない解答が散見されたとしている。
外部 DNS サーバは，メールサーバ又はプロキシサーバから DNS クエリを受け，インターネット上の権威 DNS サーバと通信し，名前解決を行うフルサービスリゾルバとして機能する。
表3 項番2
マルウェアがパブリック DNS サービスを利用して，C&C 通信を行う。
表3の項番2は，パブリック DNS サービスを使った C&C 通信を遮断する対策である。現状の表1の項番3は，送信元を“全て”として DNS をインターネットへ許可するので，PC がパブリック DNS サービス L へ直接 DNS で通信できてしまう。インターネット上の権威 DNS サーバへ問い合わせるのは，図1の注1のとおり DMZ の外部 DNS サーバ（フルサービスリゾルバ）だけでよく，PC は表1の項番1で DMZ の外部 DNS サーバへ DNS を送ればよい。そこで，項番3の送信元を“全て”から“DMZ”に変更する。変更後のルールは，項番3 送信元 DMZ，宛先 インターネット，サービス DNS，動作 許可になる。
ルールは項番の小さいものから順に適用され，最後の項番7が全てを拒否する。項番3を絞れば，オフィスセグメントや内部サーバセグメントからインターネットへの DNS は，項番7で拒否される。変更するのは一つのルールだけでよく，宛先・サービス・動作はそのままである。
外部 DNS サーバは，メールサーバ又はプロキシサーバから DNS クエリを受け，インターネット上の権威 DNS サーバと通信し，名前解決を行うフルサービスリゾルバとして機能する。
表3 項番3
大量の情報を持ち出す場合，次の特徴が現れる。・長いホスト名をもつ DNS クエリの発生，・e。
これは DNS トンネリングと呼ばれる C&C 通信の手法である。攻撃者は攻撃用ドメインを取得し，そのドメインの名前解決に答える権威 DNS サーバ（b）を C&C サーバとして用意する。マルウェアは，社内の名前解決を行うフルサービスリゾルバ（c：図1の注1にある外部 DNS サーバ）に，攻撃用ドメインのホスト名について再帰的クエリ（d）を送る。リゾルバはその名前を解決するために，権威 DNS サーバである C&C サーバに非再帰的クエリを送るので，C&C サーバには，マルウェアが埋め込んだ情報が届く。再帰的クエリは，名前解決の完了まで引き受けるよう求めるクエリで，リゾルバが権威 DNS サーバへ送るクエリが非再帰的になる（RFC 1034）。
c は“外部DNSサーバ”で，内部 DNS サーバではない。内部 DNS サーバは図1の注2のとおり，PC が内部 Web サーバと公開 Web サーバにアクセスするときの権威 DNS サーバで，インターネット上へは問い合わせない。採点講評は，この設問が全体的に正答率が低く，DNS トンネリングが，組織内のフルサービスリゾルバを悪用する C&C 通信の手法であることを理解してほしいと述べている。
DNS トンネリングでは，持ち出す情報を暗号化して分割し，ホスト名の一部（攻撃用ドメインの前に付く部分）に入れて問い合わせる。1 回の DNS クエリに載せられる量は小さいので，大量の情報を持ち出すときは，たくさんのクエリが必要になる。しかも，全てのクエリは攻撃者が取得した同じドメイン宛てになる。したがって，ホスト名が長いことに加えて，特定のドメインに対する多数の DNS クエリが発生する，という特徴が現れる。
J 社は，ビッグデータ解析を専門とする，従業員数 150 名の調査会社である。従業員は，情報収集のための Web アクセス，並びに営業活動及び情報交換のための社外との電子メール送受信にインターネットを利用している。J 社では，情報セキュリティポリシを整備して運用している。
J 社では，20XX 年 3 月に標的型攻撃を受け，PC がマルウェアに感染して業務サーバ上の秘密情報を外部に送信してしまった。情報システム部（以下，情シ部という）が感染状況を調査し，感染が確実な PC だけでなく，疑わしい PC も合わせて 40 台の PC を初期化した。調査を始めてから初期化を完了するまでに 48 時間掛かり，その間，業務は停止せざるを得なかった。
〔標的型攻撃対策〕
J 社は，事態が一段落したところで，情報セキュリティコンサルティング会社の K 社に，標的型攻撃への対策についてのアドバイスを求めた。K 社の担当コンサルタントである情報処理安全確保支援士（登録セキスペ）の N 氏は，標的型攻撃への対応事例を示した上で，感染予防だけでなく，感染拡大防止や情報漏えい防止の対策も取り入れるべきであり，具体的には，マルウェアが，外部の C&C（Command and Control）サーバと通信を開始しようとする段階や，ほかの機器に感染を拡大しようとする段階で検知し対処できれば，情報漏えいの被害を軽減できるとアドバイスした。そこで J 社は，IT サービス会社の P 社が提供する監視サービス（以下，P サービスという）及びマルウェア対策ソフトベンダ R 社が提供するマルウェア対策製品（以下，R システムという）の導入，並びにインシデント対応手順など関係する規則類の改定を決めた。作業は，情シ部の E 部長の指示によって，G さんら 3 名が担当した。
P サービス及び R システムの導入を終えた 20XX 年 9 月時点の，J 社情報システムの概要を図1に，J 社情報システムの構成要素を表1に示す。また，改定後のインシデント対応手順を図2に示す。
P サービスと R システムを導入して数週間が経過した 20XX 年 10 月 8 日，C&C サーバへの通信を検知したという通知を P サービスから受け，G さんは図2の手順に従って対応した。G さんによるインシデント対応の記録を表2に示す。
表2 G さんによるインシデント対応の記録（抜粋）表3 L-PC 上で実行されていたコマンド（抜粋）
G さんは，ここまでの対応を報告書にまとめて，E 部長に提出した。
〔インシデント対応手順の改善〕
報告書を読んだ E 部長は，他社での標的型攻撃への対応事例と比較すると，対応が不十分であると考えた。次は，E 部長と G さんの会話である。
E 部長：ほかにもマルウェア M に感染した PC 又はサーバがある場合を想定する必要があるのではないか。
G さん：13:27 以降，P サービスから新たな通知は来ていません。感染したのは，L-PC だけと考えてよいのではないでしょうか。
E 部長：13:17:15 より前の，ログ蓄積サーバ中の FW のログに e が含まれているかどうかを確認する必要がある。
G さん：分かりました。早速確認します。
E 部長：ただし，①PC 又はサーバの状態によっては，FW のログを使った確認ではマルウェア M に感染していることを検知できないことがあるので，②R ログを使った確認もする必要がある。
G さん：分かりました。
G さんは，ログを確認し，感染した PC 又はサーバは，ほかに発見されなかったという結果を E 部長に報告した。E 部長は，マルウェアに感染した PC 又はサーバを特定するためのログの調査手順を，インシデント対応手順に追加するよう G さんに指示した。これによって，J 社ではインシデント対応手順を更に改善することができた。
(8) 不審 PC からの情報漏えいの可能性が高いと判断した場合は，外部の専門業者に不審 PC のメモリやストレージの調査及び分析を依頼する。
図2の(8)は，情報漏えいの可能性が高いときに，外部の専門業者に不審 PC のメモリやストレージの調査と分析を依頼する，としている。ストレージの内容は電源を切っても残るが，メモリ上の情報（実行中のプロセス，通信の状況，メモリ上にだけ展開されたマルウェアなど）は，電源を切ると失われる。そこで，(2)で電源を入れたままにしておき，(8)の調査まで残すことが目的になる。
(3)は，不審 PC を利用者 LAN から切り離す手順である。切り離さずに放置すると，不審 PC の中のマルウェアは，ネットワークを使った活動を続けられる。N 氏の助言が挙げる二つの段階，すなわち“ほかの機器に感染を拡大しようとする段階”と“C&C サーバと通信して情報を持ち出す段階”がそれぞれ J 社にとって望ましくない活動である。
一つ目は，J 社の情報システム（ほかの PC や業務サーバ）に感染を拡大すること，二つ目は，インターネットに情報（秘密情報など）を送信すること。本文の冒頭には，3月の標的型攻撃で PC が感染し，業務サーバ上の秘密情報を外部に送信してしまった，とある。図2の(4)で FW に登録するのは，通知を受けた C&C サーバの IP アドレス宛ての通信を拒否するルールだけなので，切り離さなければ，ほかへの感染拡大や，別の宛先への情報送信は止められない。
P サービスでは，受信した J 社の FW のログを分析する。ただし，FW のログは蓄積しない。過去に遡っての分析は行わない。
表1 ログ蓄積サーバ
syslog で送信された，FW のログ及び R ログを蓄積して保存する。
表2
宛先の C&C サーバの IP アドレス w1.x1.y1.z1 1)，ポート 80/tcp，データサイズ 200 バイト。
G さんは，P サービスから通知が来なくなったことを根拠に，感染した PC は L-PC だけと考えた。しかし P サービスは受信した FW のログを分析するだけで，過去に遡った分析はしないので，通知が来ていないのは“現在のところ新しい C&C 通信を検知していない”という意味にとどまる。13:17:15 より前に，ほかの PC が同じ C&C サーバに通信していた可能性は，P サービスの通知からは分からない。
その確認には，ログ蓄積サーバに蓄積された FW のログ（日時，送信元 IP アドレス，宛先 IP アドレスなどを含む）を，C&C サーバの IP アドレス w1.x1.y1.z1 で調べる。表1の FW のログは宛先 IP アドレスを取得しているので，w1.x1.y1.z1 との通信履歴があれば，その送信元の IP アドレスの PC が感染している疑いが強い。
25 字以内なので，“IPアドレスw1.x1.y1.z1との通信履歴”（解答例は 23 字）のように，調べる値（w1.x1.y1.z1）と，探すもの（通信履歴）の二点を書く。“具体的に”とあるので，“C&C サーバ”と書かずに IP アドレスを入れる。
設問3(2)40字以内
本文中の下線①について，検知できないのは PC 又はサーバがどういう状態にある場合か。40 字以内で述べよ。
解答例
感染したが，C&Cサーバと通信する前にネットワークから切り離された状態
解説
本文の根拠
表1 FW
日時，FW の動作，送信元 IP アドレス，宛先 IP アドレス，ポート，データサイズを，FW のログとして取得し
〔標的型攻撃対策〕
マルウェアが，外部の C&C（Command and Control）サーバと通信を開始しようとする段階や，ほかの機器に感染を拡大しようとする段階で検知し対処できれば
表2 13:49
L さんに電話を掛け，L-PC の電源を入れたまま，L-PC から LAN ケーブルを抜くように指示した。
FW のログに残るのは，FW を通った通信である。FW のログを使った確認でマルウェア M の感染を検知できるのは，感染した PC が C&C サーバと通信したときである。感染していても，C&C サーバと通信していなければ，FW のログに C&C サーバ宛ての通信が残らない。それは，感染後に C&C サーバと通信する前にネットワークから切り離された（ケーブルを抜かれた，電源が切られた）場合である。
採点講評は，設問3(2)の正答率が低かったとして，感染した PC が C&C サーバと接続していないのは，ネットワークから切り離された状態（ネットワークケーブルを抜く，又は電源の切断）か，マルウェアが初期偵察状態であり，当該 PC や周辺 PC からの情報収集中であることが考えられる，と説明している。表2の対応のように，J 社は LAN ケーブルを抜くことで感染 PC を切り離しており，切り離された PC が 13:17:15 以前に感染していても，ログには何も残らない。
本文中の下線②について，マルウェア M に感染している PC 又はサーバを R ログを使って検知する方法を，30 字以内で具体的に述べよ。
解答例
RログをマルウェアMのハッシュ値で検索する。
解説
本文の根拠
表1 R システム
管理サーバには，ログ蓄積サーバに保存された R ログを検索する機能があり，情シ部員は，R ログをマルウェアのハッシュ値で検索することによって，そのマルウェアが実行された痕跡があるかどうか調査することができる。
表1 R システム
全てのプロセスの生成から終了までの動作，実行したプログラムのハッシュ値並びに通信の宛先の IP アドレス及びポートを，ログ（以下，R システムで取得するログを R ログという）として取得し
R ログには，PC 及び業務サーバで実行された全てのプロセスの動作と，実行したプログラムのハッシュ値が記録される。通信の有無にかかわらず記録されるので，マルウェア M が実行されただけで C&C サーバに通信していない PC でも，R ログには残る。表2の 14:58 で G さんは，マルウェア M のハッシュ値を管理サーバに登録している。そのハッシュ値で R ログを検索すれば，マルウェア M を実行した PC 又はサーバを見つけられる。
ハッシュ値は実行したプログラムの内容から決まるので，マルウェア M の目印になる。表1の管理サーバの機能が“R ログをマルウェアのハッシュ値で検索する”と書いているとおりの方法を答える。
30 字以内なので，“RログをマルウェアMのハッシュ値で検索する。”（解答例は 22 字）のように，何を（R ログ）何で（マルウェア M のハッシュ値）どうする（検索する）かを書く。
