6月16日に，J 社のシステム管理者である F さんが，FW のフィルタリングルールに基づいて記録されたログ（以下，FW ログという）から不審なログを発見した。調査したところ，暗号資産を採掘するプログラム（以下，プログラム H という）が保守用中継サーバで動作しており，②定期的にインターネット上のサーバに通信を試みていたことが分かった。そこで，外部の情報処理安全確保支援士（登録セキスペ）の S 氏の助言の下，影響範囲及び原因の調査並びに対策方法の検討をすることにした。S 氏からは，保守作業関連書類，FW ログ，SSH 認証ログ及び操作ログの調査並びに保守員へのヒアリングをするように助言があった。
S 氏は，この報告から，第三者が op1 のパスワードを推測してインターネット経由で不正アクセスした可能性が高いと判断し，被害範囲の特定のために各種ログを追加調査するように助言した。F さんによる追加調査の結果，FW ログ，SSH 認証ログ及び操作ログからは，保守用中継サーバにプログラム H を設置した記録は見つかったが，保守用中継サーバから顧客管理サーバを含む他機器へのアクセスの記録は見つからなかった。F さんと S 氏は，これらの調査結果から，影響範囲は保守用中継サーバだけにとどまり，情報漏えいの被害もなかったと結論付けた。
S 氏：万一，保守用中継サーバが不正アクセスされた場合を想定して，顧客管理サーバへの SSH 接続に必要な e を利用されないように，保守用中継サーバに保存しない運用にしましょう。SSH Agent Forwarding と呼ばれる機能を使うと，保守作業の SSH 接続に必要な e の全てを保守 PC にだけ保存する運用にできます。
図2の5.は，警告が出る原因として二つを想定している。一つは“保守用中継サーバのフィンガプリントが変わった”場合で，サーバ側の鍵が作り直されたなどが当たる。もう一つが a で，鍵が違うのは，つないだ先が本物の保守用中継サーバではなく，なりすましたサーバ（中間者）につながっているためだと考えられる。したがって a は“接続先が保守用中継サーバではない”である。
公開鍵認証では，各保守員が保守 PC ごとに作った鍵ペアのうち，公開鍵だけを保守用中継サーバに登録し，秘密鍵は保守 PC に置く。接続のたびに，クライアントが秘密鍵を持っていることをサーバに証明する（RFC 4252 の公開鍵認証）ので，秘密鍵のファイルを手に入れた者は，その保守員になりすませる。
秘密鍵にパスフレーズを設定すると，秘密鍵のファイルがパスフレーズで保護され，パスフレーズを知らない者は使えない。保守 PC の紛失や盗難，マルウェアによる秘密鍵ファイルの持ち出しがあっても，秘密鍵を悪用されないようにすることが目的である。パスフレーズは，秘密鍵を使うときにその PC 上で入力するもので，SSH サーバには送らない。講評のとおり，“秘密鍵のパスフレーズを SSH サーバに送信するため”は誤りで，秘密鍵と公開鍵を取り違えた解答もよくない。
表1の項番4は，保守 PC-B・保守 PC-C からの接続の送信元を“インターネット”としている。この二台はテザリングでつなぐので，固定のグローバル IP アドレスがなく，FW では送信元を絞れないからである。
M 社内のネットワークにつなげてから，そこを通ってインターネットへ出れば，保守用中継サーバから見た送信元は M 社側のグローバル IP アドレス（VPN 装置のアドレスなど）になる。この送信元 IP アドレスを固定にできれば，項番4の送信元を“インターネット”から M 社の固定アドレスに変えるだけで，接続元を制限できる。f は“送信元IPアドレスを固定にする”である。
20字以内で，“固定の”アドレスが何に付くのか（送信元）を書く。“グローバル IP アドレスを固定する”のように，固定する対象が M 社側の送信元であることが分かる形であればよい。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午後Ⅰ 問1（表記を一部改変）
問2 システム開発での情報漏えい対策
システム開発での情報漏えい対策に関する次の記述を読んで，設問に答えよ。
R 社は従業員 500 名の情報サービス事業者である。営業部門，システム開発部門及び管理部門があり，管理部門内の情報システム部が社内の情報システムを管理している。システム開発部門の従業員は，一つ以上のシステム開発プロジェクト（以下，プロジェクトという）に参加している。
同業他社でのシステム開発において，情報漏えいが発生したことから，情報システム部の K 部長は部下の Z 主任に，プロジェクトにおいて秘密として扱われている設計文書（以下，設計秘密という）の管理について，問題がないか調査するように指示した。
〔設計秘密の管理〕
R 社の規則では，設計秘密は次のように管理することになっている。
設計秘密は，R 社指定の文書作成ソフトウェア（以下，W ソフトという）を使って PC 上で作成及び暗号化を行い，R 社のネットワーク内のファイルサーバだけに保管する。ファイルサーバでは，プロジェクト単位にディレクトリを分け，各ディレクトリにはプロジェクトメンバだけがアクセスできるように，各プロジェクトのマネージャがアクセス権限を設定する。
W ソフトでは，パスワードを基に 256 ビットの鍵が生成され，その鍵を使って，ファイルが AES で暗号化される。ファイルを開くときには，パスワードの入力が求められる。設計秘密には，プロジェクト単位のパスワード（以下，P パスワードという）を使用する。
プロジェクトごとに，協力会社の T 社と秘密保持契約を結び，設計秘密を共有する。設計秘密は，T 社内でも R 社と同様の設備に保管し，アクセス権限を設定する。
R 社と T 社の間で設計秘密をやり取りする際には，Web ブラウザからクラウドストレージサービスを利用する。R 社は，このクラウドストレージサービスでは，プロジェクト単位にディレクトリを分け，各ディレクトリには R 社と T 社のプロジェクトメンバだけがアクセスできるようにアクセス権限を設定する。
IRM-L では，一定時間当たりのログイン試行回数を制限する機能や，一定回数のログイン失敗でアカウントをロックする機能によって，攻撃者がログインに成功するリスクを下げることができる。しかし，利用者 ID とパスワードによる認証だけでは，推測が容易なパスワードを利用者が設定してしまうと，長さが 10 字であったとしても e 攻撃に対して脆弱となるので，f への変更が可能か検討することにした。
〔社外とのやり取り〕
T 社ネットワークから IRM サーバにアクセスするには，IRM サーバを R 社の DMZ に設置し，インターネットからアクセス可能にする必要がある。Z 主任は，IRM サーバを DMZ に設置した場合のリスクと対策を表3のとおりまとめた。
昨今，利用者のミスによる情報漏えいのほか，内部からの意図的な持出しや外部からの攻撃者の侵入など，様々な要因で秘密情報が外部に漏えいするリスクが高まっている。本問では，設計文書の管理における問題の調査及びIRM（Information Rights Management）の導入を題材に，情報漏えいリスクを特定し，適切に対策する能力について問う。
採点講評（問全体・IPA）
問2では，設計文書の管理及びIRM（Information Rights Management）製品の導入を題材に，秘密情報の漏えいのリスクと対策について出題した。全体として，正答率は平均的であった。
設問と解答例
設問1解答欄2つ
表1中の a に入れる適切な字句を 15 字以内で，表1中の b に入れる適切な字句を 10 字以内でそれぞれ答えよ。
〔a〕解答例
Pパスワードの変更
〔b〕解答例
PCにコピー
解説
本文の根拠
〔設計秘密の管理〕
設計秘密は，R 社指定の文書作成ソフトウェア（以下，W ソフトという）を使って PC 上で作成及び暗号化を行い，R 社のネットワーク内のファイルサーバだけに保管する。
〔設計秘密の管理〕
設計秘密には，プロジェクト単位のパスワード（以下，P パスワードという）を使用する。
表1 問題3
プロジェクト離任者が出た場合，P パスワードが設定されている全てのファイルに対して
表1 問題4
プロジェクトメンバが，プロジェクト参加期間中に R 社の規則に反して
a は問題3の欄である。設計秘密はプロジェクト単位の P パスワードで暗号化され，離任者はそのパスワードを知っている。離任者が設計秘密を読めないようにするには，P パスワードを変えなければならず，そのためには P パスワードが設定されている全てのファイルを，新しいパスワードで暗号化し直す必要がある。a は“Pパスワードの変更”である。
b は問題4の欄である。R 社の規則では，設計秘密はファイルサーバ（とクラウドストレージ）だけに置き，各ディレクトリのアクセス権限で離任者を締め出す。しかし，在任中に規則に反して PC などにコピーした設計秘密は，このアクセス権限の外にある。ファイルは W ソフトの暗号化のままで，P パスワードを知っていれば離任後も開けるので，離任者は参照できてしまう。b は“PCにコピー”である。
字数は a が15字以内，b が10字以内で，“Pパスワードの変更”（9字），“PCにコピー”（6字）で収まる。a は，アクセス権限の変更ではなく，パスワードの変更と答える点に気をつける（アクセス権限の変更では，コピーや暗号化の問題は解決しない）。
離任者の利用者アカウントをグループから削除してあると，(i)でクライアントが利用者 ID とファイルのハッシュ値を送っても，(ii)で“利用者アカウントがファイルに対する権限をもっている場合”の条件を満たさず，IRM サーバがコンテンツ鍵を復号しない。(iii)以降の鍵の送付もなく，ファイルは復号できない。エラーになるのは(ii)である。
T 社の一部の事業所は IP アドレスを固定できないので，T 社の IP アドレスだけからアクセスを許可するという対策は取れない。
利用者 ID とパスワードだけの認証では，推測の容易なパスワードを設定されると，辞書攻撃などでパスワードを当てられ，グループ管理者や IRM 管理者になりすまされるおそれがある。特に管理者アカウントは，IRM サーバを DMZ に置くと，インターネットから直接ログインを試みられる。
対策は，パスワードだけに頼らない認証への変更である。パスワード（知識）に，別の種類の要素（所持や生体など）を組み合わせれば，パスワードが漏れても，それだけではログインできない。表3の注1のとおり，T 社の IP アドレスだけからの接続に絞る対策は取れないので，認証そのものを強くする。f は“多要素認証”である。
IRM-L は，サーバでのアクセス権限の確認と，ファイルの暗号化で守る仕組みである。しかし，利用者が正規にファイルを開くと，図1の5.の(v)で IRM クライアントがファイルを復号し，内容は PC の画面とメモリ上で平文になる。この時点の PC がマルウェアに感染していれば，暗号化や権限の管理を迂回して，内容を取得できる。
Q 社では，全従業員に PC を貸与している。総務部員の PC は総務部 LAN に，営業部員の PC は営業部 LAN に，技術部員の PC は技術部 LAN に接続されている。業務に必要なソフトウェアを自らインストールして使用したいという各部からの要求に対応するために，貸与している PC の従業員の利用者 ID に管理者権限を付与している。
〔Q 社のネットワーク構成〕
Q 社の情報システムの管理は，総務部情報システム係の D 主任と E さんが行っている。Q 社のネットワーク構成を図1に示す。
図1 Q 社のネットワーク構成（抜粋）
F サーバ1及び F サーバ2には，PC 上の Web ブラウザを使ってアクセスする。利用者 ID 及びパスワードでログインした後，ファイルの格納及び取り出しが行える。F サーバ1，F サーバ2及び PC のそれぞれの hosts ファイルには，プロキシサーバ，F サーバ1及び F サーバ2のホスト名と IP アドレスが登録されている。
プロキシサーバの機能概要を表1に示す。
表1 プロキシサーバの機能概要（抜粋）
Q 社では，PC 及びサーバに，V 社のマルウェア対策ソフトを導入し，リアルタイムスキャンを有効にしている。マルウェア定義ファイルは，PC では起動時及び毎朝 9 時に，サーバでは毎朝 9 時に，自動で V 社のマルウェア定義ファイル配布サイト（以下，V 社配布サイトという）に HTTPS で接続し，更新している。PC の利用者及びサーバの管理者は，マルウェア対策ソフトの画面の操作によってマルウェア定義ファイルを手動で更新することもできる。さらに，別の PC を用いてマルウェア定義ファイルを V 社配布サイトから手動でダウンロードし，そのファイルを保存した DVD-R を用いて更新することもできる。F サーバ1及び F サーバ2がインターネットと通信するのは，マルウェア定義ファイルの更新時だけである。
F サーバ1及び F サーバ2に，OS 及びアプリケーションソフトウェアの脆弱性修正プログラムを適用する場合，E さんが，各ベンダのサイトから脆弱性修正プログラムを PC にダウンロードして DVD-R に保存し，サーバに適用している。
E さんは，週次アクセスログ調査として，毎週月曜日の 10 時に，前週の月曜日から日曜日までの F サーバ1及び F サーバ2へのアクセスログを調査している。
E さんが，12月9日月曜日に週次アクセスログ調査をしたところ，12月6日の 11 時から 13 時に F サーバ1及び F サーバ2にログインを試みて失敗した記録が多数見つかった。アクセス元は，営業部の G さんの PC（以下，PC-G という）であった。E さんが，10 時 40 分に G さんに電話で問い合わせたところ，12月6日は，F サーバ1及び F サーバ2にはログインを試みていないとのことであった。E さんは，PC-G がマルウェアに感染したおそれがあると考え，①マルウェア感染拡大防止のための PC-G の初動対応を G さんに指示した。また，G さんへの代替 PC の貸出しと PC-G の回収を行い，PC-G についてはマルウェア感染への対応として，ディジタルフォレンジックスによる調査を行うことにして②必要な情報を取得した。
E さんからマルウェア感染のおそれがあるという報告を受けた D 主任は，PC-G で a という方法を使って b をした後に，フルスキャンを実施するよう E さんに指示した。さらに，図2に示すマルウェアへの対処を Q 社全体に指示することにした。
図2 マルウェアへの対処
E さんは，PC-G のフルスキャンで検出されたマルウェア（以下，マルウェア X という）の駆除を 16 時に完了した。E さんは，マルウェア X への感染の経緯を確認するために，G さんに PC-G の使用状況をヒアリングした。
E さんは，図3に示す調査結果を，12月10日の 13 時に D 主任に報告した。
図3 調査結果
報告を受けた D 主任は，プロキシサーバに関して次の 2 点を指示した。
Q 社内からサイト P に接続できないようにするための管理者拒否リストの設定変更
③プロキシサーバのアクセスログに関して調査すべき範囲の漏れをカバーするための追加調査
E さんは，設定変更したこと，及び追加調査の結果，問題がなかったことを D 主任に報告した。D 主任と E さんは，図3，設定変更の実施及び追加調査の結果を総務部長に報告した。総務部長は，今回のマルウェア X の感染を踏まえ，追加のマルウェア対策の検討を指示した。D 主任と E さんは，次の項目を検討することにした。
項目1：万が一マルウェアに感染した場合の被害拡大を防ぐ対策
項目2：マルウェア感染のリスクを低減する対策
〔項目1の検討〕
D 主任と E さんは，PC がマルウェアに感染した場合，F サーバ1及び F サーバ2にも影響があり得ると考えた。そこで，従業員が，所属している部以外の LAN に PC を接続することを禁止した上で，FW 及びプロキシサーバの設定変更の案を次のとおりまとめた。
F サーバ1の利用者を総務部員及び営業部員に，F サーバ2の利用者を技術部員にそれぞれ振り分けて，④FW のフィルタリングルールのうちの二つのルールについて，送信元を変更する。
サーバ LAN とインターネットとの間の通信を運用に必要なものだけにするために，アクセス元がサーバ LAN の UF ルールを表3のとおりに設定する。
表3 アクセス元がサーバ LAN の UF ルール
D 主任と E さんは，設定の変更は直ちに実施できると考え，変更内容を総務部長に報告し，許可を得て設定を変更した。
〔項目2の検討〕
D 主任と E さんは，マルウェア感染のリスクを低減するために，管理者権限の付与は，情報システム係の利用者 ID に限定するのがよいと考えた。さらに，あらかじめ登録した実行ファイルだけの実行を，ファイルのハッシュ値を比較することによって許可するソフトウェア（以下，Y ソフトという）の導入を検討することにした。E さんは，Y ソフトを利用する上で注意点はないのかと，D 主任に質問した。D 主任は，次のように答えた。
PC-G がマルウェアに感染したおそれがあると考え，①マルウェア感染拡大防止のための PC-G の初動対応を G さんに指示した。
〔不審なログインの発見と対応〕
ディジタルフォレンジックスによる調査を行うことにして②必要な情報を取得した。
PC-G は，F サーバ1・F サーバ2にログインを試みた記録が多数見つかった PC で，マルウェアに感染したおそれがある。感染の拡大を防ぐ初動対応は，その PC を他の機器との通信から切り離すことである。ネットワーク（LAN）から切り離せば，感染が他の PC やサーバに広がることも，攻撃者の C&C サーバとの通信も止められる。
さらに，別の PC を用いてマルウェア定義ファイルを V 社配布サイトから手動でダウンロードし，そのファイルを保存した DVD-R を用いて更新することもできる。
図3 (1)
12月9日9時に，PC-G を起動した。
図3 (2)
V 社は，マルウェア X に対応したマルウェア定義ファイルを12月9日 10 時にリリースした。
PC-G のマルウェア定義ファイルは，12月9日9時の起動時の更新が最後で，マルウェア X に対応した定義ファイルが出たのは10時である。PC-G のフルスキャンでマルウェア X を検出するには，定義ファイルを更新してから行う必要がある。b は“マルウェア定義ファイルの更新”である。
a は PC-G での方法である。PC-G は初動対応でネットワークから切り離しているので，V 社配布サイトには接続できない。そこで，別の PC で最新の定義ファイルをダウンロードして DVD-R に保存し，それを使って更新する。a は“最新のマルウェア定義ファイルを保存したDVD-Rの使用”である。
図2は Q 社全体への指示で，貸与している PC はネットワークにつながったままなので，c は，マルウェア対策ソフトの画面の操作による手動更新でよい。a と c を取り違えないよう，切り離された PC-G かどうかで決める。字数は a が35字以内（27字），b が20字以内，c が25字以内である。
設問1(4)25字以内
本文中の下線③について，追加調査の範囲を 25 字以内で具体的に述べよ。
解答例
Q社内の全てのPC及びサーバからのアクセス
解説
本文の根拠
図3 (4)
アクセス元 IP アドレスが PC-G であるアクセスを，プロキシサーバのアクセスログで，12月9日 17 時から3か月遡って調査した。
図3 (2)
C&C サーバの URL のリスト（以下，C リストという）がマルウェア中に保持されている。
図3の(4)で調べたのは，アクセス元が PC-G であるアクセスだけである。マルウェア X は C リストにある C&C サーバにアクセスするので，ほかの PC やサーバも感染していれば，同じ URL にアクセスしているはずである。調査の範囲が PC-G に限られていたので，ここに漏れがある。
追加調査では，アクセス元を PC-G に限らず，Q 社内の全ての PC 及びサーバからのプロキシサーバへのアクセスについて，C リスト中の URL へのアクセスがないかを調べる。C リストの URL は11月25日に V 社拒否リストに追加されていて，PC-G からのアクセスは拒否されていた。ほかの機器からの C&C サーバへのアクセスも，同様に拒否の記録として残るので，ログから探せる。
25字以内で“全ての PC 及びサーバ”に範囲を広げることを書く。“PC-G 以外のアクセス”のように，対象が不明確なものは範囲が具体的でない。
項番3：送信元 総務部 LAN，営業部 LAN，技術部 LAN，宛先 F サーバ1，サービス HTTPS，動作 許可。
表2 項番4
項番4：送信元 総務部 LAN，営業部 LAN，技術部 LAN，宛先 F サーバ2，サービス HTTPS，動作 許可。
現在の表2では，項番3，4のとおり，F サーバ1・F サーバ2のどちらにも，総務部 LAN・営業部 LAN・技術部 LAN の全てから HTTPS で接続できる。マルウェアに感染した PC は，hosts ファイルに登録された機器へのログインを試行する（図3(2)）ので，どの部の PC が感染しても両方のサーバに影響が及ぶ。
利用者を振り分けると，F サーバ1に接続する必要があるのは総務部員と営業部員，F サーバ2は技術部員だけになる。項番3は送信元を“総務部LAN，営業部LAN”に，項番4は送信元を“技術部LAN”に変更する。これで，感染した PC から接続できるサーバが減る。
サーバ LAN のサーバ（F サーバ1・2）がインターネットと通信するのは，マルウェア定義ファイルの更新のときだけである。脆弱性修正プログラムは，E さんが PC で取得して DVD-R で適用しているので，サーバがインターネットに出る必要はない。運用に必要な通信は，V 社配布サイトへのアクセスだけとなる。
UF ルールは，管理者許可リスト，管理者拒否リスト，V 社拒否リストの順に適用される。管理者許可リストに“V社配布サイトのURL”を入れてアクセスを許可し，管理者拒否リストに“全て”を入れれば，許可リストの URL 以外のアクセスが全て拒否される。d は V 社配布サイトの URL，e は全てである。
許可と拒否の順序が重要で，拒否リストに“全て”を書いても，先に適用される許可リストの URL は通る。d と e を逆に入れると，全て許可したうえで V 社配布サイトだけを拒否することになり，目的と反対になる。
