令和4年度 秋期 午後Ⅱ（旧試験）

本文の根拠

表4 検体α

ディスクには展開されずメモリ内だけに展開される

表4 検体α

このプログラムコードは，キーボード入力を記録し，定期的に C&C サーバに送信するキーロガー機能をもつ。

下線①は，ダウンロードしたプログラムコードがディスク（ファイル）にはならず，メモリ上にだけ展開されるという挙動である。ディスク上にファイルを残さずメモリ上だけで動作するマルウェアは，ファイルレスマルウェアと呼ばれる。ファイルをスキャンして検知するタイプのマルウェア対策ソフトでは見つけにくいことが，この種類の特徴である。

同じ表4には，キーロガー機能をもつとも書かれているが，これは“何をするか”であって，問われている“ディスクに展開されない”という挙動とは別の話である。アドウェアは広告を表示するもの，暗号資産採掘マルウェアは感染した PC の計算資源で暗号資産を採掘するもの，トロイの木馬は有用なソフトウェアを装って侵入するもの，ランサムウェアはファイルを暗号化して身代金を要求するもので，いずれも検体αの挙動の中心はメモリ内だけに展開される点にはない。なお，表4の検体βは“ファイルを次々に暗号化した”とあるのでオのランサムウェアに当たる。

解答群から選ぶ設問なので字数の問題はない。“キーロガー機能”に引かれてウのトロイの木馬と答えないよう，下線部の“ディスクには展開されず”に注目して選ぶ。

本文の根拠

表4 検体α

C&C サーバに接続し，プログラムコードをダウンロードした。

〔検体の解析作業〕 Y 主任の発言

今日確認した検体αの挙動が，検体αを週明けに再実行した時には，攻撃者による変更によって再現できなくなる

検体αは，実行すると C&C サーバに接続してプログラムコードをダウンロードする。挙動のほぼ全てがこのダウンロードしたコードに依存しているので，接続先の C&C サーバが使えなくなれば，週明けに再実行しても同じ挙動は再現できない。C&C サーバは攻撃者が管理しているので，攻撃者が接続先を変更することがあり得る。

攻撃者に変更されるものとしては，C&C サーバの IP アドレス（検体が接続を試みる接続先）が挙げられる。Y 主任が仮想マシンの状態を保存しておくよう指示したのも，攻撃者の側が変更を加える前の状態を手元に残しておくためと読める。

15 字以内の条件なので，“C&C サーバ”と“IP アドレス”という二つの語を残して書く。解答例は 13 字である。

本文の根拠

表4 検体γ

自身が仮想マシン上で動作していることを検知すると，システムコールを使用して自身のプログラムコード中の攻撃コードを削除した後，終了する。

表1 項番1

サンドボックス用の複数の仮想マシンで構成されている。

〔検体の解析作業〕

検体γは現在の解析環境ではこれ以上解析できないので，

検体γは，自分が仮想マシン上で動いていると検知すると攻撃コードを消して終了する，解析回避（アンチ VM）の機能をもつ。現在の解析環境は，表1のとおり複数の仮想マシンで構成されたサンドボックスなので，検体γを実行しても本来の挙動が現れない。

したがって，別の環境として構築すべきものは仮想マシンを使わない環境，すなわち物理的な実機の環境である。実機であれば，検体γが“仮想マシン上ではない”と判断して攻撃コードを削除せず，挙動を確認できる。

20 字以内で“現在の解析環境との違い”を書く設問なので，“仮想マシンではない”という対比と“実機環境”という中身の両方を残す。解答例は 17 字である。

本文の根拠

〔ファイル転送手順の改善〕 方針

検疫 PC は，パーソナルファイアウォール（以下，PFW という）の設定によって，検疫 PC と管理 Web サーバとの間の通信だけを許可しておき，解析ファイルの転送に必要な通信を転送時にだけ許可する。

〔ファイル転送手順の改善〕 方針

検体の実行後，検疫 PC 以外の OF 機器と，ファイルシェアサーバとは直接通信させない。

表3 項番4

項番4 OF 機器からファイルシェアサーバ：許可，禁止。

図5 項番5

検疫 PC にログインし，マルウェアスキャンを実行して検疫 PC がマルウェアに感染していないことを確認した上で，以降の手順に進む。

手順を方針に照らして並べる。手順3では，検疫 PC の PFW を変更して検疫 PC と OF 機器の間の通信を許可し，解析ファイルを OF 機器から検疫 PC に転送する（a はア）。これで解析ファイルが検疫 PC に集まる。手順4では，検疫 PC を除く OF 機器をシャットダウンする（b はウ）。検体の実行後は検疫 PC 以外の OF 機器とファイルシェアサーバを直接通信させないという方針なので，次にルータを内部モードに切り替える前に，感染している可能性のある OF 機器を止めておく必要がある。

手順5で検疫 PC のマルウェアスキャンを行った後，手順6でルータを内部モードに切り替える（c はエ）。表3の項番4のとおり，OF 機器（検疫 PC を含む）からファイルシェアサーバへの通信は，内部モードでは許可，公開モードでは禁止なので，検疫 PC がファイルシェアサーバに送るにはこの切替えが要る。最後の手順7で，検疫 PC の PFW を変更して検疫 PC とファイルシェアサーバの間の通信を許可し，解析ファイルを転送する（d はイ）。許可は転送時にだけという方針に合わせ，検疫 PC とファイルシェアサーバの間の通信を許可するのは最後にしている。

間違えやすいのは，内部モードへの切替えを前半（手順3より前）に置くことである。講評でも誤答として挙げられているとおり，内部モードにすると OF 機器からファイルシェアサーバへの通信が許可されてしまうので，OF 機器が全て止まった後に切り替える。

採点講評（IPA）

設問2は正答率がやや低かった。従来のファイル転送手順を，ファイルシェアサーバの感染リスクを低減する新しいファイル転送手順に並び替える問題であったが，内部モードへの切替えを前半に実施するといった，誤った解答が散見された。マルウェア転送は慎重に行う必要がある。作成したファイル転送手順案が，与えられた方針に全て従っているかを，よく確認してほしい。

本文の根拠

〔ARP スプーフィングの使用に関する説明〕 (3)

ネットワーク内の機器の情報を得たいと考え

表5 項番1

項番1 プローブ機能：OS 標準の機能を用いて同一セグメント内に ARP 要求を出し，応答を記録する。

表6

192.168.15.51 は XX-XX-XX-23-46-4a，192.168.15.98 は XX-XX-XX-f9-48-1b。

“ネットワーク内の機器の情報を得たい”という目的に合うのは，同一セグメントに ARP 要求を出して応答を記録するプローブ機能（項番1）である。実行後の X-PC の ARP テーブルに，192.168.15.51（標的 PC）と 192.168.15.98（DNS サーバ）の MAC アドレスが載っているのは，このプローブ機能で応答を集めた結果である。ARP は IP アドレスから MAC アドレスを引くためのプロトコルで，同一リンク内で ARP 要求をブロードキャストし，該当機器が応答する（RFC 826）。

項番2の ARP スプーフィング機能は，標的の機器が ARP 要求を出した際に不正な応答を送るもので，機器の情報を集めるものではない。項番3の中継機能は，ARP スプーフィングが成功した後で，自分宛てに届いたパケットを本来の宛先へ転送するもので，これも情報収集の機能ではない。

項番で答える設問なので，目的が“情報を得る”ことなのか“攻撃する・通信を中継する”ことなのかを区別して選ぶ。

採点講評（IPA）

設問3は，(1)，(2)，(3)ともに正答率が高かった。ARPスプーフィングによる，ARPテーブルのMACアドレスの変化や，通信パケット上のMACアドレスの変化が正しく理解されていた。

本文の根拠

〔ARP スプーフィングの使用に関する説明〕 (5)

ARP スプーフィング機能について，標的 PC の IP アドレスを指定して実行した後，DNS サーバの IP アドレスを指定して実行し，標的 PC から DNS サーバへの通信を盗み見する準備を整えた。

表5 項番2

自身の MAC アドレスを含んだ不正な ARP 応答を送る。

図6

標的 PC（IP：192.168.15.51，MAC：XX-XX-XX-23-46-4a）

ARP スプーフィングで偽の情報を書き込まれるのは，標的とした機器の ARP テーブルである。X-PC は攻撃する側なので，X-PC の ARP テーブル（表7）には正規の対応がそのまま残る。192.168.15.51（標的 PC）の MAC アドレスは標的 PC の XX-XX-XX-23-46-4a（f はア），192.168.15.98（DNS サーバ）の MAC アドレスは DNS サーバの XX-XX-XX-f9-48-1b（g はイ）である。パケットを中継するには，本来の宛先の MAC アドレスを X-PC が知っている必要がある。

標的 PC の ARP テーブル（表8）では，不正な ARP 応答によって，192.168.15.98（DNS サーバ）の MAC アドレスが X-PC の XX-XX-XX-fb-44-25（i はウ）にすり替えられる。192.168.15.50 は X-PC 自身の IP アドレスなので，これに対応する MAC アドレスは正規の XX-XX-XX-fb-44-25（h はウ）である。つまり h と i は同じ値になり，標的 PC の ARP テーブル上で二つの IP アドレスが同じ MAC アドレスを指す状態になる。

設問の注意書きどおり同一の MAC アドレスが複数の欄に入ることがある。f〜i は，“誰の ARP テーブルか”と“その IP アドレスの持ち主の本当の MAC アドレスはどれか”で考える。講評では，この設問 3 は(1)，(2)，(3)ともに正答率が高かったとされている。

採点講評（IPA）

設問3は，(1)，(2)，(3)ともに正答率が高かった。ARPスプーフィングによる，ARPテーブルのMACアドレスの変化や，通信パケット上のMACアドレスの変化が正しく理解されていた。

本文の根拠

表9 注記2

パケットは表中の上から順に送信された。

表9 3行目

3行目：192.168.15.98，192.168.15.51，DNS，XX-XX-XX-f9-48-1b，XX-XX-XX-fb-44-25。

表5 項番3

ARP スプーフィング機能が成功した後，自身に送られてきたパケットを加工し，パケットの本来の宛先に転送する。

図6

X-PC（IP：192.168.15.50，MAC：XX-XX-XX-fb-44-25）

L2SW-1 を通過するパケットの IP アドレスは通信の当事者のままで，MAC アドレスだけが物理的な送信元・宛先を表す。1行目は，標的 PC（192.168.15.51）が DNS サーバ（192.168.15.98）に出した DNS 要求である。標的 PC の ARP テーブルでは 192.168.15.98 に X-PC の MAC アドレスが書かれているので，宛先 MAC アドレスは X-PC の XX-XX-XX-fb-44-25（k はウ），送信元 MAC アドレスは標的 PC の XX-XX-XX-23-46-4a（j はア）になる。

2行目は，X-PC が中継機能でそのパケットを本来の宛先に転送したものである。IP アドレスは 1行目と同じままで，送信元 MAC アドレスは X-PC の XX-XX-XX-fb-44-25（l はウ），宛先 MAC アドレスは DNS サーバの XX-XX-XX-f9-48-1b（m はイ）になる。3行目は，DNS サーバの応答が，DNS サーバの ARP テーブルにある X-PC 宛て（偽の対応）で送られた様子で，宛先が X-PC の MAC アドレスになっている。4行目は，その応答を X-PC が標的 PC に転送したもので，送信元 MAC アドレスは X-PC の XX-XX-XX-fb-44-25（n はウ），宛先 MAC アドレスは標的 PC の XX-XX-XX-23-46-4a（o はア）である。

3行目が与えられているので，これが X-PC 宛てになっていることを手掛かりに，行ごとに“誰から誰へ”の MAC アドレスの組を当てはめる。ARP スプーフィングが成功している証拠は，同じ IP アドレスの組のパケットが 1 往復ごとに X-PC を経由して 2 回ずつ記録される点にある。

採点講評（IPA）

設問3は，(1)，(2)，(3)ともに正答率が高かった。ARPスプーフィングによる，ARPテーブルのMACアドレスの変化や，通信パケット上のMACアドレスの変化が正しく理解されていた。

本文の根拠

図7 1.

ソルトあり，ストレッチングあり

図7 注1)

最初の 7 字はハッシュ関数のバージョンとストレッチング回数

図8 STEP2

関数への入力は，n 番目の候補文字列，文字列 Z の中に記載されたハッシュ関数のバージョン，ストレッチング回数，ソルトである。

ストレッチングは，パスワードにソルトを付けてハッシュ関数を適用する処理を数多く繰り返し，ハッシュ値を求めるのにわざと手間を掛ける手法である。1 回の計算を重くすることで，総当たりや辞書を使った推測のコストを上げられる。図7の例では $2b$05$ の部分が，ハッシュ関数のバージョン（2b）とストレッチング回数（05）を表す。

図8の STEP2 でも，攻撃者は文字列 Z に記載されたストレッチング回数を使って候補文字列のハッシュ値を計算する必要があることが分かる。ストレッチング回数が大きいほど，STEP2 を回す 1 回あたりの時間が増える。

20 字以内で“どのような処理か”を具体的に答える設問なので，“ハッシュ化（ハッシュ関数の適用）”を“繰り返す”という二つの要素を入れる。解答例は 12 字である。

本文の根拠

図7 1.

利用者 ID に対してログイン失敗が 5 回連続した場合は，当該利用者 ID によるログインを 10 分間ロックする。

表10 項番1

人事サーバに対して，ツールを用いて，ブルートフォース攻撃によるログイン試行をする。

ブルートフォース攻撃（総当たり攻撃）は，パスワードの候補を片端から試してログインを試みる攻撃である。人事サーバの設計資料には，利用者 ID に対してログイン失敗が 5 回連続した場合に，当該利用者 ID によるログインを 10 分間ロックするとある。これがブルートフォース攻撃に対抗する機能に当たる。

ロックされると 10 分間はその利用者 ID でログインできず，その間は試行を続けられない。5 回試すごとに 10 分待つことになるので，Admin[数字 5 桁] の 10 万通りを試す時間は残りの試験時間内には収まらない。T さんが“残りの試験時間内にパスワードを得ることは困難”と判断した理由はここにある。

40 字以内で“どのような機能か”を答えるので，ロックの契機（ログイン失敗が 5 回連続）と，ロックされる対象（当該利用者 ID）を含める。ロック時間の 10 分は，字数に余裕があれば加えてもよいが，機能の中身としては契機と対象が先である。解答例は 31 字である。

本文の根拠

表10 項番2

文字列 Z に含まれるハッシュ値から平文を得るために

表10 項番2

文字列 Z の生成にはソルトが用いられているから

ハッシュ値から平文を得る攻撃として，あらかじめ多数の平文とそのハッシュ値の対応（チェーン）を計算した表を用意して照合するのがレインボーテーブル攻撃である。この攻撃は，同じ平文なら必ず同じハッシュ値になることを前提にしている。ソルトを付けてハッシュ化すると，平文が同じでもソルトが違えばハッシュ値が変わるため，あらかじめ作った表が使えなくなる。表10の理由欄“文字列 Z の生成にはソルトが用いられているから”と対応している。

ア Pass the Hash は，パスワードを解読せずに，ハッシュ値そのものを認証に使う攻撃で，平文を得る攻撃ではない。イ SHA-1 衝突は，同じハッシュ値になる異なる 2 つのデータを作る攻撃で，ハッシュ値から元の平文を求めるものではない。ウ 既知平文攻撃は，暗号文と対応する平文の組を手掛かりに暗号を解く攻撃で，ここの“ハッシュ値から平文を得る”という文脈とは違う。

記号で答える設問なので，“ソルトで無効化される”という理由欄の記述に合う攻撃を選ぶ。

本文の根拠

図7 3.

“Admin[数字 5 桁]”であり，[数字 5 桁]にはサーバごとに異なる数字が設定されていた。

図8 STEP1

整数型の変数 n に 0 を代入する。

図8 STEP4

変数 n が最大値の場合はオフライン攻撃を終了する。

システム管理者のパスワードの特徴は，“Admin”の後ろに数字 5 桁が付いた形式であることである。したがって候補文字列は，00000 から 99999 までの 5 桁の数字（変数 n の値）を“Admin”の後ろに付けた文字列になる。STEP1 で n に 0 を入れ，STEP4 で n が最大値（99999）になるまで 1 ずつ増やす流れとも合う。

オフライン攻撃では，ログイン試行は 1 回もしない。デバッグログから得た文字列 Z（ハッシュ値）を手元で候補と照合するので，ログイン失敗 5 回でロックする機能には引っ掛からない。候補は 10 万通りしかなく，ストレッチングを掛けても短時間で全てを計算できる。

40 字以内に収めるには，“n の値を 5 桁の文字列にする”（0 埋めで桁をそろえる）と“Admin に結合する”の 2 点を残す。解答例は 32 字である。

本文の根拠

図9

各 PC 及びサーバの ARP テーブルを常時監視して，

表5 項番2

自身の MAC アドレスを含んだ不正な ARP 応答を送る。

ARP スプーフィングが成功すると，標的の機器の ARP テーブルでは，攻撃者の機器の MAC アドレスが，本来は別の機器である複数の IP アドレスに結び付けられる。表8のように，192.168.15.50 と 192.168.15.98 のどちらにも X-PC の MAC アドレスが入った状態になる。ARP テーブルを常時監視していれば，同じ MAC アドレスが複数の IP アドレスに対応するという不審な状態として気付くことができる。

一方で，MAC アドレスが書き換えられた事実だけでは，正規の変更（NIC の交換など）との区別が付かない。そのため，ここでは“同一の MAC アドレスのエントリが複数存在する”ことのように，通常はあまり起きない状態を挙げる。

30 字以内で“どのような状態か”を具体的に答える設問なので，“同一の MAC アドレス”と“複数のエントリ”の二つを入れる。解答例は 24 字である。

本文の根拠

図7 2.

デバッグログには，ログインした利用者 ID ごとの，セッション情報，H 文字列を含む認証情報，プログラムコードで用いられていると思われる関数名や変数の値などが出力されていた。

図7 2.

人事サーバに用いられている OSS の既知の脆弱性を悪用して閲覧できたデバッグログの情報。

図9 (3)

(3) ログの観点

人事サーバのデバッグログには，セッション情報やパスワードのハッシュ値（H 文字列）を含む認証情報が出力されていた。T さんはこれを，既知の脆弱性を悪用して閲覧し，システム管理者のパスワード解読に使った。ログの観点からの改善提案としては，このような機密性の高い認証情報をログに出力しないことが挙げられる。

脆弱性管理の観点（脆弱性修正プログラムの適用）と，パスワードの観点（推測可能なパスワードを避ける）は図9の(1)，(2)で既に述べられている。(3)のログの観点は，ログに何を記録するか，または出力したログをどう守るかに関する改善であり，デバッグログに認証情報を出力しないというのが最も直接的である。

25 字以内なので，“デバッグログ”と“認証情報”と“出力しない”を残す。解答例は 19 字である。

本文の根拠

〔マルウェアαの検知と対応〕

マルウェアαは，起動すると，PC 上のメールフォルダにある電子メール（以下，電子メールをメールという）を読み出して，攻撃者が用意した Web サーバにアップロードする。

図3 ルール5

何らかのファイルが読み込まれた後，1 分以内に，同一のサイズのファイルが HTTP でアップロードされた。

図2

単純ルールには，一つのイベント内の各イベントの情報を条件として複数組み合わせて指定できる。

検知ルールは，単純ルール（一つのイベントの情報を条件にする）と，それらを組み合わせた複合ルールからなる。下線①のファイル操作のイベント，下線②のネットワーク動作のイベントを，それぞれ単純ルールとして定義する。

①は，マルウェアαがメールフォルダ内のメールを読み出すので，ファイル操作のイベントのうち，操作種別が読込みで，ファイルのパス名がメールフォルダ内であるものを条件にする（表3のファイル操作の情報にパス名がある）。②は，読み出したメールをアップロードするので，ネットワーク動作のイベントのうち，動作種別がファイルのアップロード，通信が HTTP であるものを条件にする。図3の出荷時ルール5が“読み込まれた後，同一サイズのファイルが HTTP でアップロードされた”という形になっていることとも合う。

それぞれ 30 字以内なので，①は“メールフォルダ内のファイル”と“読み込まれた”，②は“HTTP”と“ファイルがアップロードされた”を残す。解答例は①が 21 字，②が 20 字である。

本文の根拠

図4 PC1

15:03 USB メモリ装着，15:15 ファイルコピー E:¥file1.v→C:¥file1.v

図4 PC1

15:18 V-読込 C:¥file1.v，15:18 V-読込 N:¥file2.v，15:18 V-書込 N:¥file2.v

図4 PC2

17:25 V-読込 N:¥file2.v，17:25 V-読込 C:¥file6.v，17:25 V-書込 C:¥file6.v

表5 発生順序3

ファイル利用履歴の中から選ばれたと思われる

マルウェアβは，マクロが仕込まれたデータファイルを開いて実行すると，ファイル利用履歴の中から選んだ別のファイルを開き，そのファイルにマクロとして自分を埋め込んで上書き保存する。図4でこの動きに当たるのは，PC1 の 15:18 である。C:¥file1.v を読み込んだ直後に，N:¥file2.v を読み込み，同じ N:¥file2.v を書込んでいる。その前に，15:03 に USB メモリが装着され，15:15 に E:¥file1.v が C:¥file1.v にコピーされている。したがって，発生順序1は 5月19日 15:03（a），USB メモリが装着されたのは PC1（b），マルウェアβが潜んでいたファイルは file1.v（c）である。

ファイル利用履歴から選ばれて埋め込まれたのは，共有フォルダ上の file2.v（d）である。発生順序4では，PC2 が 17:25 に N:¥file2.v を読み込み，直後に C:¥file6.v を読み込んで書込んでいる。これは，PC2 で利用者が file2.v を開いてマクロを実行し，感染が広がった動きである（e は PC2）。PC2 にも USB メモリが装着されているが（13:15 の file3.v のコピー），その後に file3.v 以外を続けて書き換える動きはなく，PC2 は別経路ではなく file2.v 経由で感染したと読める。

図4の注記3のとおり，N: はファイルサーバ上の同じ共有フォルダのドライブなので，複数の PC が同じ file2.v を開く。講評では，この設問 2 は正答率が高く，イベントの記録からマルウェアの挙動が正しく読み取られていたとされている。

採点講評（IPA）

設問2は，正答率が高かった。インシデント対応では，イベントの記録を基にタイムラインを整理することが重要である。問題中に示したEDRのイベントの記録から，マルウェアの挙動が正しく読み取られていることがうかがわれた。

本文の根拠

表5 発生順序4

上で，利用者がdを開いて，マクロを実行したので，eにも感染が広がった。

図4 PC2 5月20日

11:15 V-読込 C:¥file6.v，11:15 V-読込 C:¥file8.v，11:15 V-書込 C:¥file8.v

図4 PC3 5月20日

14:39 V-読込 N:¥file2.v，14:39 V-読込 C:¥file4.v，14:39 V-書込 C:¥file4.v

図4 PC3 5月20日

15:48 V-読込 C:¥file7.v

削除すべきなのは，マルウェアβが埋め込まれたファイルである。埋め込まれるのは，マクロの実行直後に書込まれるファイルなので，図4で“書込”の記録があるファイルを順にたどる。PC1 の C:¥file1.v（もとのファイル，ア），共有フォルダの file2.v（キ），PC2 の C:¥file6.v（ウ；5月19日 17:25 に書込まれた），PC2 の C:¥file8.v（エ；5月20日 11:15 に file6.v を開いた直後に書込まれた），PC3 の C:¥file4.v（オ；5月20日 14:39 に file2.v を開いた直後に書込まれた）である。

除くものは，イの PC2 の C:¥file3.v とカの PC3 の C:¥file7.v である。file3.v は USB メモリからコピーされた後に読込まれただけで，その直後の別ファイルの読込み・書込みが続いていない。file7.v も読込みだけで書込みの記録がない。PC3 は 5月19日 10:25 にも N:¥file2.v を書込んでいるが，これは感染前の通常の利用であり，その時点の file4.v も読込みだけである。

全て選ぶ設問なので，“読込まれたファイル”と“その直後に書込まれたファイル”を組にして，書込まれたものだけを拾い，読込みだけのファイルを選ばない。

採点講評（IPA）

設問2は，正答率が高かった。インシデント対応では，イベントの記録を基にタイムラインを整理することが重要である。問題中に示したEDRのイベントの記録から，マルウェアの挙動が正しく読み取られていることがうかがわれた。

本文の根拠

図2

指定した複数の単純ルール又は複合ルールに合致するイベントが，指定した時間内に，指定した順に発生した。

図2

複合ルール内で，複数のイベントの間でイベントの情報の値が一致することを条件として指定できる。

〔運用サービスの利用〕

マルウェアβと同じ手段による感染の拡大を検知するための検知ルール

マルウェアβの感染の拡大は，V ソフトのデータファイルを開いてマクロを実行すると，すぐにファイルが上書きされるという手段で起きる。図4の記録でも，ファイルを読み込んだ後，短時間のうちに書込みが続いている。図2の複合ルールは，複数のイベントが指定した時間内に指定した順に起きたことと，イベントの間で情報の値（ここではパス名）が一致することを条件にできる。

そこで，“V ソフトのデータファイルが読み込まれた”後，“1 分以内に”，“同じパス名のファイルが上書きされた”という並びを複合ルールにする。パス名の一致を条件に入れるのは，読み込んだファイルが同じファイルとして上書きされた場合を拾うためで，PC の通常利用に起因する誤検知（V ソフトで別のファイルを読み込んだだけの場合）を避けるためでもある。

60 字以内なので，“データファイルの読込み”，“1 分以内”，“パス名が同一のファイルの上書き”の三つを残す。解答例は 47 字である。

本文の根拠

表6 想定1

ファイル N を攻撃者のメールアドレスに送信し，攻撃者が S サービスにアップロードした。

表1 メールサーバ

メール全体のサイズ，添付ファイルの名称，添付ファイルのサイズ

想定1は，従業員がファイル N を攻撃者のメールアドレスに送信した場合である。メールサーバのログのうち，ファイル N と突き合わせられるのは，添付ファイルの名称と添付ファイルのサイズである。ログに記録される項目は表1の中から選ぶので，宛先メールアドレスやメール全体のサイズでは，ファイル N そのものと照合できない。

この二つの項目の順序は問われず，どちらが f でも g でもよい（順不同）。メール全体のサイズは本文や他の添付ファイルを含むので，ファイル N のサイズとは一致しないことが多く，照合には不向きである。

項目名を答える設問なので，表1の語句のとおりに“添付ファイルの名称”“添付ファイルのサイズ”と書く。“ファイル名”などと縮めない。

本文の根拠

表6 想定2

HTTP で攻撃者のサーバにファイル N をアップロードし

表1 プロキシサーバ

アクセス元の IP アドレス，アクセス先の URL，転送したデータのサイズ，アップロードされたファイルのサイズ

想定2は，従業員が HTTP で攻撃者のサーバにファイル N をアップロードした場合である。プロキシサーバのログには，アップロードされたファイルのサイズが記録されるので，ファイル N の“サイズ”と一致するものを洗い出せる。

h にはファイル N の側の属性が入る。ファイル N の属性のうち，プロキシサーバのログの項目（アップロードされたファイルのサイズ）と突き合わせられるのはサイズである。プロキシサーバのログにはファイル名の項目がないため，名称は使えない。

字句を答える設問なので，“サイズ”の一語でよい。ログの項目名の“アップロードされたファイルのサイズ”まで書く必要はなく，ファイル N のどの属性かを答える。

本文の根拠

表1 プロキシサーバ

アクセス元の IP アドレス，アクセス先の URL，転送したデータのサイズ，アップロードされたファイルのサイズ

表6 想定2

HTTP で攻撃者のサーバにファイル N をアップロードし

ファイル N のサイズと比べる相手は，プロキシサーバのログのうち，アップロードされたファイルのサイズ（i）である。転送したデータのサイズは通信全体のサイズで，HTTP のヘッダなどを含むので，ファイル N のサイズとは一致しない。

一致するものを見つけたあとに，信頼できるサイトのものかどうかを確認する項目は，アップロード先を示すアクセス先の URL（j）である。攻撃者のサーバではなく業務で使う正規のサイトへのアップロードであれば，問題のない通信と判断できる。

ログの項目名を表1から選ぶ設問なので，“転送したデータのサイズ”と“アップロードされたファイルのサイズ”を取り違えないように，ファイルそのものの大きさを示すほうを選ぶ。

本文の根拠

図7

USB メモリへの，ファイル名又はファイルサイズがファイル N と一致するファイルの書込み記録を洗い出す。

〔秘密ファイルの流出〕

という操作をして，ファイル N と同じ内容が含まれるものの，

図7の最初の検査は，USB メモリへの書込み記録のうち，ファイル名又はファイルサイズがファイル N と一致するものを探す。ここで見つからず（記録なし），ファイル N の読出し記録があって，その後 1 時間以内に USB メモリへの書込みがある場合が詳細調査 B に進む。この場合に当たるのは，従業員が，ファイル N の内容を含みながらファイル名もファイルサイズも変えたファイルを書込んだときである。

ファイル名とファイルサイズを変える操作としては，ファイルの圧縮が典型的である（k はファイル圧縮）。圧縮すれば，内容は含まれていても，ファイルサイズが変わり，圧縮後のファイルには通常別の名前が付くので，ファイル名もファイルサイズも一致しなくなる。l と m はファイル名とファイルサイズで，順序は問われない（順不同）。

10 字以内なので，k は“ファイル圧縮”，l と m は図7の語句のとおり“ファイル名”“ファイルサイズ”と答える。

本文の根拠

図8 〔業務で使用する USB メモリの指定〕

調達した USB メモリの USB-ID は情報システム課が管理する。

〔再発防止〕

情報システム課が管理する USB-ID を P 社に伝え，この規程に違反する持出しを製品 C で検知するように P 社に依頼した。

表3 USB メモリの操作

USB メモリの操作：操作種別（装着，取外し），USB メモリの ID（注1）（以下，USB-ID という）。

図2

条件として，値が一致する／しない，範囲内である／ない，列挙された値のいずれかに一致する／いずれにも一致しない，文字列として含まれる／含まれないが指定できる。

規程案では，業務で使う外部記憶媒体を情報システム課が調達した USB メモリに限定し，その USB-ID は情報システム課が管理する。製品 C で検知できる違反は，USB メモリの操作のイベントの USB-ID を使って，管理している USB-ID 以外の USB メモリの装着を見つけることである。

図2のとおり単純ルールは“列挙された値のいずれにも一致しない”を条件にできるので，USB メモリの装着のイベントで，USB-ID が管理しているどの USB-ID にも一致しないものを検知するルールを作る。個人所有の USB メモリが使われると，その USB-ID は管理しているものに含まれない。

60 字以内なので，“USB メモリの装着”と“管理している USB-ID のいずれにも一致しない”の二つを残す。解答例は 49 字である。

本文の根拠

〔秘密ファイルの流出〕

仕入原価も記載されていると 9 月 26 日に取引先から連絡があった

〔秘密ファイルの流出〕

メールを見た通報窓口の要員は IRT 全員を招集して会議を開催しようとしたが，日程調整が難航し，開催できたのは 10 月 4 日だった。

〔秘密ファイルの流出〕

これらの状況を基にレベルの判定を行おうとしたが，“影響の広がり”の区分のどれにも該当しないので，とりあえず“軽微”と判定した。

表7 項番1

IRT での通報受付を早めるために，通報窓口を見直す。

表7 項番4

体制のとり方を見直すために，レベルの判定のタイミングを見直す。

n は，通報受付を早めるための通報窓口の見直しである。取引先は 9 月 26 日に，ファイル N と思われるファイルが公開されていることを K 社の従業員に連絡したが，K 社の通報専用メールアドレスに通報があったのは 9 月 29 日である。通報窓口は社内から通報を受けるためのものなので，取引先など社外からの連絡は通報窓口に届かず，従業員の手元に滞った。そこで，社外向けの通報窓口を設置するという見直しになる。

o は，レベルの判定のタイミングの見直しである。IRT は，ファイル N に含まれる商品の売上高が全社の 5%という状況で“影響の広がり”のどの区分にも当たらないとして，とりあえず“軽微”と判定した。図6では，被害状況からレベルを 1 回判定し，その後は経路・経緯の特定に進む流れだが，調査が進んで事実が分かるたびに，影響の深刻さや広がりが変わりうる。したがって，最初の判定だけでなく，事実が見つかるたびに再判定を行うようにすれば，必要な体制を適切にとれる。

字数は n が 30 字以内，o が 50 字以内で，解答例はそれぞれ 15 字と 46 字である。講評では，この設問 6 は正答率が低く，どこで無為に時間が過ぎているかに注目してほしかったとされている。通報の受付（9 月 26 日から 29 日），IRT 全員の招集（9 月 29 日から 10 月 4 日），暫定のレベル判定，の三つの時間のうち，表7の項番1・3・4が各々に対応していることを手掛かりにする。

採点講評（IPA）

設問6は，正答率が低かった。問題中のインシデント対応において，どこで無為に時間が過ぎているかに注目して考えてほしかった。インシデント対応については，幾つかのガイドラインが発表されているので，インシデント対応の全体像を理解できるよう，これらを参照して学習してほしい。