情報処理安全確保支援士 2017年 春期 午後II 問題

共通の文章

マルウェアの解析に関する次の記述を読んで,設問1ー6に答えよ。 R社は,インターネット上でショッピングモール(以下,ECサイトという)を運 営する,従業員数3.000名の企業である。ECサイトの総店舗数は5,000店,会員数 は300,000名である。 [R社のネットワーク構成と組織] 図1は,R社のネットワーク構成である。 a fr EC管理セグメント 外部メー||外部DNS=内部メー||内部Web IL2SWト|EC ルサーバサーバルサーバ||サーバ 運用管理セグメント事務PCセグメントーー 言サーバ サーバ|サーバ 運用監視||対策管理DHCP FW:ファイアウォール ーーウイルスaa サーバサーバサーパPC L2SW:レイヤ2スイッチ 図1 R社のネットワーク構成(抜粋) R社内では無線LANを使用していない。また,事務用PCとEC管理PCを併せて 社内PCと呼んでいる。 R社では,内部Webサーバに対してサーバ証明書を発行するためにプライベート CAを有しており,そのルート証明書を社内PCにインストールしている。プライベ ートCAは,必要に応じてサーバ託明書を発行することができる。プライベートCA はネットワークに接続されていない。 表1は,R社のネットワーク機器と役割である。 ーー2 pare 表1 R社のネットワーク機器と役割(抜粋) FW1,2・各ゾーンの境界を構成して,ゾーン間を接続し,通過|・許可ログ するパケットを検査し,許可遮断を判定する。・遮断ログ 外部DNS|・社外からのR社のドメインに対するDNS問合せに応|なし サーバ答する。 ・認証サーバ及びDMZ内のサーバからの,社外のドメ インに対するDNS問合せを処理する。 外部メール|・社外からのR社宛ての電子メール(以下,メールとい|・受信したメールの情 サーバう)を受信し,内部メールサーバに転送する。報 ・内部メールサーバからの社外宛てのメールを受信し,・転送したメールの情 社外のメールサーバに転送する。報 ・メール転送時にウイルススキャンを行い,検知した場|・ウイルススキャンの 合は転送しない。結果と対処情報 内部Webサ|・従業員に対して,情報提供,勤怠管理などの各種サー|・アクセスログ ーバビスを提供する。 認証サーバ|・社内の利用者の認証を処理する。・利用者認証の結果 ・DMZを除く社内からのDNS問合せを処理する。R社 のドメインについては自ら応答し,社外のドメインに ついては,外部DNSサーバに転送する。 内部メール|・社内の利用者のメールボックスを管理するとともに,・送受信したメールの サーバ社内の利用者からのメールの送受信要求を処理する。情報 ・利用者からの送受信 要求ログ プロキシサ|・社内PCから社外のWebサーバへのアクセスを中継す|・アクセスログ ーバる。本サーバハ以外から社外のWebサーバへの直接アク|・URLフィルタリング セスは,FW1で遮断される。結果 ・アクセス先URLに基づき,アクセス制御を行う。ホワ|・ウイルススキャンの イトリストブラックリストの登録ができる。結果と対処情報 ・通信の中継時にウイルススキャンを行い,検知した場 合はダウンロードしない。 ・HTTP over TLS(以下,HTTPSという)復号機能はな い。 バッチ配信|OSとpp固覧ソフトの脆弱性修正プログラムを社内|'配信した脆到性修正 サーバPCに配信し,適用結果を収集する。2ロダ本報 ・各PCの脆弱性修正 プログラム適用結果 DHCPサー|・事務用PCに対して,DHCPサービスを提供する。・DHCPによる割当て ・IPアドレスのリース期間は,20時間である。結果 SE)機器の障害時や起動時に出力されるログは省略している。 ーー3= R社には,情報システム部(以下,IS部という),開発部,サポート部,営業部及 び総務部がある。R社の各部の役割を表2に示す。 表2 R社の各部の役割(抜粋) IS部・R社のネットワークの構築・運用 ・R社のネットワークに関する社内規程などの整備 ・R社のネットワークのセキュリティ監視 ・R社のセキュリティインシデント(以下,インシデントという)対応 ・プライベートCAの管理 開発部・ECサイトのアプリケーションソフトウェアの開発と保守 サポート部|・ECサイトの運用管理 ・インシデントを除く障害への対応 ・出店社及び会員向けヘルプデスクの運営 サポート部がECサイトの運用管理を行う際は,EC管理PCを使用している。事 務用PCからFW2を経由したECサイトへのアクセスは,FW1によって遮断される。 社内PCには,パッチ管理プログラムがインストールされていて,パッチ配信サーバ から脆弱性修正プログラムの配信を受けると,自動的に脆弱性修正プログラムが適 用される。脆弱性修正プログラムは,ARDS 1か月以内に配信する運用としてい る。社内PCの利用者には管理者権限を与えておらず,利用者が勝手にプログラムを インストールすることはできない。 [不審な通信の発見] IS部では,セキュリティ監視業務の一環として8時間ごとにプロキシサーバのア クセスログを確認している。ある日の正午過ぎ,その日の午前4時から正午までの プロキシサーバのアクセスログの集計情報を確認していたIS部のU Ald,特定の社 内PCから特定のサーバに多数のHTTPS通信が行われていることを発見した。U君 は不審に思い,アクセスログを急いで調査した結果,次のことが判明したので,そ れを午後0時30分にIS部の部長に報告した。 ・1台の事務用PCから,社外の同一サーバ(以下,被疑サーバという)に対して多 数のHTTPS通信が,およそ30分おきに行われている。 ・HTTPS通信が行われるごとに,数100kバイトのデータを送信している。 —_—4 a} [インシデントへの初動対応〕 報告を受けたT部長は,インシデントが発生したと判断して,IS部内に設置され ているCSIRTの責任者であるV課長に対してインシデント対応を開始するよう指示 した。V課長は,CSIRTメンバのM君を呼び,対応を開始するよう指示した。M君 は,図2に示すインシデント対応規程に従って,表3の順序で初動対応を行った。 ・PCからの不審な通信を発見した場合 (1)各種のログを調査して,不審な通信の送信元を特定する(以下,特定した送信元を不審PC という)。 (2)不審PCをLANから切り離す。電源オンの状態のまま移動できる場合は,直ちに解析室へ 移動する。電源オンの状態のまま移動できない場合は,①電源をオフにすると消去されてし まう情報について,必要な調査を電源オンの状態で行い,調査終了後,電源をオフにして直 ちに解析室へ不審PCを移動する。 (3)不審な通信を行っているPCが他にないか確認する。同様の通信を行っているPCを発見し た場合は,不審PCと同じ対処をする。 (4)解析室内でマルウェア感染の可能性について初期判定を行う。 (65)不審PCを利用していた部署に初期判定結果を報告する。 6)初期判定でマルウェアの可能性ありと判定したら,マルウェアの動作を特定するために詳 細解析を開始する。 (7)特定されたマルウェアの動作から,被害の有無及び影響範囲を確認するとともに,被害拡 大を防ぐために必要な措置を決定し,実施する。 図2インシデント対応規程(抜粋) 表3 M君の初動対応 1送信元特定の‘Ca|のログから,被疑サーバを宛先としたエントリを抽出し, ためのログ調|送信元忠アドレスとアクセス時刻を洗い出した。 査・送信元TPアドレスとアクセス時刻を基に,|bp|]のログを検索 し,アクセス時刻に送信元IPアドレスを使用していた不審PCの MACアドレスを特定した。 ・特定したMACアドレスをPC管理台帳中で検索して,不審PCの利用 者,WARS,設置場所及び不審PCの管理番号を特定した。不審PC の利用者は,サポート部のSさんであった。 2|不審PCの確|・不審PCの設置場所に行き,不審PCに接続されているLANケーブル 保を抜いた。 ・不審PCはノートPCであったので,電源オンの状態のまま解析室に移 動することにした。 3|他のPCから|・移動中,IS部のU君に対して,正午以降に不審な通信がないか確認す の不審な通信|るよう依頼した。U君の調査の結果,正午から午後1時までの不審びな の有無の調査通信は,SさんのPCからのものだけであった。 ニー5 午後1時,不審PCを回収して解析室に設置した後,M君は初期判定を開始した。 初期判定は図3に示すIS部のマルウェア初期判定ガイドラインに従って実施した。 1.ゴール このガイドラインのゴールは,不審PCについて,マルウェアに感染している,BRUTY る疑いがある,感染している疑いが薄いのいずれに当たるかを迅速に判定することである。 2.方針 不審PCと比較対照用PCを比較して,その差異に基づいて判定する。比較対照用PCとは, 0S及びアプリケーションソフトウェアをインストールした後に,最新の脆弱性修正プログラム の適用やウイルス定義ファイルの更新を行った社内PCであり,インシデント対応開始時に作 成する。 3.遵守事項 (a)不審PCは,解析専用LANだけに接続し,{HO LANに接続してはならない。 (b)比較対照用PCは,比較対照用LAN以外に接続してはならない。また:,比較対照用LANに は他のPCを接続してはならない。 (c)不審PCから外部媒体にデータを書き出す場合,又は外部媒体から不審PCにデータを書き 込む場合は,所定の手続を経なければならない。 4.解析チェックリスト 次のチェックリストのうち,不審PCにおいて1件でも該当すれば,マルウェアに感染して いる疑いがあると判定する。 (1)動作中のプロセスの一覧を比較対照用PCと突き合わせると,比較対照朋PCには存在しな いプロセスが存在する。 (2)OSの起動後,操作をしない状態で,比較対照用PCでは発現しない通信が発現する。 (3)OS DBE,Webブラウザの起動,メールソフトの起動などの操作をした際に,当該操作 と関係のない通信が発現する。 (4)OSのシステムファイルの名称,タイムスタンプ及びサイズを比較対照用PCと突き合わせ ると,差異が存在する。 図3マルウェア初期判定ガイドライン(抜粋) M君が図3中の解析チェックリストの(⑫)について通信の有無を解析したところ, 該当する通信を発見した。その通信は,被疑サーバを宛先とした通信であった。M Blk,不審PCがマルウェアに感染している疑いがあると判定し,即座にV課長に報 告した。不審PCは,マルウェア感染の疑いが濃くなってきたので,CSIRTでは被疑 PCという名称で呼ぶことにした。 [インシデントへの二次対応〕 V課長は,次の指示を出した。 ・M君に対して,図3中の解析チェックリストの(⑬③,④について解析した後,詳細 =ニュ6= 解析を開始すること ・CSIRTメンバのG君に対して,被疑PCの利用者及び所属部署に連絡し,聞き取 り調査をすること ・CSIRTメンバのZ君に対して,ECサイトへの影響の有無を調査すること G君が,被疑PCの利用者であるSさんから聞き取り調査をした結果は次のとおり であつた。 ・昨日まで出張が続いていたので,被疑PCの電源を入れるのは3か月ぶりであった。 HA,被疑PCの電源を入れ,午前9時30 DECOR,Webブラウザを開いて幾つ か社外のWebページを閲覧した。その後,今まで会議に出席していたので,それ 以外は被疑PCを操作していなかった。その間,被疑PCにはログオンしたままで あった。被疑PCは,無操作状態でもスリープ状態にならない設定であった。 ・会社から貸与されている出張用スマートフォンでメールを読んでおり,今日は被 疑PCのメールソフトを起動していない。 G君は,念のため各種ログを調査したが,聞き取り調査の結果との矛盾はなかった。 Z君が実施した調査では,ECサイトへの影響は一切発見できなかった。 [マルウェアの詳細解析 M君が解析室に戻り,図3中の解析チェックリストの(④についてファイルの差異を 解析したところ,不審なファイルを発見した。その後,被疑PCを図4の詳細解析環境 に接続し,通信の観測を続けた。表4は,詳細解析環境内の各サーバの役割である。 |er| |詳細解析環境| |サーサーバ解析用Web|! し| ae 1! OR IRTYKDEYTFY 図4詳細解析環境 se ie 表4詳細解析環境内のサーバの役割 解析用プロキシサーバ社内のプロキシサーバを模する。被比PCからのHTTP/HTTPS通信 を中継する。 解析用認証サーバ社内の認証サーバを模する。被疑PCの利用者の認証を処理する。ま た,被疑PCからのDNS問合せを処理する。 解析用DNSサーバ社内の外部DNSサーバを模する。解析用プロキシサーバからのDNS 問合せを処理する。任意のDNS問合せに対して,解析用Webサーバ のアドレスを返す。 解析用DHCPサーバ社内のDHCPサーバを模する。被疑PCに対して,DHCPサービスを 提供する。 解析用Webサーバ社外のWebサーバを模する。任意のURLに対するHTTPリクエスト に対して,同一のHTTPレスポンスを返す。HTTPSにも応答する。 被疑PCの通信について,観測の結果は次のとおりであった。 ⑪解析用認証サーバに,認証を要求する。 Gi)解析用プロキシサーバを経由して被疑サーバにHTTPS通信を行おうとする。 (iii)被疑サーバ以外を宛先としたHTTP/HTTPS通信は行わない。 (iv)被疑PCと同一サブネット上のIPアドレスに対して,何らかのアクセスをする。 このうち,アクセスの内容が不明であった(iv)を詳細に解析した結果,社内PCの OSで以前発見された脆弱性(以下,脆弱性Kという)を突いて攻撃を仕掛けている ことが判明した。脆弱性Kは,2か月ほど前に脆弱性修正プログラムと併せて公開さ れており,R社でも社内PCに脆弱性修正プログラムを配信していた。 被疑PCが⑪)とGy)の通信を行っている最中に,動いているプロセスをM君が調 査したところ,マルウェアと思われるプロセスを発見した。発見したプロセスは, 一通りの処理を終えると自身のファイルの隠蔽処理を行うとともに,自身を所定の 時間経過後に起動するための設定をOSに対して組み込み,終了することが判明した。 [マルウェアのHTTPS通信の解析] マルウェアのおおよその動きが判明したので,被害の有無を確認するために,被 疑サーバにアクセスしている内容を確認すべく,M君は詳細解析環境を図OLD に変更した。また,次の三つを行った。 ・解析作業による被疑PCの状態変化を考慮し,被疑PCの状態を保存するために, と8= 被疑PCのHDDの複製を作成した。 ・解析作業による情報漏えいを防ぐために,被疑PC内のファイルのうち,機密情報 が含まれているファイルの内容をランダムデータに置き換えた。 ・マルウェアがHTTPS通信を行う際,サーバ証明書の検証を行っている可能性を考 ML,検証が成功するよう,サーバ証明書を発行し,図5の環境に.,サーバ証 明書と,それに対応する秘密鍵を組み込んだ。 eo。。。。。。。。ユー |解折用プロ||解析用認|解析用DHCP[ルータft |キシサーバ||サーバサーバ||パケットキャ| |プチャ装置 eH SmI=a]|mee—1 | :| a ae a ee re ae aa a PT a eS SAITO eae er ERE| 注記中継サーバ2は,R社が契約しているISPで用意しているDNSサーバにDNS問合せを送る。 図5変更後の詳細解析環境 図5の環境で被疑PCがHTTPS通信を開始した場合の動作は,図6のとおりであ る。 (1)被疑サーバを殆先としたHTTPS通信を開始するために,被疑PCから解析用プロキシサーバ にセッション開始要求を送信する。 (2)解析用プロキシサーバが,HTTPS通信を中継することによって,被疑PCと中継サーバ1間 の通信路が確立する。 (3)被疑PCは,確立した通信路を使用して,被疑サーバ宛てのHTTPS通信でのデータ送受信を 開始する。 (4)中継サーバ1は,HTTPS通信を復号してHTTP通信に変換した上で,中継サーバ2に転送す る。応答は,HTTP通信からHTTPS通信に変換して解析用プロキシサーバに返す。 (5)中継サーバ2は,HTTP通信を暗号化してHTTPS通信に変換した上で,インターネット上の 被疑サーバと通信を確立する。応答は,HTTPS通信からHTTP通信に変換して中継サーバ1 に返す。 図6変更後の詳細解析環境における通信の概要 M君は,図5の環境で1~2時間ほど被疑PCを稼働させることにした。パケット データの収集を待つ間.デバッガを用いた解析を行うことにした。 =9— 〔デバッガによる解析) M君は,被疑PC内の不審おファイルのうち,マルウェアと思われる実行ファイル を所定の手続に従って取り出し,これを検体をと呼ぶことにした。続いて,CSIRT で用意している,デバッガを含むコード解析環境に検体をを投入した。 まず,検体をから読解可能な文字列を探したが,ほとんど存在しなかった。続い て,デバッガによる逆アセンブルを試行した。その結果,得られたアセンプブリコー ドには,通常であれば多数存在するはずのシステムコールの呼出しが少数しかなか った。M君はブレークポイントを指定して検体を実行してみたが,コードの冒頭 部分が実行されただけで,何ら不正な動作をすることなく終了してしまった。 解析に行き詰まったM BAS V課長に相談したところ,検体をにはデバッガ環境下 で実行していることを検知して実行を停止する機能が組み込まれているのであろう という説明を受けた。マルウェアがデバッガ環境下であることを検知する方法とし ては,デバッガ環境下であるかどうかを調べるシステムコールを実行する方法があ SM,③その他にも幾つかの方法が知られている。 M君は,検体んのアセンブリコードを読んで,デバッガ検知機能を発見し,これ を無効化することに成功した。無効化後の検体を検体z2と呼ぶことにし,M Ald, 検体ヶ2の解析を次の手法で進めた。 ・検体を2をデバッガにロードした時点で,逆アセンブルを行い,システムコールの 呼出し全てにブレークポイントを設定する。 ・ブレークするごとにシステムコールの内容を記録し,検体みの動作を推測する。 この結果判明したシステムコールの呼出し回数はごく僅かで,動作の推測には至 らなかった。ごく僅かの回数ブレークした後は,ブレークすることなく検体2 OR 行が続き,他のPCを感染させるための通信を試みた上で終了した。この通信を行う には,システムコールの呼出しが必要なはずであるが,ブレークすることはなかっ TEs またもや解析に行き詰まったM君がV課長に相談したところ,パッカーが使われ ている可能性が高いとの説明を受けた。V課長は,パッカーの一般的な仕組みについ て図7と図8を使って説明した。 ー10一 (1)図8の三つの図は,いずれもメモリ上のメモリブロックを表しており,プログラムカウンタ (以下,。カウンタという)は上から下へと移動していく。 (2)マルウェアがメモリにロードされた時点では,図8のマルウェアのロード時の状態になる。 デバッガにロードされたときも同じ状態である。 (3)マルウェアが動作を始めると,図8のアンパック処理時の状態になる。この時点で,暗号化 済みコード部のデータは実行プログラム部によって復号されて,見せかけのデータ部に書き込 まれる。 (4)見せかけのデータ部への書込みが完了すると,図8の本体の実行開始時の状態になる。この 時点で,見せかけのデータ部が,マルウェア本体に変わり,攻撃者の意図した動作を開始す る。 (5)このようなマルウェアは,ウイルス定義ファイルに基づくウイルススキャンでの検知が著し く難しい。 図7パッカーに関する説明 マルウェアのロード時アンパック処理時本体の実行開始時 実行プログラム部ドカウンタ|実行プログラム部しカッゥンタ|実行プログラム部 (復号処理部)(復号処理部)(復号処理部) 暗号化済みコード部暗号化済みコード部暗号化済みコード部 =書込み=;カウンタ マルウェ本人 図8パッカーの説明図 M君は。パッカーによる動作を解析して,検体z2のマルウェア本体のコードを手 に入れることができた。 [応急措置の決定と実施〕 M君がデバッガを使って検体2を解析している間に,図5の環境において十分な パケットデータが取得できた。このパケットデータから,被疑サーバに送信してい た情報が判明した。情報は暗号化されていたが,検体々2のマルウェア本体から取り 出した鍵を使って復号したところ,平文を得ることができた。 その結果,次の三つが被疑サーバに送信されていることが確認できた。 ・被疑PC内に一時的に保存された認証情報(利用者IDと,パスワードのハッシュ 値を含む) ・解析用認証サーバから取得した認証情報(利用者IDだけを含み,パスワードのハ ッシュ値を含まない) ・OSの設定情報及びシステムファイルのファイル名の一覧 M君の報告を受けたV BR,マルウェアの動作の特定並びに被害の有無及び影 響範囲の確認ができたと考え,これ以上の被害拡大を防ぐために,表5の応急措置 を即時実施することを芽部長に進言した。 表5インシデントに対する応急措置 措置の目的マルウェアの動作に対応した応急措置 被疑サーバへのHTTPSアクセス‘Ticに被疑サーバを登録するとともに,念のため の禁止FW1のルールを変更する。 マルウェアの感染の防止・全ての社内PCについて,[|a』]. マルウェアによる不正なプロセス|・解析の結果,判明したマルウェアのプログラム名を,社内 の実行の禁止PCのOSに,実行禁止プログラムとして登録する。 袖取されたアカウント情報の悪用|・被疑PC内にキャッシュされていた認証情報に含まれる利 の防止用者のアカウントについて,[|=:|を行う。 [感染経路の特定と対処〕 V課長は,再感染を防止するために,M君に感染経路を特定するよう指示した。M Blk,Sさんからの聞き取り調査の内容から,被疑PCが社外のWebページを閲覧し た際にマルウェアに感染した可能性が高いと考え,表6の手順で感染経路の特定を 目指した。 表6感染経路の特定手順 被疑PCのIPアドレスの特定|・初動対応において特定済みである。 2|アクセス先URLの一覧取得"| 。|]のログを参照し,今日被疑PCがアクセス した社外のURLの一覧を作成する。 3 URLの内容確認・URLの一覧中の各URLについて,URLの安全性を評 価するWebサイトで評価結果を確認する。 ・URLの一覧中の各URLにアクセスし,不審な内容が 存在しないか確認する。 確認したところ,URLの一覧に記載されたWebサイトの中で,インターネット上 のECサービスに関するニュースを提供しているQ HO Webサイト内の1ページ (以下,。Nページという)に,不自然な形でスクリプトが埋め込まれていることが発 見された。このスクリプトは複雑であり,M君が読んでも動作を把握することがで きなかった。そこでV課長がNページを分析してみたところ,次のことが分かった。 ・NページをWebブラウザで開くと,Q社のドメイン外のサイトからPDFファイル をダウンロードして,PDF閲覧ソフトで開く。 ・Nページから不自然なスクリプトを削除したページをWebブラウザで開くと,N ページと表示に違いはないが,PDFファイルはダウンロードされない。 V課長とM Blt,Nページが改ざんされ,マルウェアを配布していると推測した。 しかし,比較対照朋PCをインターネットにアクセスできる環境とした上でNペー ジを開いても,PDFの内容が表示されるだけで,不審なファイルや不審なプロセス が生成されることはなく,マルウェアに感染しなかった。 困ったM BAS V課長に相談したところ,④比較対照用PCの状態と,今日の勤務 開始時刻時点の被PCの状態では,重要な点が異なっている可能性が高いので, |{|のログを確認してみるようアドバイスを受けた。|f|]のログを確 認したM Ald,比較対照用PCの状態を,今日の勤務開始時刻時点の被疑PCと同一 の状態にした上で,もう一度Nページにアクセスした。その結果,不審おプロセス や検体々などの不審なファイルが生成されていた。このことによって,マルウェア (以下,マルウェアLという)に感染したことが分かった。 この時点で,マルウェアLの感染経路はNページを閲覧したことによるものと判 断することができた。この報告を受けたV課長は,次の対応策の実施をT部長に進 BUR, ・当面の間,社内PCからQ社のWebサイトへのアクセスを遮断する。 ・過去1週間の|”。|のログを調査し,Q HO Webサイトを閲覧した社内PC を洗い出し,それらのPCについて,| 』|のログと|fj|]のログを き合わせ,⑤マルウェアLに感染する可能性があったかどうか判断する。 ・Q社に対して適切な方法で,Webサイトが改ざんされている旨を伝える。 調査の結果,SさんのPC以外に感染した社内PCは存在しないことが確認できた。 最後に,検体及び複製HDDを消去し,インシデント対応を無事終了した。 =ihe [インシデント対応の事後評価] V課長は,今回のインシデント対応を振り返り,1日以内に全ての対応を完了した こと,マルウェアLに感染したPCも1台だけであり,拡大を防げたことから,対応 は成功したと考えた。 後日,V課長は,今回のインシデント対応に当たったメンバを招集し,事後評価を 実施した。CORR,⑥ディジタルフォレンジックスという観点から,実施するタ イミングを見直す必要がある作業があること,⑦被疑PCの利用者の業務継続を考慮 して対応する必要があることが課題として挙げられた。さらに,今回のマルウェアL の場合,図3中の解析チェックリストではマルウェア感染を発見できない場合があ るので,解析チェックリストの項目に,"| g|を比較対照用PCと突き合わせ ると,差異が存在する"という項目を追加する必要があるとの結論に至った。 その後,Q社からWebサイトの改ざんの原因の判明と復旧の連絡が届いたので, 内容を確認後,Q社Webサイトへのアクセス遮断を解除した。

共通の文章

社内システムの情報セキュリティ対策強化に関する次の記述を読んで,設問1~5 に答えよ。 A社は,従業員数500名の金属加工会社である。A社では,電子メール(以下,メ ールという)の送受信,Webの閲覧,及びWebサーバによる情報公開にインターネ ットを利用している。社外に公開するドメイン名としてa-sha.cojjp(以下,A社ドメ イン名という),サブドメイン名としてcc.a-sha.co.jp(以下,A社サブドメイン名と いう)を利用している。 [メールによる情報交換] A社では,業者とデータを交換する場合,ファイルを,あらかじめ取り決めたパス ワードで暗号化し,メールに添付して送受信している。さらに,担当者不在の場合 でも迅速に対応できるように,担当者が所属するグループの同報用メールアドレス にもメールを送信してもらっている。グループ同報用メールアドレスに届いたメー Wit,グループに所属する従業員全員のメールアドレスに転送(以下,同報転送と いう)される。4社で使用しているメールアドレスの種別を表1に示す。 表1 A社で使用しているメールアドレスの種別 ie アドレスは,従業員ごとに異なる文字列を割り当てる。 メールアドレスは,グループごとに異なる文字列を割り当てる。 ドレス信者メールアドレスである。 〔A社の情報システム〕 A社の情報システムのネットワーク構成を図1に示す。 ー16一 く<インターネットつ ーー |DMZ||」」製造部|」営業部」[yar at| ||外部DNS||公開Web|!|」LAN」」LAN」」LAN,, 0 ee |[ 1メーbaad PTーっ業務LAN。ーー| ーーsi agg eg ed L2SW:レイヤ2スイッチied tia FW:ファイアウォール||KbNsロンテンッ管天|レステム市| L3SW:レイヤ3スイッチshe ease 注記1 PCは全て,PC-LANに接続している。 注記2 PCの記載は省略している。 図1 A社の情報システムのネットワーク構成 DMZの各サーバには,グローバルIPアドレスを割り当てている。L3SW,PC,内 部LANのサーバ及び業務LANのサーバには,プライベートIPアドレスを割り当て ている。 ウイルス対策として,サーバ及びPCにW社のウイルス対策ソフトを導入してい る。サーバ及びPCでは,リアルタイムスキャンを有効にし,さらに,サーバでは毎 週土曜日20時に,PCでは毎日12時にフルスキャンを起動している。ウイルス定義 ファイルは,サーバ,PCとも,1時間おきに更新している。 A社では,全ての従業員にPCを1台ずつつ貸与している。PCのOS及びソフトウ ェアの脆層性修正プログラムを,それぞれ毎月1回自動で適用している。 (DMZのサーバの概要] A社は,2年前にDMZへのプロキシサーバ新設に合わせ,DMZの全サーバをリプ レースした。DMZのサーバは,システム部が運用している。システム部では,業者 に委託して,年1回,DMZのサーバに対するインターネットからの脆弱性検査を実 施しており,間題がないことを確認している。また,システム部では,DMZのサー バで使用されているOS及びソフトウェアの脆弱性情報を収集している。DMZ OF ーバでは,脆弱性修正プログラムがリリースされてから1か月以内に適用するよう ー= にしている。 DMZのサーバの機能概要を表2に示す。 表2 DMZのサーバの機能概要(抜粋) 外部DNS|・DNSコンテンツ機能 サーバ-A社ドメイン名及びA社サブドメイン名を管理する。 ・DNSキャッシュ機能 -オープンリゾルバ対策が行われており,再帰的なDNS問合せを許可するのは, 公開Webサーバ,外部メールサーバ,プロキシサーバ及び内部DNSサーバだ けである。 ・ログ取得機能 -DNS問合せ及びその結果は記録しない。 -DNSサーバプログラムの起動と停止を記録する。 外部メー|・転送機能 ルサーバ-インターネットと内部メールサーバとの間でメールを転送する。 -サーバ証明書を用いてSMTP通信をセキュアにした| 』|に対応してい る。 -SMTPの転送元IPアドレスとエンベロープの宛先メールアドレスのドメイン名 の組合せで,メールの転送先を決定する。 ・ログ取得機能 -メールの転送結果,転送元IPアドレス,転送先ITアドレス,送信者メールア ドレス,宛先メールアドレス及びメールサイズを記録する。 -メールの転送を行う|b|プログラムの起動と停止を記録する。 プロキシ|・プロキシ機能 サーバ-PC,内部LANのサーバ,及び業務LANのサーバから,DMZ,及びインターネ ット上のWebサーバへのHTTP通信及びHTTP over TLS通信を中継する。 ・HTTPウイルススキャン機能 -HTTP通信のウイルススキャンを行う。 ・URLフィルタリング機能 -サーバ管理者が登録できる管理者ホワイトリスト及び管理者ブラックリスト, 並びにベンダが提供するベンダブラックリストを使う。 -フィルタリングルールは,送信元IPアドレス単位に設定できる。 ・ログ取得機能 -送信元IPアドレス,URL,HTTPヘッダ情報及び通信データサイズを記録す る。 -プロキシサーバプログラムの起動と停止を記録する。 外部メールサーバの転送機能の設定を表3に示す。この設定によってオープンリ レーが防止されている。 表3外部メールサーバの転送機能の設定 転送元IP宛先メールアドレス | tet A社ドメイン名,At|。|に転送する。 2[<の金工宛先メールアドレスのドメイン部を基にMX IPアドレスレコードを問い合わせる。MXレコードの FQDNを基に,Aレコードを問い合わせ,得 られたIPアドレスに転送する。 注記項番が小さいルールから順に,最初に一致したルールが適用される。 (AB LANのサーバ及び業務LANのサーバの概要) 内部LANのサーバは,システム部が運用している。内部LANのサーバの機能概 要を表4に,内部メールサーバの転送機能の設定を表5に,業務LANのサーバの機 能概要を表6に示す。 表4内部LANのサーバの機能概要 内部メー|・転送機能 ルサーバ-外部メールサーバとの間でメールを転送する。 -業務LANのサーバからのメールを転送する。 -宛先メールアドレスのドメイン名がA社ドメイン名又はA社サブドメイン名の 場合,メールをメールボックスに格納する| qd|]プブログラムを起動する。 -SMTPの転送元IPアドレスとエンベロープの宛先メールアドレスのドメイン名 の組合せで,メールの転送先を決定する。 -業務LANのサーバから送信される通知用メールの宛先メールアドレスは,従業 員用メールアドレスだけである。 ・メールアーカイブプ機能 -送信者メールアドレスのドメイン名,宛先メールアドレスのドメイン名のいずれ かが,A社ドメイン名でもA社サブドメイン名でもないメールを保管する。サー バ管理者は,Webインタフェースを使って,保管したメールを検索できる。 ・PCからのメール転送機能.メールボックス機能及びPOPS機能 ・SMTPウイルススキャン機能 -SMTP通信のウイルススキャンを行う。 ・ログ取得機能 -メールの転送結果,転送元IPアドレス,転送先IPアドレス,送信者メールア BVA,苑先メールアドレス及びメールサイズを記録する。 -メールの転送を行う|b|プログラム,メールをメールボックスに格納す る|』|]プログラム,及びPOP3プログラムの起動と停止を記録する。 表4内部LANのサーバの機能概要(続き) 内部DNS|・DNSコンテンツ機能 サーバ-社内専用のドメイン名を管理する。 ・DNSキャッシュ機能 -内部DNSサーバで解決できないDNS問合せは,外部DNSサーバにDNS問合 せを送る。 ・ログ取得機能 -DNS問合せの内容とその結果は記録しない。 -DNSサーバプログラムの起動と停止を記録する。 表5内部メールサーバの転送機能の設定 ュー宛先メールアドレス 1全てA社ドメイン名メールをメールボックスに格納する [|』|プログラムを起動する。 A社サブドメイン名|同報転送処理を起動する。 3|A社が利用しているプラ|全て外部メールサーバに転送する。 イベートIPアドレス 拒否する。 注記項番が小さいルールから順に,最初に一致したルールが適用される。 表6業務LANのサーバの機能概要(抜粋) コンテンツ|・Webサーバボ機能 管理Web-公開Webサーバでの公開前に,表示確認を行うための機能である。 サーバ・コンテンツ管理機能 -公開Webサーバで使用するコンテンツのバージョン管理を行う。 _公開するコンテンツを,コンテンツ管理Webサーバから公開Webサーバに, コンテンツ管理者の指示で転送する。 ・ログ取得機能 -送信元IPアドレス,URL,HTTPヘッダ情報及び通信データサイズを記録す る。 -Webサーバプログラム及びコンテンツ管理プログラムの起動と停止を記録す る。 業務LANのサーバ間では,日次でデータの転送がある。業務LANのサーバのう ちコンテンツ管理Webサーバは,システム部が運用している。各部のサーバはそれ ぞれの部で運用している。 内部LANのサーバ及び業務LANのサーバでは,OS及びソフトウェアの脆弱性修正 プログラムの適用を年1回実施している。直近では,2か月前の3月に実施した。し かし,コンテンツ管理Webサーバ及び営業部サーバでは,ソフトウェアの動作検証が 間に合わず,OS及びソフトウェアの脆弱性修正プログラムの適用を8月に延期した。 [マルウェア感染と調査 5月11日13時10分に,システム部Web管理グループのHさんからシステム部運 用グループの主任に,“PCのフルスキャン中にPDFファイルがマルウェアXとし て検出され,駆除された"との連絡があった。5月9日に,Hさんは次の操作を行っ たとのことであった。 ・このPDFファイルは,公開Webサーバで公開するコンテンツの一部であり,暗号 化された形でコンテンツ作成業者B社の]氏からメールで送信されたファイルの ーつである。送信されたファイルを,一旦,PC上で復号し,展開した。 ・復号し,展開したファイルをコンテンツ管理Webサーバにアップロードした。 ・コンテンツ管理Webサーバでコンテンツの内容を確認した。 E主任は,念のために,各部のサーバ管理者にサーバのフルスキャンを依頼した。 フルスキャンの結果,コンテンツ管理WebサーバではマルウェアX及びマルウェア Yが,営業部サーバではマルウェアYが検出され,駆除された。E主任は,上司のD 部長に一報するとともに,部下のFさんに調査を指示した。 Fさんが行った調査の結果と感染への対処を図2に示す。 Q)Hさんへのヒアリング結果 ・5月9日8時30分,PC上のメールソフトでメールを受信した。 ・5月9日8時40分,Web管理グループの同報用メールアドレス宛てに氏から送信された メールを開き,あらかじめ取り決めてあったパスワードを用いて,メールに添付された暗 号化圧縮ファイルを復号し,展開した。 ・5月9日8時50分,展開したファイルをコンテンツ管理Webサーバにアップロードした。 ・5月9日9時,サーバ室に出向き,コンテンツ管理Webサーバの設定を変更するために, 管理者IDでログインした。設定変更後,。コンテンツ管理Webサーバで,コンテンツの内容 を確認した。 ・5月11日13時,PCのフルスキャンで,PDFファイルがマルウェアXとして検出され,駆 除されたとのメッセージが表示された。 ・コンテンツは公開Webサーバには転送していない。 図2調査結果と感染への対処 (2)マルウェアメに関する情報 ・ダウンロード型のマルウェアであり,内部にC&C(Command and Control)サーバのURL が保持されている。C&CサーバからマルウェアYをダウンロードする。 ・PDF閲覧ソフトの脆弱性を悪用してPCを感染させる。2月にリリースされたPDF閲覧ソ フトの脆弱性修正プログラムを適用していれば,マルウェアYをダウンロードしない。 (3)マルウェアYに関する情報 0Sのバッファオーバフローの脆弱性を悪用して,ネットワーク経由で感染を広げる。2月 にリリースされたOSの脆弱性修正プログラムを適用していれば,ネットワーク経由では感 染しない。 ・マルウェア中に多数のFQDNが保持されている。 ・OSの設定で指定されたDNSサーバに対して,マルウェアに保持されたFQDNの全ての TXTレコードを問い合わせ,得られた文字列を指示として解釈し,動作する。 ・メール送信機能だがあり,インストールされているメールソフトに設定されているメールサ ーバの情報を用いてメールを送信する。その際,送信者メールアドレスは,メールソフト に設定された送信者メールアドレスを用いる。 (④)W社の対応 ・5月11日3時,W社は,マルウェアX及びマルウェアYに対応したウイルス定義ファイル をリリースした。 (5)コンテンツ管理Webサーバの調査 ・0Sのバッファオーバフローの脆弱性を悪用され,マルウェアYに感染したと考えられる。 ・内部メールサーバへの通知用メールの送信テストを目的に,Hさんが,メールソフトをイ ンストールしていた。 (6)内部メールサーバの調査 ・5月9日10時,コンテンツ管理Webサーバが転送元で,メールサイズが1kバイトのメー ルが10通,転送された。送信者メールアドレスは,コンテンツ管理Webサーバのメールソ フトに設定されているメールアドレスであり,宛先メールアドレスはインターネット上の メールアドレスであった。メールアーカイブプ機能を用いて調査した結果,J氏からメールで 受け取ったファイル名の一覧が送信されていた。 ⑦)営業部サーバの調査 ・O0Sのバッファオーバフローの脆弱性を悪用され,ネットワーク経由でマルウェアYに感染 したと考えられる。 (8)Hさん及び営業部への依頼事項 (省略) 図2調査結果と感染への対処(続き) I E主任とFさんは図2についてD部長に報告した。複数のサーバでマルウェアが 検出されたことから,D MR,セキュリティ対策の見直しが必要と判断し,セキ ュリティ専門業者のC社に助言を求めることにした。C社のP氏が担当することに なった。 FさんとP氏は,図2を精査した。P氏は,追加の調査事項として,次の2項目を 挙げた。 ・マルウェアXに感染したサーバからC&CサーバへのHTTP通信及びHTTP over TLS通信の有無を確認するために,| e|のログから|fi|という条 件に合致するログを抽出する。 ‘Lig|のログから,マルウェアYによって送信されたメールが|hi ] という条件に合致するログを抽出する。 Fさんは,P氏が挙げた調査を実施した。 続いて,FさんとP氏は,マルウェアYへの対策について検討した。次は,その 際の会話である。 PR:マルウェアYは,C&Cサーバから指示を受け取ります。マルウェアYと同 様のタイプのマルウェアに感染した場合に備えて,①外部DNSサーバと内 部DNSサーバのDNS問合せに関する設定を変更してください。 Fさん:はい,分かりました。 P氏:さらに,内部DNSサーバで,DNS問合せの内容とその結果をログに記録す ると,マルウェアYと同様のタイプのマルウェアの検出に役立ちます。 Fさん:マルウェア中に多数のFQDNがあり,それぞれのFQDNに合致するログを 抽出するのは時間が掛かりそうです。効率よく抽出するにはどうしたらい いでしょうか。 P氏:内部DNSサーバのログから|ij|という条件に合致するログを抽出 する方法はどうですか。 Fさん:それならば,すぐにできます。 FさんとP氏は,検討した結果を運用手順としてまとめた。 〔ウイルス対策の強化の検討] FさんとP氏は,図2を基にし,ウイルス対策の強化について検討することにし た。P氏は,問題点として,次の5点を挙げた。 (あ)SMTPウイルススキャンでは,暗号化されたファイルについてウイルス検出がで あないとだ ー93— (い)PC利用者からのマルウェア感染の申告をきっかけにして,調査及び対処に着手 しているが,マルウェア感染の影響を最小限にするためには,遅過ぎること (う)図2中の(6)にあるようなメール送信を防止するための対策が不十分であること (2)業務LANのサーバからC&Cサーバへの通信を遮断するための対策が不十分で あること (お)業務LANのサーバ間のマルウェア感染を防止するための対策が不十分であるこ と 問題点(あ)について,P氏は,コンテンツ作成業者との間でファイルをやり取りす るためにデータ交換サーバをDMZに導入すること,及びメールへのファイル添付を 禁止することを,Fさんに提案した。データ交換サーバの機能を図3に示す。 (1)アップロード,ダウンロード及び削除機能 ・Webインタフェースを使って,ファイルのアップロード,ダウンロード及び削除を行う。 (2)認証機能 ・利用者ID及びパスワードを使って認証する。 (3)アクセス制限機能 ・フォルダ及びファイルごとに,アクセス可能な利用者IDを設定する。 ・あらかじめ登録されたIPアドレスからの接続だけを許可する。 (4)ウイルススキャン機能 ・ファイルのアップロード及びダウンロード時にウイルススキャンを行う。 (5)通信の暗号化機能 ・HTTP over TLSを用いて通信を暗号化する。 (6)利用者管理機能 (省略) 図3データ交換サーバの機能 さらに,P Kit,OM 3中の(4④)のウイルススキャン機能を有効なものとするため のアップロード時の注意点を説明した。 問題点(い)について,FさんとP氏は検討の結果,サーバ用及びPC用の③ウイル ス対策集中管理ソフトをインストールしたウイルス対策管理サーバの導入を提案す ることにした。 [内部LANのサーバに関する見直し] 問題点(う)について,FさんとP氏は内部メールサーバの設定を見直すことにした。 次は,その際の会話である。 Fさん:内部DNSサーバ及び業務LANのサーバから内部メールサーバに転送され るインターネット宛てのメールを拒否する方法はありますか。 PKR:表5を見直し,表7のとおりに変更すれば,拒否できます。 Fさん:はい,分かりました。表7のとおり,設定変更を提案します。 表7見直し後の内部メールサーバの転送機能の設定 SS=、宛先メールアドレス 1全てAth KAT VSメールをメールボックスに格納する |sa|プログラムを起動する。| の[jj|のPアドレA社サブドメイン名|同報転送処理を起動する。 ス,外部メールサーバ のIPアドレス A 拒否する。 注記項番が小さいルールから順に,最初に一致したルールが適用される。 引き続き,内部DNSサーバの設定を見直し,問題がないことを確認した。 [業務LANのサーバに関する見直し] 問題点(.え)について,FさんとP氏は,検討の結果,業務LANのサーバからイン ターネットへの通信として,OS及びソフトウェアの脆弱性修正プログラムのダウン ロード,並びにウイルス定義ファイルのダウンロードだけを許可するように,プロ キシサーバの設定変更を提案することにした。 問題点(お)に起因するマルウェア感染によって,万が一,業務LANのサーバが1 台でも停止すると,A社の業務に著しい支障が発生する。しかし,脆弱性修正プログ ラムがリリースされたとしても,業務LANのサーバでは,動作検証に時間を要し, すぐに適用できないこともある。そこで,P Kid,OHH LANのサーバ間の必要な 通信を維持しながら業務LANのサーバ間のマルウェア感染を防止するセキュリティ 強化案を提案した。 FさんとP氏がまとめた提案内容は,D部長の承認を得た。一部の対策は即時実施 され,ウイルス対策管理サーバ及びデータ交換サーバの導入,並びにセキュリティ 強化案については,今年度未に予定されている内部LANのサーバ及び業務LANの サーバのリプレース計画に反映され,実施されることになった。