情報処理安全確保支援士 2018年 秋期 午後II 問題

共通の文章

クラウド環境におけるセキュリティ対策に関する次の記述を読んで,設問1-5に BA ks X社は,AA,米国,欧州に事業を展開している従業員数80.000名の製造会社で あり,重要インフラ設備を製造している。日本国内の従業員数は40.000名である。 X社のシステムは,サーバ,ネットワーク機器及びPCで構成されている。X社の 日本国内のネットワークの論理構成を,図1に示す。 東日本データセンタ (Windows Windows(Linux)(商用UNIX ーーがX社社内WAN|西日本 し|S 電電 サーバ|||」|専用サーバ|io ||プロジェみトio 用PC FIL PC !| Loプロジェクトルーム| FW:ファイアウォール 人事サーバ:X社の人事管理を行うサーバ 業務サーバ:X社の様々な業務のためのサーバ。部門ごとの業務システムや, 又は地域ごとのメールシステムなどが稼働 認証サーバA1:Windows用の認証サーバ 認証サーバB1:Linux及び商用UNIX上で稼働するWebアプリケーションにアクセス する際の利用者認証に用いるリバースプロキシ型の認証サーバ R&D情報:基礎研究,並びに開発中の重要インフラ設備の設計及び生産技術に 関する情報 プロジェクト専用サーバ:R&D情報を取り扱うプロジェクトで利用するサーバ プロジェクト専用PC:プロジェクト専用サーバを利用するためのWindows PC 社内PC:プロジェクト専用サーバ以外の一般業務のためのWindows PC 生産関連サーバ:重要インフラ設備を製造する工場の設備管理,生産管理,製造に必 要な物品の物流管理を行うシステムのサーバ 図1 X社の日本国内のネットワークの論理構成 従業員が社内PC,並びにWindowsの業務サーバ及び人事サーバにログオンする際 は,認証サーバA1による利用者認証が行われる。従業員がWebブラウザを用いて Linux及び商用UNIXの業務サーバにログオンする際は,認証サーバB1による利用 rae 2ーー 具体的な検討を指示した。 SLメールシステムをクラウドベンダM社のSaaS Qに,業務システムのうち二 つのシステムをクラウドベンダS社のSaaS SIL,それぞれ1年以内に移行 する。各国及び各地域とも同じ方針で移行するが,SaaSの契約はそれぞれ の国又は地域で行う。 方針2他のシステムは,クラウドベンダH社が提供するIaaS Cの仮想マシン上に 5年間で段階的に移行する。ただし,移行できないもの又は移行すると基本 要件を満たせなくなるものは移行しない。また,laa Cの仮想マシン上に移 行したサーバのOS及びミドルウェアの運用管理にはSIベンダ本社の運用 サービスを利用する。 IaaS Cの主なサービス仕様の内容は次のとおりである。 ・データセンタは,日本国内1か所,海外60か所に配置され,それらが高速の閉域 網で相互に接続されている。データセンタ間の通信は課金されない。 ・オプションサービスとして人災害対策のサービスが提供されている。日本国内のデ ータセンタが被災した場合はシンガポールのデータセンタでサービスが継続され る。 ・ネットワーク及び仮想サーバは,H社の情報セキュリティ標準に基づいてセキュ リティ管理が行われており,顧客企業には監査法人によるセキュリティ管理の監 査報告書が開示される。 ・あらかじめ予約されているプライベートIPアドレスがあり,利用者はそれらを使 うことができない。 〔クラウド環境への移行に関する検討] X社システム部門は,次の条件のいずれかに該当するシステム及びサーバは,IaaS Cに移行できない又は移行すると基本要件を満たせなくなるとして,現状のままX 社の工場,データセンタ又は拠点に配置し,X社システム部門がシステム運用業務を 担当することにした。 条件1 IaaSCが提供する仮想サーバでは稼働しないOSを用いているサーバ 条件2プロジェクト専用サーバ ー4ーー 条件3 X社が取り扱う個人情報を管理するシステム 条件4生産関連サーバ また,X社システム部門は,IaaS CとX社社内ネットワークとの接続においては, X社が管理するFW及びIPSを介して接続することにし,さらにIaaS Cのサービス 仕様上の制約から起こる問題を回避するために,FWのNAT機能を用いて一部のア ドレスを変換することにした。 UID管理及び利用者認証の検討] X社システム部門は,X社のデータセンタ,工場及び拠点のシステム環境(以下, オンプレミス環境という)にIaaS C,SaaS Q及びSaaS Sを加えた環境(以下,ハイ ブリッドクラウド環境という)におけるID管理及び利用者認証を次のように設計し だ。 ・]aaS Cに配置するWindowsの業務サーバに従業員がアクセスする際に利用者認 証を行う認証サーバとして,認証サーバA1と同じ製品を用いた認証サーバA2 をJaaS Cの環境に新たに配置する。 ・認証サーバA2にはIaaSCに配置するWindowsの業務サーバのコンピュータ情報 及びそれらを運用管理する」社の運用管理要員の利用者情報を登録し,認証サー バA1とSAML 2.0プロトコルで通信する。 ・認証サーバB1をバージョンアップし,新バージョンで提供されたSPNEGOプロ トコルによって,認証サーバB1が認証サーバAlと通信し,認証サーバALが発 行するトークンを用いて利用者認証を行うようにする。 ・SaaS Q及びSaaS Sは,認証サーバB1とSAML 2.0プロトコルで通信し,認証サ ーバB1が発行するトークンを用いて利用者認証を行う。 X社システム部門は,認証サーバB1の配置について,次の二つの案を比較検討し た。 案1現行の構成のまま,オンプレミス環境に認証サーバB1を配置する。 案2認証サーバB1をJaaS Cに移行する。 X社システム部門は,それぞれの案において,利用者認証後の通信経路を比較した。 =B= その結果,移行の初期段階においては案1とし,社内PCと,オンプレミス環境及び IaaS C環境それぞれの業務サーバとの間の通信データ量を定期的に測定し,案2に変 更する時期を見極めることにした。案1における日本国内のハイプリッドクラウド 環境の論理構成を図2に示す。 なお,XX社の各国及び各地域のデータセンタは,VPNを介してIaaS Cのデータセ ンタにアクセスする。 還っeee 東日本データセンタの⑦⑦②IaaSCと⑳ Windows Windows Linux商用UNIX Windows Linux ーーーソソパパX社社内WAN 1]一日 サーバA1 BlのA2 EE 生産関連||||プロジェクトー1 EWA回 ||Rap情報|専有PC FILPC !フロッェクトルー 図2案1における日本国内のハイブリッドクラウド環境の論理構成 [エンドポイント管理の検討] X社は,独自の情報セキュリティ標準を定めているが,NISTサイバーセキュリテ ィフレームワークとして知られている“重要インフラのサイバーセキュリティを向 上させるためのフレームワーク"(以下,NIST CSFという)を基に改定することに した。NIST CSFにおいては,組織のサイバーセキュリティリスク管理策がNIST CSFで定義されている特性をどの程度達成できているかを示す段階として,フレ ームジータイジブリメンテーショジテイア(以下、テイアどをいう)1}がらディテえま での段階を定義しており,ティア4が最も高い段階である。 現状の情報セキュリティ標準とNIST CSFを比較した結果,X社システム部門は, 情報セキュリティ標準を,次のように改定することにした。 改定1構成管理システムへの登録 X社内の各サーバ及び各ネットワーク機器について,管理責任者,機種名及びシ ー6一 VIVES,OS及びファームウェアを含むソフトウェアの製品名及びバージョン などを登録する構成管理システムを整備する。X社が使用するクラウドサービスに ついては,システム名,システム管理責任者,クラウドサービスの名称,X社側で 管理する必要があるソフトウェアの製品名及びバージョンなどを構成管理システ ムに登録する。PCについても,使用者,管理責任者,RES,シリアル番号,OS を含むソフトウェアの製品名及びバージョンなどを構成管理システムに登録する。 改定2サーバ及びPCのセキュリティチェックの実施 脆弱性修正プログラムUE,Ny FES)の適用状況及びセキュリティ設 定パラメタの設定値を定期的にチェックする。必要なパッチが未適用であったり, セキュリティ設定パラメタの設定値がX社の標準値ではない場合,サーバ,ネッ トワーク機器及びシステムの管理責任者,又はPCの管理責任者,並びにその所属 長に通知し,1週間以内の是正を求める。X社の標準値は,NISTが公開している National Checklist Program Repositoryにあるチェックリストを参考にして決定する。 改定3脆弱性管理の実施 サーバ,ネットワーク機器及びPCにおいて,使用しているOS及びファームウ ェエアを含むソフトウェアの脆弱性情報,及びクラウドサービスにおいてX HHT 管理する必要があるソフトウェアの脆双性情報が新たに公開された場合は,その 重要度を評価し,重要度に応じた期限内にパッチを適用するよう,サーバ,ネッ トワーク機器及びシステムの管理責任者,又はPCの管理責任者,並びにその所属 長に通知する。 なお,上記の改定は,クラウド環境への移行に関する検討結果には影響しない。 i X社システム部門は,三つの改定に伴って必要になる運用について,J社に運用サ ービスの提案を求めた。本社からは,サーバ及びPCで使用するソフトウェア(以下, 標準ソフトウェアという)の一覧を運用サービス契約時に取り決めた上で,次の運 用サービスを提供できるという回答があった。 運用サービス1標準ソフトウェアに関する脆弱性情報を日次で収集する。 運用サービス2エンドポイント管理用ソフトウェアである製品Dを導入し,運用 サービス1で収集した情報を用いてプロジェクト専用PC及びプロ ジェクト専用サーバを除く全てのサーバ及びPC内の標準ソフトウ ェアのパッチ適用状況及びセキュリティ設定を日次で監視する。 製品Dの仕様は次のとおりである。 sサー礁叉はPCに導入されるエーダザエシットツフトウェアと。各エージ=ジトツフト ウェアが通信するサーバソフトウェアとで構成される。 ・エージェントソフトウェアが,サーバ又はPCにおけるパッチの適用状況及びセキ ュユリティ設定パラメタの設定値を収集し,サーバソフトウェアに送信する。 ・サーバソフトウェアが提供する管理画面において,必要なパッチ,並びに必要な パッチが適用されていないサーバ及びPCの一覧を表示することができる。同様に, セキュリティ設定パラメタの設定値が指定した値と異なるサーバ及びPCの一覧を 表示することができる。 ・必要なパッチが適用されていないサーバ及びPCの一覧から,1台以上のサーバ又 はPC並びにパッチを選択し,1回の操作で,選択したサーバ又はPCに必要なパ ッチを適用することができる。 ・セキュリティ設定パラメタの設定値が指定した値と異なるサーバ及びPCの一覧か ら,1台以上のサーバ又はPCを選択し,1回の操作で,選択したサーバ又はPC のセキュリティ設定パラメタの設定値を指定した値に変更することができる。 [モバイル環境の検討] X社システム部門は,従業員が出張先や自宅からでも社内にいるのと同様に業務が できるよう,モバイルPCとスマートフォン(以下,二つを併せてモバイル端末とい う)を従業員に貸与し,インターネット経由で社内システムやクラウド環境にWeb のインタフェースを介してアクセスできるモバイル環境を検討した。モバイル環境 においては,モバイル端末からの情報漏えい,モバイル端末のマルウェア感染など のリスクが懸念されることから,次の対策を実施することにした。 対策1スマートフォンにモバイル機器管理ソフトウェアである製品Fのエージェ ントソフトウェアを導入し,スマートフォンのパッチ適用状況及びセキュ リティ設定を監視し,パッチ適用及びX社の情報セキュリティ標準が定め るセキュリティ設定を強制する。 対策2 VPNサーバ及びVPNクライアントを導入し,モバイル端末にクライアント 証明書を組み込む。従業員がモバイル端末からインターネット経由で社内 ーg一 システム及びクラウド環境にアクセスする際,VPNサーバでクライアント 証明書を用いた端末認証が行われる。モバイル端末が,X社のデータセンタ に接続した後,認証サーバB1による利用者認証が行われ,トークンが発行 される。トークンが発行された後,従業員は,IaaS C,SaaS Q及びSaaS S にアクセスできる。 認証サーバB1による利用者認証においては,認証サーバB1が提供するリスクベ ース認証の機能が利用され,パッチ適用状況やセキュリティ設定に問題のあるモバ イル端末からのアクセスを拒否する。 X社システム部門は,モバイル環境の導入に伴い,負荷の観点から再度認証サーバ B1の配置を見直すことにし,次の三つの案を比較検討した。 案A現行の構成のまま,オンプレミス環境に認証サーバB1を配置する。 案B認証サーバB1をTaaSCに移行する。 案C新たにTIaaS Cに認証サーバB1と同じ製品を用いた認証サーバB2を配置し, 従業員がIaaS Cに配置されたLinuxの業務サーバ上で稼働するWebアプリケ ーションにアクセスする際の利用者認証に用いる。認証サーバB2は,オンプ レミス環境の認証サーバB1とSAML 2.0プロトコルによる通信を行う。この 場合,認証サーバB1がIdP,認証サーバB2がSPになる。 X社システム部門は,三つの案を,社内PC及びモバイル端末から業務サーバへの 利用者認証後のアクセスにおける通信経路上の構成要素ごとの負荷の観点から比較 し,案Cを選択した。 ー9一 X社が設計した,モバイル環境を含む日本国内のハイブリッドクラウド環境の論理 構成を図3に示す。 東日本データセンタ®IaaSC pe©O Windows Windows Linux fs]AA UNIX Windows Linux エバA1 B1 mae ay A2||Bz ーーパパX社社内WAN a ISaasSsQ|を⑤ 生産関半||||プロジェクトio= X社拠点al es[SaaS S_|€® So)|スマートフォン|を⑧ |eRe[FETED HIER©EAT UPSD | しプロジェクトルーム| | 図3モバイル環境を含む日本国内のハイブリッドクラウド環境の論理構成 3において,従業員がスマートフォンからSaaS Qにアクセスする際の通信シー ケンスを図4に示す。 A=VPN認証サーバ||認証サーバ アクセス要求(トークンなし) rs es ee ee ()認証サーバB1へのアクセスに必要なVPNクライアントの起動 DR [)クライアント証明書の検証 接続OK(IPアドレス割当て) Pes 利用者ID,パスワードの検証要求 パッチ適用状況及びセキュ リティ設定の確認要求 |確認結果|| アクセス要求(認証サーバB1が発行したトークン) 図4従業員がスマートフォンからSaad 0にアクセスする際の通信シーケンス X社システム部門は,モバイル端末からの利用を想定したハイブリッドクラウド環 境の設計,及びSaaS Sに移行する二つの業務システムについて経営層の承認を得て, システムのクラウド環境への移行とモバイル環境の導入を開始した。

共通の文章

セキュリティインシデントへの対応に関する次の記述を読んで,設問1-ー5に答えよ。 A社は,玩具を製造販売する従業員数1.500名の企業である。A社の組織図を図1 に示す。 内部監査室 開発部財務経理部 図1 A社の組織図 A社は,情報セキュリティ基本方針を定めており,これに従い,情報セキュリティ 委員会を設けている。情報セキュリティ委員会は,A社の情報セキュリティについて 意思決定する。情報セキュリティ委員会の委員長は社長,委員は各部の部長であり, 事務局は総務部が担当する。情報セキュリティ委員会は,下部組織として,セキュ リティインシデント(以下,インシデントという)に対応する非常時対応チームを もつ。非常時対応チームには,各部の代表者が参加する。ただし,非常時対応チー ムが取り扱うべきインシデントの範囲や,具体的な活動内容は明文化されていない。 これまでのところ,非常時対応チームの活動実績は極めて少ない。 [ネットワーク構成 A社は,国内に本社を置き,海外に工場をもつ。A社のネットワーク構成を図2に 示す。 てインターネットツー]4社工場(海外) aaa ee A社本社 |DM ms |しサーバLEW|ビー業務PTANI |サーバサーバ1認証1 1:サーバ|! FW:ファイアウォール|1 Tt開発用|」 L2SW:レイヤ2スイッチ|!|サーバ|| L3SW:レイヤ3スイッチ||bevy prea)DAELAN Led 開発用サーバ:開発に用いる専用のサーバ 部門サーバ:各部専用のサーバ|ト上ーーニニニーーニーーニュ 注記1個別のPCの記載は省略している。 注記2開発業務に用いるPCは開発LANに接続し,ほかのPCは業務PC-LANに接続している。 図2 A社のネットワーク構成(概要) A社本社のネットワークに接続する機器には,サーバ,ネットワーク機器及びPC がある。各部は,必要に応じて部門サーバをサーバLANに設置し,業務に利用して いる。各部の部門サーバは,各部が管理している。開発部は,開発部の部門サーバ に加えて,開発用サーバを設置し,管理している。部門サーバと開発用サーバ以外 のサーバ,全てのネットワーク機器及び全てのPCは,システム部が管理している。 各部でシステム管理者を任命し,そのシステム管理者が適切に機器を管理するとい DOM A社の機器管理方針である。 DMZに設置されたサーバにはグローバルIPアドレスが付与され,インターネット との間で通信できる。DMZ以外に設置された機器には固定のプライベートIPアドレ スが付与され,インターネットとの間の直接の通信はFWによって禁止されている。 ただし,業務PC-LANに接続されたPCは,プロキシサーバを介してインターネット にアクセスできる。プロキシサーバは直近60日分のログを保存している。開発LAN からDMZへの通信は,FWによって禁止されている。 [情報漏えいの発生] 2018年9月11日,A社において,インシデント(以下,本インシデントをインシ デントPEWS)が発覚した。この日,A社の商品問合せ窓口に,A社の発売前の新 製品の操作説明書(以下,漏えい文書ヌという)がインターネットの掲示板Uに 投稿されている旨の通報が寄せられた。開発部の担当者が確認したところ,RBS れていたのは間違いなくA社のもので,開発過程で作成された文書であることが分 がった。 情報セキュリティ委員会はインシデントPへの対応方法を議論した。同委員会 は,次の理由から,非常時対応チームではなく,当該文書を所管する開発部がイン シデントPに対応することを決定した。 ・個人情報及び重要な秘密情報の漏えいは見つかっておらず,緊急度及び重要度は 低い。 ・社内での調査活動について,非常時対応チームの権限及び調査手順が明確に定め られておらず,調整が必要である。 ・非常時対応チームのメンバの多くは,本来の業務のため,対応する時間の確保が 難しい。 ー15一 開発部は,急きょ,インシデントPに対応するためのチーム(以下,開発部対応 チームという)を立ち上げ,対応を開始した。同チームの調査結果と措置状況を図3 に示す。 (1)開発部対応チームの調査活動の目的 ・インシデントPの原因を調べて,必要な措置を講じること (2)調査の範囲 ・検討の結果,次の機器を主な調査対象とした。 開発用サーバ及び開発部の部門サーバ (3)調査によって判明したこと ・漏えい文書Xは,開発部の部門サーバに保管されていた文書Yと内容が同じだった。文書Y は,8月29日前後に作成された。 ・文書Yが保管されていた部門サーバは,開発部のメンバなら誰でもアクセスでき,文書を閲 覧及び複製できる状態だった。文書Yへのアクセスのログは取得されていなかった。 ・開発部の商品企画第2チームは,委託先事業者であるV社と共同で新製品wの操作説明書を WELCH),V社とのデータ交換に利用したUSBメモリ(以下,USBメモリRという) を紛失していた。USBメモリRに文書Yが格納されていた可能性があることから,USBメ モリRが情報漏えいの経路と考えられる。 (4)調査で分からなかったこと ・文書Yを流出させた者 ・文書Y以外のデータの漏えいの有無,及びそのほかの被害の範囲 (5)措置 ・掲示板事業者に対する漏えい文書Xの公開中止の要請(状況:要請済み) ・USBメモリの管理方法の見直し(状況:システム部が近々見直す予定) ・本件の通報者へのお礼と対処した旨の報告(状況:担当部署を調整中) (6)開発部対応チームの活動時に認識された課題 次のように,会社としてのインシデント対応能力が不足している。 aインシデント対応についての各部の責任や役割が曖昧で協力を得にくい場面があった。 b.インシデント対応についての作業手順が明確になっておらず,手探りの作業となった。こ のため,掲示板事業者への要請といった措置の着手が遅れた。 c.インシデント対応の経験をもつ者又はスキルをもつつ者がおらず,非効率な作業になった。 d.ログが少なく調査が難航した。開発部はログ取得を定めた規程をもたず,開発部が管理す る機器のうちログを取得していたものは少数だった。また,取得していたログの種類や保存 期間にはばらつきがあった。 図3開発部対応チームの調査結果と措置状況(概要) 開発部対応チームの調査結果と措置状況は情報セキュリティ委員会に報告された。 報告を受けて,委員会では,図3中の(5)に挙げられた一連の措置の完了をもってイ ンシデントPへの対応を終了することが了承された。また,インシデント対応能力 の向上を目指すことを決め,システム部のG部長に対応を指示した。 [早期に取り組むべき事項のとりまとめ] G部長は,情報セキュリティ委員会の承認の下,情報セキュリティに関わるコンサ ルティングサービスを提供する社に支援を依頼した。 E社のコンサルタントであるRI,A社がインシデント対応能力の向上のために 早期に取り組むべき事項を図4のとおりまとめ,G部長に報告した。 1.インシデント対応ポリシの策定 インシデント対応のための基本的な方針として,インシデント対応ポリシを定める。 インシデント対応ポリシに記載する項目の例として,NIST OXF SP 800-61 Rev.2に挙げら れているものを図5に示す。 2.インシデント対応のための体制整備 インシデントに迅速に対応することを目的に,インシデント対応チームを整備する。インシ デント対応チームは,次の役割を担う。 ・インシデントが発生した時点での対応活動 ・インシデント対応に関係する他のサービスの提供 インシデント対応チームが提供するサービスの例として,NIST SP 800-61 Rev.2は, |。|騰双性や脅威についてのアドバイザリの配信,|b|,及び社内外で ぜい の情報共有の推進を挙げている。 インシデント対応チームの母体として,非常時対応チームを活用することもできる。 3.取得するログの見直し (省略) 図4 A社が早期に取り組むべき事項(概要) Te one ・本ポリシの目的と目標 ・本ポリシの適用範囲 "| 』|と関連用語の定義 ・組織構造,並びに役割,責任及び権限レベルの定義 | 』|]についての[| e。|]又は深刻度評価 ・パフォーマンスス測定 ・報告と連絡の様式 図5インシデント対応ポリシに記載する項目の例 [インシデント対応能力の向上への取組み]〕 G部長は,図4の事項の具体化を,F氏の支援を受けながら進めることにした。 インシデント対応ポリシの適用範囲は全社とした。非常時対応チームは,AICS けるインシデント対応のための組織横断チーム(以下,A-CSIRTという)として, 再編成することにした。インシデント対応ポリシでは,A-CSIRT及び各部の役割, 責任及び権限レベルを規定した。A-CSIRTは,従来の非常時対応チーム同様,各部 の代表者で構成することにした。ただし,インシデントへの迅速な対応を可能にす るため,各部で人選を見直し,更にシステム部所属のメンバを増やした。A-CSIRT のリーダはG部長が務めることにした。メンバのスキルを高めるため,定期的に勉 強会を開催し,外部の研修などにも積極的に参加してもらう方針を立てた。 ログについては,ログの管理に関する規程(以下,ログ管理ポリシという)を作 成することにした。ログ管理ポリシの適用対象は,社内の全ての機器であり,シス テム部が管理する機器,部門サーバ及び開発用サーバも含まれる。ログ管理ポリシ では図3中の(6)dに挙げられたログに関わる課題を解決できるように,次の要件を 定める。 要件1取得するログについての要件 |Jone| ‘ig|にっぃて 要件2取得したログについての要件 ‘(Fon|]にっぃて ・バックアップの作成について ・アクセス制御について 要件3各機器の時計を同期するとともに,各機器が出力するログに記録する時刻 情報の|i|を|jf|]するという要件 情報セキュリティ委員会は,各部に対して,それぞれが管理する機器について, 早急に,ログ管理ポリシに従った運用を開始するよう指示した。また,システム管 理者に対して,①管理する機器について,通常時のネットワークトラフィック量や 日,週,月,年の中でのその推移などの情報(以下,通常時プロファイルという) の把握に努めるよう指示した。 [マルウェアについての通知 マルウェアを配布していたサイト(以下,サイトMという)にA社の機器のうち 1台がアクセスし,遠隔操作の機能をもつ,“new3.exe”というファイル名のマルウ ェアKをダウンロードした可能性がある旨の通知が,10月10日に,ある民間組織か ー18一 らA社に対してあった。伝えられたサイトMのIPアドレスは4社管理外のもので あり,サイトMのログに残っていたアクセス元のIPアドレスはA社のプロキシサ ーバのものだった。この通知はA-CSIRTに伝えられ,インシデント対応ポリシに照 らして判断した結果,A-CSIRTが,インシデント(以下,本インシデントをインシ デントQという)として直ちに対応を開始することになった。 A-CSIRTのメンバであるシステム部のCさんが,外部のインシデント対応研修に 参加して得た知識を基に手順を手探りしながらも調査したところ,次のことが分か つ:た。 ・9月4日14時30分頃,②業務PC-LANに接続されているPCであるPC-Aがサイ トMにアクセスし,“new3.exe”をダウンロードした。 ・PC-Aの利用者は開発部のDさんである。 ・プロキシサーバのログに,上記のダウンロードの直後,③PC-Aが特定のサイトに アクセスし,その後頻繁に同じサイトにアクセスを繰り返す様子が記録されてい た。プロキシサーバのログのうち,送信元がPC-Aであるものを図6に示す。 1:[04/Sep/2018:14:23:34+0900]"GET http://xxxx/HTTP/1.1”200 57028"-”"A A” 2:[04/Sep/2018:14:28:42+0900]"GET http://zzzz/2018/ne/bunrei.html HTTP/1.1”200 14252 "http://zzzz/2018/ne/topics.html”"AA” 3:[04/Sep/2018:14:29:22+0900]"GET http://xxxx/news/2018 3325.html HTTP/1.1”200 22177 "http://xxxx/”"AA” 4:[04/Sep/2018:14:31:15+0900]"GET http://yyyy/dl/samplebun.zip HTTP/1.1”200 89331 "http://zzzz/2018/ne/bunrei.html”"AA” 5:[04/Sep/2018:14:31:23+0900]"GET http://xxxx/news/2018 3353.html HTTP/1.1”200 24555 "http://xxxx/”"AA” 6:[04/Sep/2018:14:34:20+0900]"GET http://IPm/HTTP/1.1”200 563"-""VV" 7:[04/Sep/2018:14:35:31+0900]"GET http://IPm/dl/new3.exe HTTP/1.1”200 143623"-”"VV" 8:[04/Sep/2018:14:37:06+0900]"GET http://IPn/news,php HTTP/1.1"200 5429"-""VV" 9:[04/Sep/2018:14:37:32+0900]"POST http://IPn/login/pro.php HTTP/1.1”200 646"-”"VV" 10:[04/Sep/2018:14:37:32+0900]"POST http://IPn/login/pro.php HTTP/1.1”200 35621”-”BVA 11:[04/Sep/2018:14:37:37+0900]"GET http://IPn/admin/g.php HTTP/1.1”200 563"-""VV" 12:[04/Sep/2018:14:37:47+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-""VV" 13:[04/Sep/2018:14:37:52+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-""VV" 14:[04/Sep/2018:14:37:58+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-”"VV" 15:[04/Sep/2018:14:38:04+0900]"GET http://IPn/login/pro.php HTTP/1.1”200 563”-”"VV" 16:[04/Sep/2018:14:38:09+0900]"GET http://IPn/admin/g.php HTTP/1.1”200 563"-”"VV" 17:[04/Sep/2018:14:38:14+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-”"VY" 18:[04/Sep/2018:14:38:19+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-”"VY" 6プロキシサーバのログのうち,送信元がPC-Aであるもの (省略) 19:[05/Sep/2018:16:43:51+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-""VV" 20:[05/Sep/2018:16:43:56+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-”"VV" 21:[05/Sep/2018:16:44:01+0900]"POST http://IPn/login/pro.php HTTP/1.1”200 35614"-”"VV" 22:[05/Sep/2018:16:44:05+0900]"GET http://IPn/admin/g.php HTTP/1.1”200 563"-""VV" (省略) 23:[06/Sep/2018:20:12:33+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-""VV" 24:[06/Sep/2018:20:12:39+0900]"GET http://IPn/admin/g.php HTTP/1.1”200 563"-""VY" 25:[06/Sep/2018:20:12:44+0900]"GET http://IPn/admin/g.php HTTP/1.1”200 563"-”"VY" 26:[06/Sep/2018:20:12:48+0900]"POST http://IPn/news.php HTTP/1.1”200 451"~""VV" (省略) 27:[08/Sep/2018:03:39:04+0900]"GET http://IPn/login/pro.pho HTTP/1.1”200 563"-”"VV" 28:[08/Sep/2918:03:39:04+0900]"POST http://IPn/admin/g.php HTTP/1.1”20@35618"-”"VV" 29:[08/Sep/2018:03:39:08+0900]"GET http://IPn/news.php HTTP/1.1”200 563”"-”"VV" 30:[08/Sep/2018:03:39:12+0900]"GET http://IPn/news.php HTTP/1.1”200 563"-""VY" 注記1インシデントQとの関係が疑われるエントリを示す。 注記2プロキシサーバが取得したログのうち,A,リクエストのメソッド,リクエストのURL,リクエス トのプロトコルとバージョン,要求元PCに送信したレスポンスのHTTPステータスコード,要求元PC に送信したレスポンスメッセージのサイズ,リクエストのRefererヘッダの値,及びリクエストのUser- Agentヘッダの値を示す。 注記3図中のxxcx,yyyy,zzzzは,それぞれ,A社以外の特定のFQDNを示す。 注記4図中のIPmはサイトMのIPアドレス,IPnはIPmとは異なる特定のIPアドレスを示す。 注記5図中のAA及びVVマは,THEN,特定のユーザエージェントを表す文字烈を示す。 図6プロキシサーバのログのうち,送信元がPC-Aであるもの(続き) Cさんは,直ちに④PC-Aをネットワークから切断して回収した。また,ここまで に分かったことを基に,を調査して,マルウェアKがほかの機器にも感 染している可能性を簡易的に確認した。 その後,Cさんは,試行錯誤しながら更に詳しく調査を進め,図7に示す調査結果 を得た。 ー20一 Dさんは業務で複数の機器を利用している。そのうち,PC-A及び開発用のPC-BがインシデントQに関 係していることが強く疑われる。 (1)PC-Aについて ・PC-Aは,Windows PC CH),業務PC-LANに接続されている。IPアドレスは192.168.70.131 CHS, -・Dさんのユーザフォルダ内で“new3.exe”が見つかった。当該ファイルのプロパティ情報における作成 日時は9月4日14時35分であった。 ・Dさんのユーザフォルダ内で,アイコンを文書ファイルのアイコンに偽装した実行形式のファイルWが 見つかった。 ファイルWの情報: ファイル名“samplebun.docxこここここここここっッッーッンーッッーーーのexe「 プロパティ情報における作成日時8月20日16時31分 ・“new3.exe”及びファイルWをマルウェア対策ソフトベンダであるY社に提供してファイル解析を依頼 し,表1の情報を得た。 (2)PC-Bについて ・PC-Bは,Linux PC CH),開発LANに接続されている。IPアドレスは192.168.75.245 CHS,DXA tk,PC-Bを主にPC-Aからリモートログインして利用している。 ・9月5日10時35分から45分までに,PC-Aから,ODさんの利用者IDでのログイン試行が複数あり, 一部は失敗し,一部は成功していた。PC-B上でのlast及びlastbコマンドの実行結果を,図8と図9に それぞれ示す。lastはログイン履歴を,lastbはログイン失敗の履歴を出力するコマンドである。図中の “d0325”lk,Dさんの利用者ID CHS, ・PC-Bのディレクトリ“Amp/20xx/”に次のファイルが置かれていた。 ・新製品の設計資料 ・文書Yを含む新製品zの操作説明書の草稿 ・そのほかのファイル ・上記のファイルを格納したアーカイブファイル(以下,ファイルAという) ファイルAの所有者はDさんであり,作成日時は9月7日4時15分であった。規則では,設計資料及 び操作説明書のファイルはそのアーカイブファイルも含めてサーバ上にだけ保管することになってい る。 (3)Dさんへのヒアリングによって得た情報 ・Dさんは,サイトMにアクセスした記憶はない。 ・Dさんは,9月4日午後にPC-AのWebブラウザを用いてインターネットで挨反文例を検索し,見つけ たZIP形式のファイル“samplebun.zip”をダウンロードした。Dさんは,このファイルを展開した上 で,中にあったファイルWをダブルクリックし参考にした。 ・Dさんは,出張のため9月5日から7日までオフィスに来ておらず,PC-Aを利用していない。この間, PC-AとPC-Bの電源は入ったままで,PC-Bはリモートログインできる状態だった。 ・Dさんは,利用している機器について,それぞれの利用者IDとパスワードをファイルに記録し,PC-A に保管していた。 ・Dさんは,PC-Bの“/tmp/20xx/”ディレクトリ及びその下に置かれていたファイルについて,心当たり がない。 注記ファイル名の“、”は空白文字を示す。 図7調査結果(抜粋) 表1ファイルについての情報 new3.exe遠隔操作の機能をもつマルウェアKである。実行されると,IPnのサイトにアクセ AULT,そのレスポンスに従って動作する。また,指定されたファイルを,HTTP のPOSTメソッドを用いてIPnのサイトに送信する機能をもつ。 ファイルW|ダウンローダの機能をもつマルウェアLである。サイトMからプログラムをダウ ンロードし,実行する。また,これらの処理と並行して文書作成ソフトを起動し, 特定の文書を表示する。 d0325 pts/0 192.168.70.131 Fri Sep 7 01:33-09:40(08:06) d0325 pts/0 192.168.70.131 Wed Sep 5 10:45-22:13(11:27) d0325 pts/0 192.168.70.131 Wed Sep 5 10:41-10:43(00:01) d0325 pts/0 192.168.70.131 Tue Sep 4 11:20-13:45(02:24) d0325 pts/0 192.168,70.131 Mon Sep 3 09:35-20:23(10:47) 注記lastコマンドの実行結果のうち,9月1日から7日までの期間における利用者D“d0325”に 関わる全ての行を抽出した。 8 lastコマンドの実行結果 d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:44-10:44(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:44-10:44(00:00) d0325 ssh:notty 192.168.79.131 Wed Sep 5 10:43-10:43(00:00) d9325 ssh:notty 192.168.70.131 Wed Sep 5 10:40-10:40(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:37-10:37(00:00) d0325 ssh:notty 192.168.70.131 Wed Sep 5 10:37-10:37(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:37-10:37(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:36-10:36(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:36-10:36(00:00) d9325 ssh:notty 192.168.79.131 Wed Sep 5 10:35-10:35(00:00) d9325 ssh:notty 192.168.70.131 Mon Sep 3 09:34-09:34(00:00) 注記lastbコマンドの実行結果のうち,9月1日から7日までの期間における利用者TD“d0325” に関わる全ての行を抽出した。IE 図9 lastbコマンドの実行結果cg 次は,これまでの調査結果についての,CさんとG部長との会話である。 Cさん:PCAが攻撃者によって遠隔操作されたことは間違いないと思います。また, PC-Bは,少なくとも,Dさんがオフィスに来ていなかった9月5日に攻撃 者に遠隔操作されていたようです。 G部長:PC-Bで見つかったファイルAについては,どのように考えればよいか。 Cさん:ファイルAは,情報を社外に送信するために攻撃者が作成したと考えれば よいと思います。しかし,PC-Bはインターネットにアクセスできないので, 情報は社外に送信されなかったと思われます。 G部長:そうだろうか。例えば,ほかの機器を経由して送信された可能性はないの か。 Cさん:ほかの機器もいろいろと調査しましたが,ファイルAと同じ名前のファイ ルは見つかりませんでした。 G部長:ファイル名が同じとは限らない。ファイルが既に削除されている可能性も ある。そういった可能性も考えて調査を続けてほしい。 Cさんは,Dさんが利用している機器について,フォレンジックツールを用いて, ファイルAのファイルサイズと|1」|をキーにしてファイルを検索した。その 結果,PC-Aにおいて,9月8日3時35分に,ファイル名は異なっていたものの,フ ァイルAと同じ内容のファイルが作成されていたことが分かった。また,プロキシ サーバのログから,⑥当該ファイルが社外に送信された可能性があることが分かっ た。 MAT,Cさんがインターネット検索をしたところ,ファイルAに格納されてい た複数のファイルが,掲示板Uに,インシデントPのときと同じ投稿者によって投 稿されていたことが分かった。これらのファイルのうち幾つかは,USBメモリRに 格納されたことはないと考えられるものだった。 〔【インシデントQのタイムラインと措置 G部長は,調査結果の確認及び対応措置の検討についてF氏の支援を受けるよう Cさんに指示した。F氏の支援を受けてCさんが作成したインシデントQのタイム ラインを表2に示す。 ー93一 表2インシデント0のタイムライン を格納したZIP形式のファイルをダウンロード Dさんは,No.1でダウンロードしたファイルをPC-A上で展開してファイ [io|]は,Pnのサイトとの頻繁な通信を開始 |5[esis[RRREPCRAOETvoRREWm。。。 | にの44人還 ON a y,漏えいが疑われるフルのコピーとを,。 注記XXは,正確な時刻が不明であることを示す。 また,F氏による追加調査の結果,社内の文書Zが,9月22日までの間に,攻撃 者によって社外に送信されていたことが確認された。文書ld,それまでに漏えい したものとは別の新製品8の設計書である。 Cさんは,F氏の支援を受け,インシデントの封じ込め,根絶及び復旧のための措 置を検討した。マルウェアLとマルウェアKについては,Y社から,これらを検知 するためのマルウェア定義ファイルの提供を受け,全てのサーバ及びPCに適用する ことにした。Cさんは,そのほか必要と思われる措置をまとめて,G部長に提案した。 G部長は,Cさんの提案を承認し,承認された措置が実施された。 【インシデント対応のレビュー〕 インシデントQの対応が一段落した後,インシデント対応ポリシに従い,インシ デントQの対応についてレビューが開催された。レビューにおいて,最初にG部長 から,インシデントPとインシデントQは一連の攻撃だと推定されるという報告が あった。次にインシデントQの対応が報告された。インシデントQの対応は,イン ー24一 シデントPの対応に比べて大幅に改善されたとの評価を受け,インシデント対応能 力が向上してきていると判断された。最後に,②インシデント対応能力について未 対応の課題を解決するための措置がまとめられ,順次実施されていくことになった。