情報処理安全確保支援士 2019年 春期 午後II 問題

共通の文章

マルウェア感染と対策に関する次の記述を読んで,設問1ー6に答えよ。 N社は,従業員数5.000名の化学メーカであり,総務部,営業部,製造部及び情報 システム部(以下,情シスという)がある。また,国内に工場がある。N tO LAN 構成を図1に示す。 ==”eneーーーーーーーーーーー a>> |||営業部セグメント| |Lee!!ーー !Wee neg eas eae ||サーバ||サーバ|DMZ!/!|内部サーバセグメント(|ビーーニーーーーーーー 1ゴーラニーニーニーニーーーーー!fi|ラァィイル|\U製造部セグメント! |総務部セグメント|UI rsw Kp pe LL! |ピsy a 7内部メールーー =日認証サーバaI ||\情シスセグメント| |WAP||1しタルサーパ||サーバリrssw Ef pc (ed SE al ||ーーーーデーーーーーーーーーーーバーシー |問合せ用|FW:ファイアウォールL2SW:レイヤ2スイッチ |LPCコレケーク||WLAP:無線LANアクセスポイントD-PC:デスクトップPC 注記1 DMZのサーバには,グローバルIPアドレスが割り当てられている。 注記2 DMZ以外のセグメント及び工場の各機器には,プライベートIPアドレスが割り当てられ ている。 注記3タブレットPCには,DHCPサーバによって動的にIPアドレスが割り当てられ,それ以外 の機器には,固定IPアドレスが割り当てられている。 図1 N社のLAN構成 N社では,全従業員に一つずつ利用者IDが割り当てられ,その利用者IDとパス ワードが認証サーバに登録される。タブレットPC,問合せ用PC及びD-PC(以下こ の三つを併せて,社内PCという)へのログオン時並びに内部メールサーバ及びファ イルサーバへのアクセス時には,認証サーバを使用して認証が実施される。イント ラボポータルサーバは,認証サーバと連携して,ベーシック認証を使用している。 総務部では,無線LAN接続型のタブレットPCを導入している。無線LANの暗号 化では,WPA2を使用している。W-APでは,不正な端末の接続を防ぐための対策と して,次の機能を使用している。 ーー2= ・登録済みMACアドレスをもつ端末だけを接続可能とする接続制御 ・総務部に所属する従業員の利用者IDだけに接続を許可するIEEE 802.1X認証 IEEE 802.1X認証では,認証サーバと連携して,利用者IDとパスワードを使用し ている(EAP_-PEAP)。 プロキシサーバでは,各機器からの全てのアクセスについて,アクセスログを取 得している。 N社では,クラウドサービスを利用して,会社情報や製品情報を公開するWebサ イトを運用している。Webサイトには,訪問者からの問合せを受け付けるためのフ オォオームが用意されており,訪問者が問合せ内容を入力すると,その内容が電子メー ル(以下,メールという)CN社の特定のメールアドレス宛てに送信される。フォ ームにはファイルを添付する機能はないので,問合せメールにファイルが添付され ることはない。万一,このフォーム以外から,この特定のメールアドレス宛てにメ ールが届いた場合は,そのメールは破棄される。問合せ用PCは,問合せメールを受 信するための専用のD-PCで,他の用途には使用していない。また,問合せメールを 他の社内PCで受信することはない。問合せ用PCから回答メールを返信する場合, 回答メールの送信元メールアドレスには送信専用のメールアドレスを使用している。 FW1のルールを表1に,FW2のルールを表2に示す。 表1 FW1のルール |6|内部メールサーバ|外部メールサーバ|SMTP|許可|する |8|プロキシサーパ|インターネット|HTTP.HTTPS.FTP|許可|する 注記1 SMTPSは,SMTP over TLSを,HTTPSは,HTTP over TLSを示す。 注記2項番が小さいルールから順に,最初に合致したルールが適用される。 $0 N社内で使用している全てのプライベートIPアドレスを示す。 ‘ast 3= 表2 FW2のルール |6|問合せ用PC|全て[ec ssf eae|する| |8|内部メールサーバ|外部メールサーバ|SMTP "|許可|する| 注記項番が小さいルールから順に,最初に合致したルールが適用される。 FW1とFW2 lk,ステートフルパケットインスペクション型である。FW1には, ペイロードの内容に基づきアプリケーション層での通信の挙動を分析し,マルウェ アの動作に伴う不正な通信を検出して遮断できる機能(以下,L7FW機能という)が ある。 [インシデント発生] 4月12日13:00頃,セキュリティ情報共有団体から,“あるC&C(Command and Control)サーバを調査していたところ,そのサーバに対するN社からの通信記録を HALE”との連絡が届き,その通信に関して,表3の情報が提供された。 表3提供された情報(抜粋) 宛先TCPポート番号 通信が開始された時刻 注りaaajbbb.ccc.dddは,図1中のプロキシサーバのIPアドレスである。 情報提供を受けて,N社のCSIRTメンバが招集された。N社のCSIRTのリーダで あるR課長は,メンバのP君に対して,情報処理安全確保支援士(登録セキスペ) であるW主任の支援を受けながら,直ちに状況を確認するよう指示した。P君は, 表3の情報の真偽を確かめるために,まず| a|のログを確認してN社から当 本4 ee 該通信が発信されていたとの確証を得た後,通信を開始した端末を特定するために [|5|のログを確認した。その結果,問合せ用PCからC&Cサーバに向けて HTTPSと思われるセッションが確立していたことが確認できた。 [問合せ用PCの調査 状況の報告を受けたR課長は,問合せ用PCの調査を指示した。P君は,決められ たインシデント対応手順に従い,まず問合せ用PCのHDDのコピー(以下,複製 HDDという)を作成した。コピーは①ファイル単位ではなくセクタ単位で全セクタ を対象とした。原本であるHDDはそのまま保全した。次に,予備のD-PCを新たな 問合せ用PCとして設定して,問合せメールへの回答業務を継続できるようにした。 [感染経路の調査 P君が,複製HDDの中に残っていた直近6か月分の問合せメールについて調査し たところ,本文にURLが記載されたメールが幾つかあった。その全てのURL OF イトを調査したが,どのサイトも改ざんの報告はなく,閲覧したとしてもマルウェ アに感染するおそれがないサイトだった。 問合せメールによるマルウェア感染がC&Cサーバとの通信の原因である可能性は 低いと考えたP君は,調査方針をW主任に相談し,複製HDD内のログ及び関連機 器内のログを調査することにした。その結果,図2の調査結果が得られた。 1)複製HDD内のログを調査したところ,4月10日10700に,あるIPアドレス(以下,被疑 IPという)から問合せ用PCへのリモートデスクトップログオンが成功していた。そのログオ ンには,総務部のBさんの利用者IDが使用されていた。 (2)DHCPサーバ内のログを調査したところ,被疑IPは,4月10日930から11:30までの間, あるFC(以下,HEPC LVDS)に割り当てられていた。 (3)W-AP内のログを調査したところ,4月10日9:30に,被疑PCが発信元である,Bさんの利 用者IDを用いたIEEE 802.1X認証要求が成功していた。 (4)認証サーバ内のログを調査したところ,4月10日9:30及び10:00に,Bさんの利用者IDの 認証成功の記録があった。一方,4月10日10.00から2月1日まで遡って確認したが,Bさん の利用者IDで認証失敗した記録はなかった。 (5)Bさんに話を聞いたところ,4月10日は休暇を取得していたとのことだった。念のため に,タタブレットPCのログを調査したが,4月10日に使用された形跡はなかった。 図2調査結果 i 5ーー この調査結果から,P君は,攻撃者がBさんの利用者IDとパスワードを入手し, それらを利用して無線LAN経由で問合せ用PCに不正にログオンしたと判断した。 そこで,W主任は,不正なPCをW-APに接続させないための対策として,IEEE 802.1X認証の方式をEAP-TLSに変更する案を提案した。 また,複製HDDの分析を続けたところ,マルウェアと思われるファイルが残って おり,実行されていた痕跡があった。 (無線LANの脆弱性〕 P Blk,総務部のW-APは,MACアドレスによる接続制御をしているのに,攻撃 者がなぜ接続できたのか疑問に思い,W主任に聞いてみた。W主任は,②WPA2を 使用していても,無線LANの通信が傍受されてしまうとBさんが利用しているタブ レットPCのMACアドレスを攻撃者が知ることができることと,③攻撃者が,自分 の無線LAN端末を総務部のW-APに接続可能にする方法をP君に説明した。 また,IEEE 802.1X認証で使用するBさんの利用者IDとパスワードを攻撃者が入 手する方法について,次のように話した。 W主任:最近,KRACKsと呼ばれるWPA2への攻撃手法が報告され,攻撃用のサン プルコードも公表されている。この攻撃を高い確率で成功させるためには, 攻撃者は不正なW-APを設置し,正規のW-APと端末との間の中間者として 動作させる必要がある。この攻撃が成功すると,WPA2で暗号化したパケッ トを解読されるおそれがある。N社は,4月10日より前に,この攻撃に遭っ ていながら,攻撃に気付かなかったのではないか。 P君は,KRACKsについて調べてみた。その結果,KRACKsは,攻撃者が特定の 通信に介入することによって,WPA-TKIP及びWPA2が使用するAES-CCMPという プロトコルの暗号を解読するものであることが分かった。解読の手段は,AES- CCMPの場合,CTRモードにおける初期カウンタ値を強制的に再利用させるもので あった。AES-CCMPは,AESというブロック暗号とCTRモードという暗号モードを ベースとしている。 ー6一 〔暗号モード〕 P Als,暗号モードについても調べてみた。ブロック暗号を利用して長い平文を暗 号化するには,平文をブロックに分割し,各ブロックに対して暗号化処理を適用す る必要がある。ブロック暗号の適用方法を暗号モードと呼ぶ。最も単純な暗号モー ドはECBモードである。 暗号モードのうち,ECBモードとCTRモードの仕組みを図3に示す。 ECBモードCTRモード 暗号鍵m1暗号鍵m2暗号鍵m3…|暗号鍵c MSR c+1暗号鍵c+2… e1 e2 es oo" 注記1 ml,m2,m3,…はブロック長に分割した平文(以下,平文ブロックという)を,el,e2, e3,…は平文ブロックを暗号化した暗号文(以下,暗号ブロックという)を,cは初期カウ ンタ値を表す。 注記2 XORは,排他的論理和演算を行うことを示す。 図3 ECBモードとCTRモードの仕組み 一般的なブロック暗号のブロック長は,64~128ビット程度なので,暗号化のため TCP/IPパケットをヘッダも含めて平文ブロックに分割すると,③④パケットがもつあ る特徴から,同一端末間の異なるパケットにおいて,同一の平文ブロックが繰り返 して現れることが想定される。そのため,その平文の内容は高い確率で推測可能で ある。仮にTCPIPパケット全体をFCBモードで暗号化した場合,|c|が線 『り返して現れることになり,暗号の解読が容易になるおそれがある。 CTRモードでは,暗号ブロックは,| q|と|e。|の排他的論理和で HS.無線LANの場合,攻撃者は暗号化されたパケットを有入手可能であるので,そ の暗号化されたパケットに対応する| d|]が推測できた場合[|ce|は容 易に算出できる。これらを踏まえるとCTRモードでは,初期カウンタ値の再利用の 強制によって,同一の| e|を使用して異なるパケットの暗号文を作成してし まう可能性がある。 ここまで調べたP Bld,イントラポータルサーバへのアクセスはHTTP CH, PO,ベーシック認証を使用しているので,WPA2の通信を解読されると利用者ID とパスワードの流出に直結してしまうことに気付いた。 [不審なW-APの発見と対策] 無線LAN経由で侵入された可能性のある時期には,タブレットPCはKRACKsへ の対策がされていなかったので,P Blk,KRACKsによる攻撃を受けた可能性を調 査する必要があると考えた。そこでP Ald,W主任に相談して,攻撃者が不正なW- APを設置していないか,N社の周囲の無線状況を調査した。その結果,総務部のW- APと同一のSSIDが設定された不審なW-APが,N社敷地外にあることを発見し, KRACKsによる攻撃を受けたと結論付けた。 そこで,W主任は,KRACKsによってWPA2の通信が解読された場合でも被害を 防ぐ対策として,イントラポータルサーバへのアクセスをHTTPSに変更する案を提 案した。 (L7FW機能の実効性の確認】 一方,R課長は,FW1にはL7FW機能があることを思い出した。LAL,今回の インシデントでは,FW1が,マルウェアによる通信を不正な通信として検出した形 跡はなく,通過させていた。この件について,R課長はP君に調査を指示した。 P君が,|b|のログを分析したところ,4月10日の10:00以降,問合せ用 PCが発信元であるHTTPSと思われる通信が,通常よりも大幅に増加していた。こ れらの通信の大半は,表3のC&CサーバのIPアドレスを含む不審なIPアドレスへ の通信であったことから,マルウェアによるものと推測された。一方,問合せ用PC が発信元であるHTTP通信は,ほとんどなかった。 続いてP君が,FW1の機能の設定状態を確認したところ,L7FW機能は有効化さ れていたが,HTTPS通信によって送受信されるデータを復号する機能(以下, HTTPS復号機能という)はライセンスがないので有効化されていなかった。この状 態では,HTTPS通信に対してL7FW機能は効果がないことも分かった。P君は,こ れら一連の内容をR課長に報告した。 R課長は,インシデントの調査を終了し,W-APのIEEE 802.1X認証の方式を ーsg一 EAP-TLSに変更する案と,イントラポータルサーバへのアクセスをHTTPSに変更す る案を実施するとともに,残りの対策の検討に移ることにした。 [未知マルウェア対策の改良] R課長は,今後,HTTPS通信を利用するマルウェアが増えると思われるので,社 内PCについて,何らかの対策を打つ必要があると考え,W主任に検討を指示した。 W主任は,追加の費用が発生しない範囲で実施できる対策として,プロキシサー バがもつ,特定のURLへの接続を禁止するブラックリスト機能の適用を検討した。 HTTP通信の場合,プロキシサーバでは内容をことができる。LAL, HTTPS通信の場合,社内PCからプロキシサーバにCONNECTメソッドによって接 続要求を送る時点では平文でWebサーバの| g|名とポート番号が渡されるが, 社内PCとWebサーバの間でTLSセッションが成立して暗号通信路が確立した後は, プロキシサーバでは内容をことはできない。そのため,HTTPS通信の 場合実質的にプラックリストに登録できるのが,URLの| g|部とポート番 号部だけであり,部は指定できないことや,そもそもブラックリストに 登録すべきURL情報が必要なタイミングで入手できないことから効果が期待できな いとの結論となった。 そこで,追加の費用の発生も視野に入れた対策として,W主任は,.ライセンスの 購入によるHTTPS復号機能の有効化(以下,対策1という)及び社内PCのマルウ ェア対策の強化(以下,対策2という)の二つを考えた。それぞれの対策の内容は, 表4のとおりである。 表4検討した対策の内容 概要FW1のHTTPS復号機能のライセンスを購|未知のマルウェアを検出するソフトウ AL,同機能を有効にする。ェアを購入し,社内PCに導入する。 期待する|HTTPS通信であっても,FW1のL7EFW機|(省略) 効果能を用いて,マルウェアによる不正通信を 検出できる。 考慮すべ|HTTPS MSM OT,FW1の性能低|CAR) き点下のおそれがある。 HTTPS以外の暗号通信には効果がない。 —9ーー W主任は,⑤マルウェアが窟取した情報を社内PCから社外に送信する経路が FW1を経由したHTTPS以外にもあり,対策1とL7FW機能だけでは全ての経路を 検査することはできないので,対策2を併せて実施する必要があると考え,P Aira 策1及び対策2の検討を指示した。 〔対策1と対策2の検討] PAM,対策1と対策2の検討に当たり,HTTPS復号機能の動作の詳細を確認し たところ,N社のLANでは図4に示す通信の流れになることが分かった。 社内PCプロキシサーバFW1外部Webサーバ CONNECT要求 |。。 。|TLSハンドシェイク開始 ||TSハンドシェイク実行」 ーー isan ey er TLSハンドシェイク開始 ee TLSハンドシェイク終了 にーーニニ 図4 HTTPS復号機能の通信の流れ また,HTTPS復号機能は,5のとおりになることが分かった。 1.事前準備 (1)FW1が発行した自己署名証明書を|」|として全ての社内PCに登録する。 2.HTTPS復号機能による外部Webサーバのディジタル証明書の取扱い (1)FW1が,外部WebサーバへのHTTPSリクエストを検出した際に,宛先IPアドレスを変換 し,FW1を終端として社内PCとの間でTLSセッションの確立を開始する。 (2)FW1は,ディジタル証明書及び対応する秘密鍵を作成する。 (3)FW1は,作成したディジタル証明書及び対応する秘密鍵を利用して社内PCとFW1の間で TLSセッションを確立する。 (4)FW1は社内PCとのTLSセッションの確立とほぼ同時に,クライアントとして外部Webサ ーバとのTLSセッションも確立する。 (5)双方のTLSセッションが確立したら,FW1はその間で通信内容の転送を行う。 (6)片方のTLSセッションの確立に失敗した場合は,もう片方のTLSセッションも終了する。 図5 HTTPS復号機能の概要 P君がFW1の製造元に対策1の実施を検討している旨を伝えたところ,無料で30 日間だけ同機能を利用できる評価用ライセンスの発行を提案されたので,早速,評 価用ライセンスを適用し,CSIRTメンバのD_-PCから発信される通信で評価してみ た。その結果,HTTPS復号機能には,通信の種類によっては制約があることが分か った。通信の種類と制約を表5に示す。 表5 HTTPS復号機能における通信の種類と制約(抜粋) 通信の種類制約の内容制約の原因 1(省略)図4の流れの中で,FW1は,社内PC がもっているクライアント証明書に対 応した秘密鍵を利用することができな い。 2|外部Webサーバのサーバ証明書に|(作監)外部Webサーバごとにサーバ証明書 軽微な不備がある場合に,利用者の検証条件を変更するということがで が不備を無視してアクセスする。きない。 3(省略)FW1には,FW1の製造元によって安 全性が確認されたCAのディジタル証 明書だけが,信頼されたルートCAの ディジタル証明書としてインストール されている。 P君は,これらの制約の回避方法を運用手順に含めることにした。表5の項番1の 場合は,FW1のHTTPS復号機能の例外リストに外部Webサーバを追加することに した。例外リストにWebサーバを追加すると,例外的に復号機能を適用せず社内PC とWebサーバの間で直接HTTPS通信を行うことができる。例外とする場合には, 業務上の必要性があること,及び正当なWebサーバであることを所定の手順で確認 することにした。表5の項番2及び3の場合も,必要な内容を運用手順に含めた。 続いて,P君は,対策2の検討を行い,具体策をまとめた。W主任は,P君の報告 を受けて,対策1と対策2の実施案をまとめた。実施案は,R課長からCSIRT責任 者である情シス担当取締役に報告され,承認の上で実施された。以後,N社では,マ ルウェアによるインシデントは発生していない。

共通の文章

情報セキュリティ対策の強化に関する次の記述を読んで,設問1こ7に答えよ。 A社は,従業員数200名の金型加工業者である。新潟市内の同じ敷地に本社と工場 が,大阪市に営業拠点がある。本社には,管理部,設計部及び製造部がある。管理 部には,総務係,営業係及びシステム係がある。営業係は,営業拠点を管理する。 製造部は,工場を管理する。 A社の金型加工技術は,評価が高く,大企業から金型加工を請け負うことがある。 請け負うときは,金型加工に必要な情報を収めたファイル(以下,設計情報ファイ ルという)を,DVD-R又は電子メール(QAR,メールという)を使って,発注元と の間でやり取りする。 A社では,最新技術の情報収集を目的として,取引先が参加している複数のメーリ ングリストに,営業係員及び設計部員が参加している。 (営業秘密の取扱い〕 A社では,自社の営業秘密が不正競争防止法で保護されるようにするために,不正 競争防止法及び経済産業省が公表している営業秘密管理指針(平成27年1月28日全 部改訂)を参考にして,表1に示す営業秘密に関する管理規則を定めている。 表1営業秘密に関する管理規則(概要) に ・営業秘密を含む文書は,全てのページにA社秘密情報と記載すること ・営業秘密は,一般的に知られた状態にならないように,BRR YONG 〔A社のネットワーク構成 A社では,デスクトップPC(以下,DPCという)を,全ての従業員に貸与してい る。DPCの社外への持出しは,禁止されている。 A社は,クラウドサービスTを利用している。クラウドサービスTの機能とAH での利用方法の概要を表2に示す。 ー13一 表2クラウドサービスTの機能とA社での利用方法の概要(抜粋) 権威DNS|x2.y2.22.2,ドメイン名|・インターネット向けのA社ドメイン名の情報を登録 サービスx2.72.23.4|登録及び提し,提供する。 供機能 2 DNSサーッシュ機能|・オープンリゾル准対策として,クラウドサービスT キャッンシュ|x2.y2.z2.3 DNSキャ|・インターネット上のドメイン名の名前解決を行う。 メールサー|x2y2.22.17|メール転送|・SMTPを使用し,インターネットとの間でメールを ビス機能転送する。 ・迷惑メールの踏み台として使われないよう, [|』|対策として,インターネットがから転送 されてきたメールのうち,宛先メールアドレスのド メイン名がA社ドメイン名のメールだけを受信す Bis マルウェア|・送受信時にメールのマルウェアスキャンを行い,マ ルウェアが検知されたメールを隔離する。 機能使用する。 Webメール|・A社のネットワークからの利用だけが可能となるよ 接続元制限う,①特定のネットワークからの接続だけを許可し 機能ている。 A社のネットワーク構成を図1に,A社のネットワーク一覧を表3に示す。 営業拠点 1癌占| クラウドサービスT<インターネットつ|TAN! *ea aeーーーーニーーニーーュILジジーー LAN |DMZジステムDHCP|||設計部! ||ーーニーニーニーー L2SW1||LAN L2SW2H|ふーバ!TAN! |LDNSサーバ||サーパ1管理サーバ||管理サーバ]|i_.LAN_oi L2SW:レイヤ2スイッチI"-FB7 71 FW:ファイアウォール工場 L3SW:レイヤ3スイッチにLAN| 注記1工場LANは,閉じたネットワークである。 注記2工場LANに接続されている工作機械及び管理サーバの記載は省略している。 注記3拠点LAN,管理部LAN,設計部LAN及び製造部LANに接続されているDPCの記載は省 略している。 注記4内部システムLAN上のサーバ及びDPCからのインターネットアクセスは,プロキシサー バ経由で行われる。 図1 A社のネットワーク構成 表3 A社のネットワーク一覧 (A社の情報システム〕 DMZ上のサーバには,グローバルIPアドレスを割り当てている。DMZ上のサー バの概要を表4に示す。 表4 DMZ上のサーバの概要(抜粋) 機能と利用方法の概要 A社キャッ|x1.y1.z1.17|DNSキャッシ|・インターネット上のドメイン名の名前解決を行 シュDNSュ機能Dig サーバ・オープンリゾル対策として|es|からの 名前解決だけを許可する。 時刻同期機能|・国立研究開発法人情報通信研究機構がインター ネット上で公開している|ri|サーバと時 刻同期を行う。 プロキシサ|x1.y1.21.18|URLフィルタ|・接続元IDアドレスごとに,接続できるURLを制 ーバリング機能限する。 内部システムLAN上のサーバの概要を表5に示す。 表5内部システムLAN上のサーバの概要(抜粋) 機能と利用方法の概要 DHCPサー|192.168.1.2|DHCP機能・IPアドレスを割り当てるDPCのMACアドレス oSをあらかじめ登録しておく。 ・登録済みMACアドレスのDPCにIPアドレスを 割り当てる。 設計情報管|192.168.1.3|設計情報管理|・利用者は,Webインタフェースを用いて,設計 理サーバ機能情報ファイルのアップロード,ダウンロード及 び検索を行うことができる。 ・利用者IDとパスワードで利用者認証を行う。 ・パスワードは10字以上とし,英数字及び記号を 使用できる。 ・設計部のサーバ管理者が,利用者IDと初期パス ワードを登録する。 ・フォルダごとにアクセス権限を設定できる。現 在は,利用者IDごとに割り当てられたフォルダ 配下のファイルにアクセスできる。 アクセス制限|・接続元のIPアドレスによってアクセスを制限す 機能る。アクセスを許可するIPアドレスには,A Ft で利用するプライベートIPアドレスを登録す る。 製造情報管|192.168.1.4|製造情報管理|(省略) 理サーバ機能 A社では,全ての従業員に個別のメールアドレスを割り当てており,従業員は,メ ールサービスを用いてメールを送受信している。 従業員のメールアドレス以外に同報用のメールアドレスがあり,このアドレスに 届いたメールは,登録された従業員のメールアドレスに同報される。 従業員は,第三者に秘匿したい電子ファイルをメールに添付し,金型加工の発注 元との間で送受信する場合には,ZIP形式で圧縮している。メール添付する際の圧縮 ファイルの取扱いについては,次のルールを定めている。 ・発注元ごとの打合せで取り決めた,12字以上の英数字及び記号で構成されるラン ダムな文字列から成るパスワードから生成した鍵を用いて暗号化する。 ・暗号化アルゴリズムは,| g|を用いる。[|g|は,[|h dase 定した,電子政府における調達のために参照すべき暗号リスト(平成30年3月29 日版)でも利用が推奨されている共通鍵暗号である。| h|は,吐号技術の 適切な実装法や運用法の調査及び検討を行う国内のプロジェクトである。 設計情報管理サーバの利用者は,設計部員及び製造部員である。利用者IDは,Fl 用者のメールアドレスである。初期パスワードには,メールアドレスと同じ文字列 を登録し,利用者に通知する。利用者は,自身でパスワードを変更することができ る。 FW,プロキシサーバ,内部システムLAN上のサーバ,及び全てのDPCは,A社 キャッシュDNSサーバとの間で| f|を用いて時刻同期を行っている。 DPCのIPアドレスは,DHCPサーバのDHCP機能及びL3SWのDHCPリレーエ ージェント機能によって,動的に割り当てられる。 A社では,DMZ上及び内部システムLAN上にあるサーバの名称とIPアドレスの 対応をDPCのhostsファイルに設定している。 DPC,DMZ上のサーバ及び内部システムLAN上のサーバは,導入時に,OS,アプ リケーションソフトウェア及びマルウェア対策ソフト(以下,これらを併せてA社標 準ソフトという)に脆層性修正プログラムを適用し,マルウェア対策ソフトはマル ウェア定義ファイルを導入時点での最新版に更新している。 導入後は。プロキシサーバ経由でA社標準ソフトの各ベンダのサイトに毎月末に自 動で接続し,それぞれの脆弱性修正プログラムを適用している。 DPC及びサーバ上のマルウェア対策ソフトは,起動時及び起動後2時間おきにプ ロキシサーバ経由でマルウェア対策ソフトベンダのサイトからマルウェア定義ファ ー17一 イルをダウンロードし,更新している。マルウェア対策ソフトでは,ファイルを読 み書きするときにマルウェアスキャンする機能(以下,リアルタイムスキャンとい う)を有効にするとともに,全てのファイルをマルウェアスキャンする機能(以下, フルスキャンという)を,毎週火曜日12時に実行している。フルスキャン実行時, CPUの負荷を減らすために,圧縮ファイルは対象外としている。 [情報漏えいの発生] 6月7日,金型加工業者B社のL氏から,設計情報管理サーバの管理者である設計 BOI SAIL,A社の情報が漏えいしているおそれがあると連絡があった。]さんは, 設計部長及び管理部のE部長に報告した。」さんの報告内容を,次に示す。 ・L氏が,検索サイトで金型技術情報を検索したところ,A社とB社が共同で展示会 に出品する金型(以下,共同出品金型という)の設計情報ファイル(以下,ファ イルSという)と同じ名称のファイルが,あるWebページに掲載されていること を発見した。 ・ファイルSは,DVD-Rに保存し,6月1日に]」さんからL氏に手渡している。(以 下,当該DVD-RをDVDSという) ・L氏が,掲載されていたWebページを確認したところ,ファイルSと同じ名称をも つファイルの更新日付は6月4日と表示されていた。 ・L氏は,掲載されていたファイルがファイルSと同一であるかどうかの確認及びB 社における設計情報ファイルの管理状況の調査を,B社のセキュリティ担当者に依 頼した。 ・B社のセキュリティ担当者は,同二ファイルであることを確認するためファイルの | :|]を調べた。その結果,DYDS中のファイルSの|ij|と同じでぁ ったので,同一ファイルであることが確認された。 ・B社では,全ての設計情報ファイルを,設計室の閉じたネットワークにだけ接続さ れたEC及びサーバで利用しており,インターネットに漏えいする可能性は低い。 ・B社では,DVD-Rなどの外部記録媒体の持込み,持出し及び使用を管理している。 管理記録によれば,DVDSに関する記録は,設計室内への持込み及び設計室内での 使用だけであった。 ・L氏は,A社から漏えいした可能性があるとして,A社に調査を求めてきた。 ー18一 E部長は事態を重くみて,ファイルSの漏えいについての調査,及び必要であれば その対処,並びにA社全体としての情報セキュリティ対策強化案の検討をシステム係 のFさんに指示した。さらに,A社の情報システムの導入及び運用を支援しているシ ステム会社と一緒に調査することにし,システム会社のG氏が協力することになっ Tes Fさん及びG Kit,まず,情報漏えいの調査及び一時的な対処を実施し,その後 に,A社全体としての情報セキュリティ対策強化案を検討することにした。 [情報漏えいの調査及び一時的な対処] FさんはG氏の協力を受けて,FW,DMZ上のサーバ及び内部システムLAN上の サーバの調査を開始した。FさんとG氏は,設計情報管理サーバからファイルSが取 り出された可能性が高いと考え,設計情報管理サーバのアクセスログを調査した。 その結果,ファイルSを作成するためにさんが設計情報管理サーバに登録した利用 者ID kyoudou@a-sha.co.jp(LAB,ID-Kという)による不審なアクセスが6月1日に 発生していたことが判明した。設計情報管理サーバの6月1日のアクセスログのう ち,利用者IDがID-Kのものを表6に示す。 表6設計情報管理サーバのアクセスログ 接続元TP. |6|192.168.64.3|6/1 16:50:09|kyoudou@a-sha.cojp|O77 YAR ログイン成功 |8|192.168.64.3|6116:50:20|kyoudou@a-sha.cojp|ファイルの一覧表示。 |9|19 ea643[6/1 16:51:30|kyoudou@a-sha.cojp|kyoudousyuppin.zipをダウンロード Fさんが,ID-KについてJさんに確認したところ,ID-Kは,共同出品金型の設 計に携わっているJTさん及び2名の設計部員(以下,3名を併せて,共同出品担当メ ンバという)が利用していた。 さらに,表6の接続元IPアドレスに記録されたDPCを特定するために,DHCPサ ーバのログを調査することにした。DHCPサーバの6月1日のIPアドレス割当ログ のうち,割り当てたIPアドレスが192.168.19.8又は192.168.64.3であるものを表7に 示す。 #7 DHCPサーバのIPアドレス割当ログ IPアドレス192.168.19.8を割り当てた。 IPアドレス192.168.64.3を割り当てた。 IPアドレス192.168.19.8を解放した。 IPアドレス192.168.64.3を解放した。 Fさんは,②③サーバのログの調査だけでは操作者を特定するには不十分なので,当 事者へのヒアリング及びDPCの動作ログの調査が必要であると判断した。ヒアリン グ及び調査の結果を図2に示す。 (1)共同出品担当メンバへのヒアリング及び調査の結果 ・6月1日の行動 08:30 3人とも,出勤し,DPCを起動した。 08:35共同出品金型の設計をさんが始めた。 11:40設計を終え,設計情報管理サーバにID-Kでログインし,ファイルSをアップロードし た。アップロード後,ログアウトした。 11:45ファイルSをDVDSに保存した。 11:50 3人とも,DPCをシャットダウンした。 13:00 B社との打合せ及びDVDSの手渡しのために,3人でB社に向かった。 13:30 3人とも,B社に到着し,L氏にDVDSを手渡し,打合せを始めた。 17:30 3人とも,打合せを終え,B社から直接帰宅した。 ・6月4日の行動 3人とも,社外の研修に終日参加していた。 (2)Kさんへのヒアリング及び調査の結果 ・6月1日の行動 11:30外出先から戻り,DPCを起動した。 11:35取引先向け資料の作成を始めた。 16:30取引先向け資料に関する打合せを上司と始めた。 17:30上司との打合せを終えて,DPCをシャットダウンした。 18:00帰宅のため会社を出た。 ・6月4日の行動 08:30出勤し,DPCを起動した。 08:35提案資料の作成を始めた。 17:25提案資料を保存し,DPCをシャットダウンした。 17:30帰宅のため会社を出た。 ・設計情報管理サーバへのアクセス Kさんには設計情報管理サーバの利用者IDの割当てはなく,アクセスできない。 図2ヒアリング及び調査の結果 ヒアリング及び調査の結果,Fさんは,③表6の項番4から項番9のアクセスは, 共同出品担当メンバの操作ではなく,KさんのDPCがマルウェアに感染し,マルウ ェアによってファイルSが漏えいした可能性があると判断した。Fさんは,EB MRI 報告するとともに,調査のために,KさんのDPCを回収し,予備のDPCをKさんに 貸与した。 さらに,TD-Kは不正ログインに使用されたので,Fさんは,]さんに,④ID-Kへの 一時的な対処を依頼した。 Fさんは,G氏のアドバイスを受けながら,]さんとKさんへの追加のヒアリング 及び調査を行った。それらの結果を図3に示す。 (1)」さんへの追加ヒアリング結果 ・4月に,共同出品金型用の同報用メールアドレスkyoudou@a-sha.co.jpを登録してもらった。同 報先には,共同出品担当メンバを登録してもらった。 ・kyoudou@a-sha.co.jpは,共同出品関係者とのメールのやり取りにおいてCcの宛先としてい る。社外のメーリングリスト宛てにメールを送信した時に,kyoudou@a-sha.cojpをCcに指定 したこともある。 ・]さんがファイルSを作成するために,4月にID-Kを設計情報管理サーバに登録した。 ・ID-Kのパスワードは,初期パスワードのまま変更していなかった。 (2)Kさんへの追加ヒアリンクグ結果 ・5月21日9時,DPCからメールサービスにアクセスした。 ・送信者が運送会社のメールアドレスになっており,かつ,ZIP形式のファイルが添付されたメ ールが届いた。 ・添付ファイルをDPCにダウンロードし,保存した。 ・保存した添付ファイルを展開したところ,PDFファイルがあり,ファイル名が送付状"であ ったので開いた。身に覚えがない内容だったので,PDFファイルを削除した。 -6月5日9時,上記添付ファイルを誤って再び展開したところ,リアルタイムスキャンによっ て,PDFファイルがマルウェアXとして検知され,PDFファイルを削除したとのメッセージ がDPCに表示された。直ちに,PC上の上記添付ファイルを削除した。マルウェアの対処は完 了したものと判断した。 ・6月5日13時,フルスキャンによって別のファイルがマルウェアYとして検知され,削除され Te, (3)マルウェアXに関する情報 ・ダウンローダ型のマルウェアであり,攻撃者が用意したC&C(Command and Control)サーバ のURLが内部に保持されている。C&CサーバからマルウェアYをダウンロードし実行する。 ・PDF閲覧ソフトの脆弱性を悪用してPCに感染する。5月16日にリリースされたPDF閲覧ソ フトの脆弱性修正プログラムが適用されていれば,マルウェアYをダウンロードしない。 (4)マルウェアYに関する情報 ・PCのhostsファイルを用いて,Webサーバを探索する。 ・Webサーバが見つかると,C&Cサーバから取得した利用者IDとパスワードのリストを用いて ログインを試みる。ログインが成功すると,クローリングしてファイルを一つずつダウンロー ドし,攻撃者が用意したサーバにアップロードする。 (5)マルウェア対策ソフトベンダの対応 ・5月28日10時,マルウェアXに対応したマルウェア定義ファイルをリリースした。 ・6月5日10時,マルウェアYに対応したマルウェア定義ファイルをリリースした。 (6)フルスキャン実施| ・6月8日10時,Fさんは,マルウェア対策ソフトで圧縮ファイルをフルスキャンの対象とする ように一時的に設定を変更した後,最新のマルウェア定義ファイルに更新し,フルスキャンを 行うように全ての従業員に指示した。このフルスキャン実施では,マルウェアは検知されなか Sf s (7)他のサーバの調査 ・製造情報管理サーバのログを調査したところ,不審おねログインの記録はなかった。 図3追加のヒアリング及び調査の結果 G氏は,図3の(②)について,マルウェア対策ソフトでマルウェアが検知されたにも かかわらず,報告がなかったので,A社としての対策がとれなかったことへの改善が 必要であると指摘した。Fさんは,図3及びG氏の指摘を踏まえ,(あ)~(A)の 作業計画を作成した。 (あ)設計部長に報告するために,情報漏えいの経緯をまとめる。 (い)類似のマルウェア感染を防止する対策を検討する。 (う)設計情報管理サーバへの不正ログイン対策を検討する。 (A)サーバ及びDPCそれぞれの,マルウェア対策ソフトの状態と脆弱性修正プ ログラムの適用状況を集中管理する仕組みを導入する。 Fさんは,(あ)~(A)の作業計画をE部長に報告し,実施についての了承を得 だ。 (あ)について,Fさんは,情報漏えいの経緯をまとめ,E部長が設計部長に報告 し導。 (い)について,Fさんは,類似のマルウェア感染を防止する対策として,今回の 感染の経緯と類似のマルウェアへの注意点を社内に周知した。 さらに,圧縮ファイル中のマルウェアが検知されなかったことについて,Fさんは, 平常時も圧縮ファイルをフルスキャンの対象とすべきかをG氏に相談した。G氏は, 平常時の運用では,圧縮ファイルをフルスキャンの対象にしなくてもDPCがマルウ ェアに感染するリスクは変わらないと答え,⑤その理由をFさんに説明した。Fさん は,圧縮ファイルをフルスキャンの対象外とするという設定は変えないことにした。 [設計情報管理サーバへの不正ログイン対策の検討 (う)について,Fさんは,設計情報管理サーバへの不正なログインの経緯及び設 計情報管理サーバの利用状況を踏まえ,⑥設計情報管理サーバへのアクセスを制限 する設定変更案及び⑦パスワードに関する運用方法の見直し案を作成し,]さんに提 案した。Jさんは,Fさんの提案どおりに設定の変更及び運用方法の見直しを実施す るとCE Ue さらに,FさんとG氏は,ID-Kのように利用者IDを共用する限り,パスワードの 管理は不十分になると考えた。そこで,利用者IDの共用は全て禁止しフォルダヘへ のアクセス権限を利用者IDごとに設定する案を作成した。 ー93一 Fさんは,検討結果をE部長に説明し,了承を得てJさんに実施を依頼した。 【集中管理の仕組みの導入〕 (A)について,Fさんは,次の機能を備えた集中管理サーバの導入案を作成した。 ・マルウェア定義ファイルを配信し,配信状況を管理する機能 ・マルウェアの検知を| 」|する機能 ・脆弱性修正プログラムを配信し,配信状況を管理する機能 Fさんは集中管理サーバの導入案を,部長に説明した。E部長は役員会で集中 管理サーバの導入を提案し,集中管理サーバの導入費用が次年度の設備導入予算に 組み込まれることになった。EME,一連の対処及び施策を設計部長に報告した。