情報処理安全確保支援士 2019年 秋期 午後I 問題

共通の文章

電子メールのセキュリティ対策に関する次の記述を読んで,設問1ー4に答えよ。 N社は,従業員数500名の情報サービス事業者である。N社の情報システムの構成 を図1に示す。 マンターネッL2SW:レイヤ2スイッチ FW:ファイアウォール L3SW:レイヤ3スイッチ !サーバセグメント !!|サーバ||サーバサーバ |内部メール||内部DNS|!1 rzsw! '1べべ izswllrsswHHrsswHIpeL PCセグメント! 注記外部DNSサーバのグローバルIPアドレスは,x1.y1.z1.2である。 図1 N社の情報システムの構成 N社の情報システムは,情報システム部(以下,情シ部という)のQ部長とU主 任を含む5名で運用している。 ぜい 各PC及び各サーバは脆弱性修正プログラムが自動的に適用され,導入済のマルウ ェア対策ソフトのマルウェア定義ファイルが自動的にアップデートされる設定にな っている。外部メールサーバでは,スパムメールフィルタの機能を利用している。 N社では,インターネットドメイン名n-sha.co.jp(以下,N社ドメイン名という) を取得しており,メールアドレスのドメイン名にも使用している。外部DNSサーバ は,電子メール(以下,メールという)に関して図2のように設定してある。 n-sha.co.jp.INMX 10 mail.n-sha.co.jp.” mail.n-sha.cojp.INA xlLyl.zl.1” 注記逆引きの定義は省略しているが,適切に設定されている。 注りmailn-sha.cojpは,外部メールサーバのホスト名である。 9。x1y1.z1.1は,グローバルIPアドレスを示す。 2 N社の外部DNSサーバのメールに関する設定 送信者メールアドレスには,SMTPの| 。|コマンドで指定されるエンベロ ープの送信者メールアドレス(以下,Envelope-FROMという)と,メールデータ内 のメールヘッダで指定される送信者メールアドレス(以下,Header-FROMという) ==2 eae MHS,送信したメールが不達になるなど配送エラーとなった場合,Envelope- FROMで指定したメールアドレス宛てに通知メールが届く。N社では,従業員がPC からメールを送信する場合,Envelope-FROM及びHeader-FROMとも自身のメール アドレスが設定される。 昨今,メールを悪用して企業秘密や金銭をだまし取る攻撃が発生しており,N社が 属する業界団体の会員企業でも,.なりすましメールによる攻撃によって被害が発生 した。こうした被害を少しでも抑えるため,同団体から送信者メールアドレスが詐 称されているかをドメイン単位で確認する技術(以下,送信ドメイン認証技術とい う)を普及させるよう働きかけがあったことから,N社でも情シ部が中心になって送 信ドメイン認証技術の利用を検討することになった。 〔送信ドメイン認証技術の検討] Q部長とU主任は,送信ドメイン認証技術の利用について検討を始めた。次は, その際のQ部長とU主任の会話である。 Q部長:当社でも送信ドメイン認証技術を利用すべきだと経営陣に報告したい。ま ずは,どのような送信ドメイン認証技術を利用するかを検討しよう。 U主任:送信ドメイン認証技術では,SPF,DKIM,DMARCが標準化されています。 当社の外部メールサーバでは,いずれも利用が可能です。 1 Q部長は,図3のなりすましメールによる攻撃の例を示し,送信ドメイン認証技術 が各攻撃の対策となるかどうかをまとめるようにりU主任に指示した。 サーバからN社に送信する。 攻撃2 N社のメールアドレスを送信者として設定したメールを,攻撃者のメールサーバか らN社の取引先に送信する。 3なりすましメールによる攻撃の例 U主任は,SPFへの対応と各攻撃に対する効果の関係を表1にまとめ,SPFが対 策となるかどうかを同表を用いてQ部長に説明した。 a Hc 表1 SPFへの対応状況と各攻撃に対する効果 SPFへの対応状況 AE come?|バでの対応?|サーバでの設|サーバでの対応|する効果|する効果 外部DNSサー|外部メールサー|取引先のDNS|取引先のメール|攻撃1に対|攻撃2に対 定1)2) |1|wena|実施する|設定済み|wate|O|O| a ee ee ee es ee ee ee ee es ee ee |*|mews|wcen[eens[aveビュにビュコ ee ee ee ee ees ee ee ee ee ee eee ee eee 2 ee ee ee eee ee eee eee eee ee ee ee ee ae ee ee ee ee ee ee ee ee ee 注記表中の“〇"は送信者メールアドレスが詐称されているかを判断可,“"X”は判断不可を示す。 SE?SPFに必要な設定をDNSサーバに設定済みかを示す。 2メール受信時に,SPFに必要な問合せを実施するかを示す。 Rik,COBO Q部長とU主任の会話である。 Q部長:SPFに対応するには,具体的にどのような設定が必要になるのか。 U主任:DNSサーバでの設定は,当社の外部DNSサーバに図4に示すTXTレコー ドを登録します。 4 TXTレコード メールサーバでの対応は,当社の外部メールサーバの設定を変更します。 SPFによる検証(以下,SPF認証という)が失敗したメールは,件名に [NonSPF]などの文字列を付加して,受信者に示すこともできます。 Q部長:なるほど。SPFの利用に注意点はあるのかな。 U主任:メール送信側のDNSサーバ,メール受信側のメールサーバの両方がSPFに 対応している状態であっても,その間でSPFに対応している別のメールサ ーバがEnvelope-FROMを変えずにメールをそのまま転送する場合は,①メ ール受信側のメールサーバにおいて,SPF認証が失敗してしまうという制 ミーニュ4— 約があります。 Q部長:なるほど。それでは,DKIMはどうかな。 U主任:DKIMに対応したメールを送信するためには,EF,準備として公開鍵と秘 密鍵のペアを生成し,そのうち公開鍵を当社の外部DNSサーバに登録し, 当社の外部メールサーバの設定を変更します。DKIM利用のシーケンスは, 図5及び図6に示すとおりとなります。 外部外部受信側 DNSサーバメールサーバメールサーバ 1.DKIM-Signatnreヘッダ付メールの送信 2.公開鍵の要求 ee [)4.検証 図5 DKIM利用のシーケンス 1.DKIM-Signatureヘッダにディジタル署名を付与し,メールを送信する。 2.受信側メールサーバは,DKIM-Signatureヘッダのddタグに指定されたドメイン名を基に,外 部DNSサーバに公開鍵を要求する。 3.要求を受けた外部DNSサーバは,登録されている公開鍵を送信する。 4.②受信した公開鍵,並びに署名対象としたメール本文及びメールヘッダを基に生成したハッ シュ値を用いて,DKIM-Signatureヘッダに付与されているディジタル署名を検証する。 図6 DKIM利用のシーケンスの説明 Q部長:DKIMの方が少し複雑なのだな。 U主任:はい。しかし,DKIMは,メール本文及びメールヘッダを基にディジタル署 名を付与するので,転送メールサーバがディジタル署名,及びディジタル 署名の基になったメールのデータを変更しなければ,たとえメールが転送 された場合でも検証が可能です。SPFとDKIMは併用できます。 Q部長:分かった。両者を導入するのがよいな。それでは,DMARCはどうかな。 U主任:DMARCは,メール受信側での,SPFとDKIMを利用した検証,検証した メールの取扱い,及び集計レポートについてのポリシを送信側が表明する 方法です。DMARCのポリシの表明は,DNSサーバにTXTレコードを追加 することによって行います。TXTレコードに指定するDMARCの主なタグ —5= を表2に示します。 表2 DMARCの主なタグ(概要) と 送信側が指定する受信側でのメ|none:何もしない。 ールの取扱いに関するポリシ|quarantine:検証に失敗したメールは隔離する。 (必須)reject:検証に失敗したメールは拒否する。 aspf|SPF認証の調整パラメタ(任|r:Header-FROMとEnvelope-FROMに用いられているド 意)メイン名の組織ドメインが一致していれば認証に成功 s:Header-FROMとEnvelope-FROMに用いられている完 全修飾ドメイン名が一致していれば認証に成功 adkim|DKIM認証の調整パラメタ(任|r:DKIM-SignatureヘッダのdタグとHeader-FROMに用 意)いられているドメイン名の組織ドメインが一致していれ ば認証に成功 s:DKIM-SignatureヘッダのdタグとHeader-FROMに用 いられている完全修飾ドメイン名が一致していれば認証 に成功 DMARCの集計レポートの送信先|URI形式で指定する。 (任意) 注記完全修飾ドメイン名が“a-sub.n-sha.cojp”の場合,組織ドメインは“n-shacojp”となる。 これらの検討結果を経営陣に報告したところ,N社は送信ドメイン認証技術として SPF,DKIM,DMARCを全て利用することになり,情シ部が導入作業に着手した。 [ニュースレターの配信〕 送信ドメイン認証技術の導入作業着手から1週間後,N社営業部で取引先宛てにニ ユースレターを配信する計画が持ち上がった。ニュースレターの配信には,X HOTZ ラウド型メール配信サービス(以下,X配信サービスという)を利用する。ニュース レターは,X社のメールサーバから配信され,配送エラーの通知メールは,X HOR ールサーバに届くようにする。Header-FROMには,N社ドメイン名のメールアドレ A(fil:letter@n-sha.co.jp)を設定する。Envelope-FROMには,N社のサブドメイ ン名a-sub.n-sha.co.jpのメールアドレス(Hil:letter@a-sub.n-sha.co.jp)を設定する。 X社のメールサーバのホスト名は,mail.x-sha.co.jp CH),グローバルIPアドレス lk,x2.y2.22.1である。X社のDNSサーバのグローバルIPアドレスは,x2.y2.22.2で ある。X配信サービスでは,SPF,DKIM,DMARCのいずれも利用が可能である。 N社は,ニュースレターの配信についても,3種類の送信ドメイン認証技術を利用 することにした。具体的には,N社の外部DNSサーバに図7のレコードを追加する。 ニー6 sx a-sub.n-sha.co,jp.IN TXT"v=spfl+ip4|1|-all" 注記1逆引きの定義は省略しているが,適切に設定されている。 注記2 DKIM,DMARCのレコードは和省略しているが,適切に設定されている。 図7追加するレコード ここで,受信側で検証に失敗したメールは隔離するポリシとするため,DMARCの pタグとaspfタグの設定は表3のとおりとする。 表3 DMARCのタグ設定 lp me 注記ほかのタグは省略しているが,適切に設定されている。 その後,N社と主要な取引先での送信ドメイン認証技術の導入が完了した。

共通の文章

セキュリティインシデント対応におけるサイバーセキュリティ情報の活用に関す る次の記述を読んで,設問1,2に答えよ。 Z社は,従業員数150名の金融事業会社である。事業規模は小さいが,多くの個人 情報を扱っている。サイバーセキュリティ情報を共有し,サイバー攻撃への防御力 を高める目的で活動する組織(ISAC:Information Sharing and Analysis Center)に最 近加盟した。Z社には5名で構成されるIT部門があり,ITシステムの運用や管理を 行っている。Z社のネットワーク構成を図1に示す。 マンターネッドFW:ファイアウォール L2SW:レイヤ2スイッチ ーーニーニーーーニーーニーーーーーーーーニーーーーーーーーゃ1 1 DMZ!!ーーオフィスセグメント !|外部DNS||公開Web||HsswET上 !|サーバリサーパ人 ||Nsw SM !|サーバサーバ||サーバサーバサーバ?|! 注記インターネットからZ社の公開Webサーバやメールサーバの名前解決を行う外部向け権威 DNSサーバの役割は,ドメイン登録サービスが提供するDNSサービスが担っている。ドメイ ン登録サービスが提供するDNSサービスの記載は省略している。 SE”外部DNSサーバは,メールサーバ又はプロキシサーバからDNSクエリを受け,インターネ ット上の権威DNSサーバと通信し,名前解決を行うフルサービスリゾルバとして機能する。 2内部DNSサーバは,PCが内部Webサーバ及び公開Webサーバにアクセスするときの名前 解決を行う権威DNSサーバとして機能する。 図1 Z社のネットワーク構成 FWのフィルタリングルールを表1に,図1中に記載された機器の詳細を表2に示す。 Hl FWのフィルタリングルール 内部サーバセグメント 6|内部サーバセグメント 注記項番が小さいルールから順に,最初に一致したルールが適用される。 aa 8データ 表2図1中に記載された機器の詳細(抜粋) (a)|PC 1)次の汎用ソフトウェアを導入している。・マルウェア対 ・メールソフト:社内外との電子メール(以下,メール|策ソフトによ という)の送受信に利用する。るリアルタイ ・文書作成ソフト:文書ファイルの閲覧・作成・編集に|ム検知情報と 利用する。フルスキャン ・表計算ソフト:表計算ファイルの閲覧・作成・編集に|結果 利用する。・EDRによる ・Webブラウザ:Webアクセスに利用する。インターネ|記録結果 ットへの通信は全てプロキシサーバを経由するように 設定され,設定は管理者だけが変更可能である。 2)次のセキュリティ対策ソフトウェアを導入している。 設定は管理者だけが変更可能である。 ・マルウェア対策ソフト:メール及びファイルのリアル タイムスキャンを行う。また,1日2回マルウェア定 義ファイルを更新し,週1回フルスキャンを実行す Be -EDR(Endpoint Detection and Response):PC上のプロ セスの起動・終了,ネットワーク通信,ファイル操 作,実行ファイルのパスなどを記録し,検索できる。 る。 (c)|プロキシサ|PCからインターネット上のWebサイトへのHTTP及び|・アクセスログ ーバHTTPS通信を中継する。PCからインターネットにアク|・認証結果 セスするためには利用者IDとパスワードによるBASIC 認証(以下,PCからインターネットにアクセスする際に プロキシサーバで実施されるBASIC認証をプロキシ認証 という)を必須としている。プロキシ認証に必要なアカ ウント情報(以下。プロキシ認証情報という)は,プロ キシサーバ内に保存されている。 sage バPOPとSMTPを使用する。信履歴 ⑪|認証サーバ|従業員がPCにログインする際にPCに入力された利用者|・認証結果 IDとパスワードで従業員を認証する。認証成功後にPC が利用できる。 サー ーー9— (ISACからの情報提供と対応〕 20XX年11月19日,Z社はISACから,サイバーセキュリティ情報の提供を受け た。当該情報の概要を図2に示す。 A)20XX年11月17日,金融事業会社Q社において従業員が社内で利用している利用者IDと パスワードが寄取され,某掲示板に掲載されるという攻撃が発見された。 B)利用者IDとパスワードの情取には,マルウェアYの亜種の一つであるマルウェアPが使用 された。 C)攻撃グループX ld,マルウェアYとその亜種を使用することで知られており,今回の攻撃 も攻撃グループXによる可能性が高い。 D)攻撃グループXは,当該掲示板において,マルウェアを利用してZ社の利用者IDとパスワ ードを科取する計画を立てていた。しかし,会話は途中までしか確認されておらず,実際に計 画を実行したかは不明である。 E)攻撃グループXの過去の活動について,次のことが確認されている。 (あ)攻撃グループX lk,メールでマルウェアを配信する。同じマルウェアを攻撃対象ごと にファイル名だけ変更して送付することもあれば,挙動は同じだが攻撃対象ごとにコー ドの一部とファイル名を変更したマルウェアの亜種を送付することもある。 (い)マルウェアは,RAB,補取する重要情報を探すため,内部ネットワークの探索を行 う。科取する情報を持ち出す際には,まず,穂取する情報を暗号化し,一定のサイズに 分割する。その後,C&C(Command and Control)通信を使用して持ち出す。 (う)C&C通信には,HTTP又はDNSプロトコルを使用する。HTTPの場合,Webブラウザ に設定されたプロキシサーバのIPアドレスを確認し,プロキシサーバ経由でC&Cサー バと通信する。DNSプロトコルの場合,パブリックDNSサービス[を経由して通信す る。攻撃対象となる組織が管理するDNSサーバを経由してC&Cサーバと通信する事 例は報告されていない。 注記パブリックDNSサービスとは,インターネット上に公開され,誰でも自由に利用可能なフ ルサービスリゾルバ型のDNSサービスのことである。 図2提供されたサイバーセキュリティ情報の概要 攻撃グループXがZ社を攻撃する計画を立てていたことを重く見たZ社は,実際 に攻撃を受けたかの調査を開始した。IT部門のK部長がプロジェクトリーダとなり, 部下のHさんが調査した。図3にHさんの調査結果を示す。 A)最新のマルウェア定義ファイルを用いてZ社の全PCをスキャンしたが,マルウェアは検知 されなかった。 B)ISACから提供されたマルウェアPの情報を用いてEDRで調査したところ,1台のPC(以 下,PCVという)がマルウェアPに感染しているのを発見した。更に調査したところ,次の ことが判明した。 (あ)マルウェアPはAmX3PxvR7.exeというファイル名で,PCVのローカルストレージの フォルダNに配置されていた。 (い)20XX年11月18日11:09,PC-Vを利用している従業員が,表計算ファイルを装ったメ ールの添付ファイルをクリックしたことで,PC-VがマルウェアPに感染した。 (う)マルウェアPは,汎用検索サービスA及びグローバルIPアドレスMへのHTTPによ る通信を試みたが,①当該通信はZ社のネットワーク環境によって遮断されていたこと がプロキシサーバのログに記録されていた。 C)追加調査から,グローバルIPアドレスMは,攻撃グループXのC&Cサーバに割り当てら れたIPアドレスだと判明した。 D)Z社が導入しているEDRでは,DNSプロトコルによる通信を記録しない設定となっていた が,パブリックDNSサービスLに対してDNSプロトコルによる通信が発生すれば, [|』のログに記録される。当該ログを調査したところ,該当する通信がなかったことを 確認した。 E)全PCを対象にグローバルIPアドレスMとの通信の有無について,EDRを使って調査した ところ,あるPC(以下,PCTという)のローカルストレージのフォルダNにbV6fZq3hi.exe というファイルが配置され,グローバルIPアドレスMとの通信を試みたことを示すログを発 見した。更に調査したところ,次のことが判明した。 (あ)bV6fZq3hiexeについてセキュリティベンダの協力を仰いで調査した結果.マルウェア Yの亜種の一つであるマルウェアRであった。 (い)20XX年11月18日16:15,PC-TはPC-Vと同じ方法で感染した。 (う)マルウェアRは,汎用検索サービスA及びグローバルIPアドレスMへのHTTPによ る通信を試みたが,マルウェアPの場合と同様,遮断されていた。 F)ISACから提供された情報を基に,づ情報持ち出し成功時に残る痕跡を調査したが,BAT る痕跡は確認できなかった。 A)てE)の調査によって,攻撃は受けたが,情報持ち出しは成功していないと判断した。 図3 Hさんの調査結果 K部長は,情報持ち出しは成功していないと判断できたことは不幸中の幸いだった として,調査は一旦完了とした。③調査で判明した情報はISACに提供した。 [対策の検討] K部長は,様々なC&C通信の手法が今後も使われるであろうと想定し,多層防御 の考えに基づいて,C&C通信全般及び各手法への対策案を検討するようHさんに指 示した。Hさんが検討したC&C通信全般への対策案を図4に,C&C通信の各手法へ の対策案を表3に示す。 ディジタル署名が付与されていない実行ファイルからの通信をEDRで遮断する。Z社の業務で 利用しているソフトウェアの実行ファイル(以下,正規実行ファイルという)には,ソフトウェ ア開発会社がディジタル署名を付与するか,自社で付与することができる。④ディジタル署名を 検証すれば,正規実行ファイルか否かを判定できる。 図4 C&C通信全般への対策案(抜粋) 表3 C&C通信の各手法への対策案(抜粋) C&C通信の手法 1|マルウェアが⑤プロキシ認証情報を究取して,プロキシ認証を|(省略) 突破し,C&C通信を行う。 2|マルウェアがパブリックDNSサービスを利用して,C&C通信|⑥FWのフィルタリング を行う。ルールを変更すること で,C&C通信を遮断す る。 3|攻撃者は,あらかじめ攻撃用ドメインを取得し,|b|を|(省略) C&Cサーバとして,インターネット上に用意しておく。マルウ ェアが,に攻撃用ドメインについての|_q|を 送信すると,がC&Cサーバに非[』]FHKE する。こうして,マルウェアはC&C通信を行う。 大量の情報を持ち出す場合,次の特徴が現れる。 ・長いホスト名をもつDNSクエリの発生 対策案は社内で承認され,対策が導入された。

共通の文章

標的型攻撃への対応に関する次の記述を読んで,設問1ユー3に答えよ。 ]社は,ビッグデータ解析を専門とする,従業員数150名の調査会社である。従業 員は,情報収集のためのWebアクセス,並びに営業活動及び情報交換のための社外 との電子メール送受信にインターネットを利用している。]」社では,情報セキュリテ ィポリシを整備して運用している。 Jet tld,20XX年3月に標的型攻撃を受け,PCがマルウェアに感染して業務サー バ上の秘密情報を外部に送信してしまった。情報システム部(以下,情シ部という) が感染状況を調査し,感染が確実なPCだけでなく,疑わしいPCも合わせて40台 のPCを初期化した。調査を始めてから初期化を完了するまでに48時間掛かり,そ の間,業務は停止せざるを得なかった。 〔標的型攻撃対策] J社は,事態が一段落したところで,情報セキュリティコンサルティング会社のK 社に,標的型攻撃への対策についてのアドバイスを求めた。K社の担当コンサルタン トである情報処理安全確保支援士(登録セキスペ)ON氏は,標的型攻撃への対応 事例を示した上で,感染予防だけでなく,感染拡大防止や情報漏えい防止の対策も 取り入れるべきであり,具体的には,マルウェアが,外部のC&C(Command and Control)サーバと通信を開始しようとする段階や,ほかの機器に感染を拡大しよう とする段階で検知し対処できれば,情報漏えいの被害を軽減できるとアドバイスし た。そこで本社は,ITサービス会社のP社が提供する監視サービス(以下,Pサー ビスという)及びマルウェア対策ソフトベンダR社が提供するマルウェア対策製品 (以下,Rシステムという)OBA,並びにインシデント対応手順など関係する規則 類の改定を決めた。作業は,情シ部のE部長の指示によって,Gさんら3名が担当 Lies Pサービス及びRシステムの導入を終えた20XX年9月時点の,」社情報システム の概要を図1に,」社情報システムの構成要素を表1に示す。また,改定後のインシ デント対応手順を図2に示す。 as fdピ FW:ファイアウォール てインターネットつツL2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチ 管理サーバ:Rシステム管理サーバ |内部システムLAN|Jet 1|ログ蓄積|内部メール|!ifーーnpWMz」 |See Pee!Get Pi |asec]|P| ||立KメーA |_—2 ec NON Lass we emanate aller say ||内部DNS業務|!利用者LAN| Lee|gees|}Caswcy 1 J社情報システムの概要 表1 J社情報システムの構成要素(抜粋) FW・ステートフルパケットインスペクション型である。 ・フィルタリングルールをもち,送信元IPアドレス,宛先IPアドレ ス,ポートによって不要な通信を拒否する。 ・日時,FWの動作,送信元IPアドレス,宛先IPアドレス,ポート, データサイズを,FWのログとして取得し,Pサービス及びログ蓄積 サーバにsyslogで送信する。 ・丁社とPサービスの間を,インターネットVPNで接続する。 業務サーバ及びPC|V社製のマルウェア対策ソフトを導入しており,次のように設定してい る。 ・マルウェア定義ファイルを,起動時及び起動後1時間ごとにV HO Webサーバからダウンロードし,更新する。 ・ファイルの読み書き時にリアルタイムスキャンを行う。 ・毎週,月曜日の昼の12時にフルスキャンを開始する。 ・マルウェア定義ファイルのダウンロード及び更新,並びにフルスキャ ンは,いつでも手動で実行できる。 Rシステム・管理サーバ及びエージェントプログラムによって構成される。 ・エージェントプログラムは,PC及び業務サーバに導入している。全 てのプロセスの生成から終了までの動作,実行したプログラムのハッ シュ値並びに通信の宛先のIPアドレス及びポートを,ログ(以下,R システムで取得するログをRログという)として取得し,ログ蓄積サ ーバにsyslogで送信する。 J社が社内外からマルウェアのハッシュ値を入手し,管理サーバに登 録すると,エージェントプログラムは,そのマルウェアの実行を禁止 する。 ・管理サーバには,ログ鞭積サーバに保存されたRログを検索する機能 があり,情シ部員は,Rログをマルウェアのハッシュ値で検索するこ とによって,そのマルウェアが実行された痕跡があるかどうか調査す るごとができる。 表1 J社情報システムの構成要素(抜粋)(続き) 構成要素 ・syslogで送信された,FWのログ及びRログを蓄積して保存する。 Pサービス・Pサービスでは,受信した本社のFWのログを分析する。ただし,FW のログは蓄積しない。過去に遡っての分析は行わない。 ・ログの分析によってC&Cサーバへの通信を検知すると,情シ部員に 電子メール及び電話で通知する。 ・通知する内容は,C&Cサーバへの接続日時,送信元のIPアドレス, 宛先のC&CサーバのIPアドレス,ポート及びデータサイズの5項目 である。 情シ部員が実施する手順 (1)Pサービスからの通知を基に,C&Cサーバと通信したPC(以下,不審PCという)を特定 する。 (2)不審PCの電源が入っていれば,電源を入れたままにしておく。 (3)不審PCに接続しているLANケーブルを抜き,利用者LANから切り離す。 (4)Pサービスから通知を受けた通信の宛先のC&CサーバのIPアドレスについては,そのIP アドレスへの通信を拒否するフィルタリングルールをFWに登録する。 (5)Pサービスから通知を受けたデータサイズを基に,情報漏えいのおそれがあるかどうかを判 断する。 (6)ログ革積サーバにあるRログを調査し,マルウェアを特定する。 (7)マルウェアが特定できた場合は,そのハッシュ値を管理サーバに登録し,そのマルウェア の実行を禁止する。 (8)不審PCからの情報漏えいの可能性が高いと判断した場合は,外部の専門業者に不審PCの メモリやストレージの調査及び分析を依頼する。 9)(1)て(8)が終了したら,不審PCを必ず初期化する。その後,必要なアプリケーションソフ トウェアをインストールして従業員に再配付する。 図2改定後のインシデント対応手順(抜粋) [セキュリティインシデントの検知と対応〕 PサービスとRシステムを導入して数週間が経過した20XX年10月8日,C&Cサ ーバへの通信を検知したという通知をPサービスから受け,Gさんは図2の手順に 従って対応した。Gさんによるインシデントト対応の記録を表2に示す。 表2 Gさんによるインシデント対応の記録(抜粋) Pサービスから,本社内のIPアドレスからC&Cサーバへの通信を検知したという 通知を受けた。通知内容は次のとおりであった。 C&Cサーバへの接続日時20XX年10月8日13:17:15 13:27送信元のIPアドレス192.168.1.20 宛先のC&CサーバのIPアドレスwl.x1.y1.z1 ポート80/tcp データサイズ200バイト 13 IPアドレス管理台帳で192.168.120を調べると,営業部の従業員しさんのPC ,(以下,L-PCという)であった。 Lさんに電話を掛け,L-PCの電源を入れたまま,L-PCからLANケーブルを抜く 13:49 sss ok ように指示した。 宛先がwlx1y1.z1の通信を拒否するフィルタリングルールをFWに登録した。 1 FWのログを確認したところ,Pサービスからの通知のとおり,C&Cサーバに送 -信しているデータサイズは200バイトであった。 13:17:15前後のRログを確認して,C&Cサーバに接続したプログラムをマルウェ 14:42アMとして特定した。同時にL-PC上で,表3のコマンドがマルウェアMによっ て,実行されていたことが判明した。 マルウェアMのハッシュ値を管理サーバに登録した。 注りwlx1.y1.z21はグローバルIPアドレスである。 表3 L-PC上で実行されていたコマンド(抜粋) コマンド想定される想定される攻撃者の目的 攻撃フェーズ diva探索活動秘密情報を含むファイルやフォルダを 発見するために一覧を取得する。 Gさんは,ここまでの対応を報告書にまとめて,部長に提出した。 〔【インシデント対応手順の改善] 報告書を読んだE部長は,他社での標的型攻撃への対応事例と比較すると,対応 が不十分であると考えた。次は,E部長とGさんの会話である。 E部長:ほかにもマルウェアMに感染したPC又はサーバがある場合を想定する必 要があるのではないか。 Gさん:13:27以降,Pサービスから新たな通知は来ていません。感染したのは,L- PCだけと考えてよいのではないでしょうか。 E部長:13:17:15より前の,ログ薔積サーバ中のFWのログに| e|が含まれ ているかどうかを確認する必要がある。 Gさん:分かりました。早速確認します。 E部長:ただし,OPC又はサーバの状態によっては,FWのログを使った確認では マルウェアMに感染していることを検知できないことがあるので,ORV グを使った確認もする必要がある。 Gさん:分かりました。 Gさんは,ログを確認し,感染したPC又はサーバは,ほかに発見されなかったと いう結果を部長に報告した。E部長は,マルウェアに感染したPC又はサーバを特 定するためのログの調査手順を,インシデント対応手順に追加するようGさんに指 示した。これによって,社ではインシデント対応手順を更に改善することができた。 i =1B.