情報処理安全確保支援士 2021年 春期 午後I 問題

共通の文章

認証システムの開発に関する次の記述を読んで,設問1一4に答えよ。 S社は,従業員10名のベンチャー企業である。S社のファイル共有サービス(以 下,Sサービスという)は機能が豊富であり,登録会員(以下,S会員という)の数 を伸ばしている。 Sサービスでは,利用者認証されたS会員が写真などのファイルを自身に割り当て られたフォルダにアップロードできる。さらに,当該ファイルにアクセスするため のURLを電子メールなどで他者に示すことによって,当該ファイルを他者と共有で きる。また,Sサービス内でメッセージや“いいね"を送信できる。 Sサービスの企画,開発及び運用は,CTOのF氏が取り仕切っており,そのうち, 開発と運用は,F氏の指示の下,S社エンジニア2名が行っている。Sサービスは, 外部セキュリティ企業による脆弱性診断を随時受けている。 [Sサービスの改修] 前回の脆弱性診断では,利用者IDとパスワードを用いて利用者認証するSサービ スの認証モジュール(以下,S認証モジュールという)の認証方式を,多要素認証に する方がよいとのアドバイスを受けたが,その対処が課題でわった。そこで,F Kid, 認証及び認可を提供するSNS(以下,認証認可提供SNSという)のうち,多要素認 証などの機能をもつT社のTサービスとSサービスとをID連携する改修をCEOの X氏に提案した。その改修によって,S認証モジュールを用いないS会員の登録と多 要素認証の実現を目指す。ただし,今回の改修でのID連携では,既存のS会員は対 象とせず,新規登録のS会員だけを対象とする。改修後も当面は既存のS会員の認証 のために,S認証モジュールも継続して稼働させる。 F氏は,OS認証モジュールの代わりにTサービスとのID連携を利用することに はどのような利点と欠点があるかをX氏に説明した。X氏は,ID連携技術に詳しい 情報処理安全確保支援十(登録セキスペ)OY REM SIIB,実装の最終段 階でのレビューを受けることを前提に,Sサービスの改修を承認した。 今回の改修では,OAuthのAuthorization Code Grantを採用する。OAuthは,誰証認 可提供SNSと認可情報を送受信するためのプロトコルの一つである。OAuthを用い た認可における三つの主体の説明を図1に,認可のシーケンスを図2に示す。 利用者:Tサービスのアカウントをもち,S会員の登録を希望する者(以下,S会員登録希 BHEWS)及び登録された会員である。 Sサービス:サービスでのアカウント名を要求する。 Tサービス:褒証認可提供SNSである。図3にポす権限を提供する。 注記Tサービスのアカウント名は変更できない。 図1 OAuthを用いた認可における三つの主体の説明 利用者 (あ)利用開始 (い)認可の要求 リダイレクト(|(う)認可の要求 (A)設証.権限付与の確認。|""| し(お)航可コード=。。。。|]1{tnt〔Q〔プオプ リダイレクkK(か)認可コード (き)アクセストークンの要求 CS)アクセスドークン (け)アカウント名の要求 (こ)アカウント名 注記Sサービスは,8会員登録希望者による利用の初回に,8会員登録希望者がログイン中のT サービスから取得したアカウント名UAE,TIDという)をSサービス内に登録する。Tサ ービスにログインしていなり場合はログインが促される。2回目以降のSサービスの利用の 場合初回に登録されたTADを確認する。 図2 OAuthを用いた認可のシーケンス (ア)他の利用者の投稿に対し“いいね"を送信する権限 (イ)他の利用者へのメッセージを送信する権限 (ウ)利用者の代わりに投稿する権限 1(エ)利用者のアカウント名,電子メールアドレスなど登録情報を取得する権限 [ 図3 T「サービスが提供する権限 図2のシーケンスにおいて,| 』|]は,|b|が提供するリソースにア クセスできる。それは|<|が,図3に示す権限を[|』|に与えるからで ある。|c|は[| 』|に与える権限を図2中の|々|の通信の際に 確認する。図3のうち,どの権限を要求するかは,| 』の実装者が決定する。 S社では,要求した権限のいずれかーつでも,|<|が与えることを拒否する 場合は,シーケンスを止めるように実装することにした。 なお,Sサービスでは,将来どの権限も利用すると考え,図3の全権限を要求する ーー3= ことにした。 次に,サービスとSサービスとのID連携について,実装の最終段階でY氏のレ ビューを受けた。Y氏はセキュリティ上の問題を三つ指摘した。 [一つ目の問題 Y氏は.一つ目の間題を,次の攻撃シナリオで説明した。 わな Sサービスにログインしていない利用者が攻撃者の用意した罠サイトにアクセスす ると,図4中に示すシーケンスXが走り,後に,②利用者が攻撃を受けているとは知 らずにSサービスにファイルをアップロードすると,そのファイルを攻撃者にダウン ロードされてしまうおそれがある。 罠サイトへの アクセス 利用開始 リダイレクト(|認可の要求。|y 認証,権限付与の確認||』 認可コード。。||シ リダイレク(iors a La|の xX ||ファイルのァップロードoa 図4攻撃のシーケンス この対策として,RFC 6749は,図2のシーケンスで,推測困難な値であるstateパ ラメタを利用することを推奨している。Sサービスはstateパラメタを|8|を 送信する際に付与する。Sサービスは| y|を受信する際に,そのセッション が,stateパラメタを付与した際の|8|のセッションと同一であるか否かを確 認する。同一である場合だけシーケンスを続ける。 ーー4— [ニニつ目と三つ目の問題〕 ニニつ目の問題は,⑧SサービスがTサービスに要求する権限が必要最小限のものに なっていないことである。この問題については,要求する権限を一つだけにした。 三つ目の問題は,Tサービスに深刻な脆弱性が報告された場合の対応方法を決めて いなかったことである。この問題については,TサービスとのID連携を一時的に停 ikl,認証モジュールだけで認証することにした。REL,このとき@一部の8S会 員はSサービスを利用できなくなるので,対象のS会員向けに代替策を検討すること だもだ。 〔利用者認証の実現について〕 X氏は,全面改修してS認証モジュールを停止した後の利用者認証の実現方式につ いてY氏に確認した。Sサービスは利用者を直接認証していないが,OSサービスは, 登録されたS会員をどのように利用者認証しているかを,Y氏はX氏に解説した。 S社では,Y氏から指摘された問題を解決した後,イサービスとSサービスとのTD 連携を開始した。

共通の文章

ネットワークのセキュリティ対策に関する次の記述を読んで,設問1,2に答えよ。 A社は,従業員500名の中規模の小売業であり,インターネットを介して消費者向 けに商品を宣伝している。A社のネットワークは,同社の情報システム部(以下,情 シ部という)の葉部長とM主任を含む7名で運用している。A社のネットワーク構 成を図1に,図1中の主な機器とその概要を表1に示す。 FW:ファイアウォール こインターネットつL2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチ 「DMZ||内部DNSサーバ このニーローニーニコニーーつやここーーーーーーーーーーーーーーー、ーーーーーーーーーーーーーーーーー| !| 3 irssw内部サーバセグメント: A社ダメント) 注記DMZの機器にはグローバルIPアドレスを割り当てている。 図1 A社のネットワーク構成 表1図1中の主な機器とその概要 消費者向けの商品の宣伝に使用されている。 プロキシサーバPCから公開Webサーバ及びインターネット上のWebサーバへのHTTP及 びHTTPS通信を中継している。 社内外との電子メールの送受信に使用されている。 外部DNSサーバリ|A社ドメインの権威DNSサーバ及び再帰的な名前解決を行うフルサービス リゾルバ9?として使用されている。 内部サーバセグメントのゾーン情報の管理に使用されている。 PC A社の従業員が使用している。Webブラウザには,公開Webサーバ及びイ ンターネット上のWebサーバにアクセスできるように,プロキシの設定が 適切にされている。 注記1 A社では,インターネットドメイン名a-sha.cojjpを取得しており,レジストラとしてX 社を利用している。 注記2公開Webサーバ及びインターネット上のWebサーバの名前解決は,プロキシサーバが外 部DNSサーバに問い合わせる設定になっている。 3°DNSサーバ用のOSSであるDソフトを使用している。 29フルサービスリゾルバとしては,プロキシサーバとメールサーバが使用している。 FWのフィルタリングルールを表2に示す。 デコ7ーー 表2 FWのフィルタリングルール |6|インターネット|外部DNSサーバ|DNS|許可| |8|PCセグメント|メールサーパ|SMTP.POPS|al Poe[aT 注記1 FWは,ステートフルパケットインスペクション型である。 注記2項番が小さいルールから順に,最初に一致したルールが適用される。 注記3項番9こ13には,DNSに関するルールは記述されていない。 ぜい、 ある日,Dソフトの脆弱性を悪用したDoS攻撃で同業他社が踏み台になったとい うニュースが配信された。情シシ部では,脆弱性情報が公開されると,CVSSの値を参 考にして自社への影響を評価し,影響が大きいケースでは,早期に脆弱性修正プロ グラムを適用している。今回の攻撃に使われたDソフトの脆弱性に対する修正プロ グラムは既に適用されていた。A社では,今回のニュースを契機に,DNSにおけるリ スクと対策の検討を,M主任を中心に行うことにした。 [リスクと対策の検討] M主任は,まず,DA社の外部DNSサーバがサービス停止になった場合の影響を 確認した。次に,外部DNSサーバが攻撃を受けるリスク及び外部DNSサーバにおけ るその他のリスクを調査し,外部DNSサーバが攻撃を受けるリスクについて,ES ものを三つ挙げた。 ーつ目のリスクは,踏み台になるリスクである。表1及び表2の構成では,攻撃者 は,@送信元のIPアドレスを偽装した名前解決要求を外部DNSサーバに送ることに よって,外部DNSサーバを踏み台とし,攻撃対象となる第三者のサーバに対し大量 のDNSパケットを送り付けるというDoS攻撃を行える。そこで,外部DNSサーバ を廃止した上で,DNS-KとDNS-FというDNSサーバをDMZ上に新設し,権威DNS サーバの機能をDNS-Kに,フルサービスリゾルバの機能をDNS-Fに移行することを ーー8ーー 考えた。これと併せて,FWのフィルタリングルールを表3のように変更することで ーつ目のリスクへの対策となる。 表3変更後のFWのフィルタリングルール Ps 7クーォト[Ee fos人[暫」 注記項番5,6以外は,表2と同一である。 ニニつ目のリスクは,DNSキャッシュポイズニング攻撃によるリソースレコードの 改ざんのリスクである。DNSキャッシュポイズニング攻撃が成功すると,攻撃対象 のフルサービスリゾルバが管理するリソースレコードのうち,メールサーバの レコードのIPアドレスが,例えば攻撃者のメールサーバのものに書き換 えられてしまい,電子メールが攻撃者のサーバに送信されてしまう。この攻撃への 対策として,M主任は,三つの対策を考えた。一つ目の対策は,一つ目のリスクヘへ の対策を流用することである。二つ目の対策は,送信元ポート番号を|q|+ る対策である。Dソフトでも可能である。三つ目の対策は,|e|といぅ技術 の利用である。この技術は,DNSサーバから受け取るリソースレコードに付与され たディジタル署名を利用して,リソースレコードの送信者の正当性とデータの完全 性を検証するものである。ただし,この技術は,運用として,鍵の管理など新たな 作業が必要になる。 三つ目のリスクは,中間者攻撃によるDNS通信内容の盗聴改ざんのリスクであ る。この対策の一つとして,DNS通信を暗号化するDNS over TLS(LAF,DoTとい う)という技術が標準化されている。DoTは,と| g』|間の通信を 暗号化するために開発されたものである。 これらの調査と検討を踏まえ,M主任は,外部DNSサーバが攻撃を受けるリスク, 外部DNSサーバの機能を2台のDNSサーバに移行する対策案,及び送信元ポート番 号を|q|する対策案をし部長に報告した。 a= 〔ホスティングサービス上に新設するDNSサーバの利用] M主任は,外部DNSサーバにおけるその他のリスクへの対策として,外部のホス ティングサービス上にDNSサーバを新設して利用することを検討した。 M主任は,DNSサーバの構成について,二つの案を考えた。 ーフ目の案は,外部DNSサーバを廃止した上で,DNS-KとDNS-FというDNSサ ーバをDMZ上に,DNS-SというDNSサーバをX社のホスティングサービス上に新 RL,③⑧プライマリの権威DNSサーバの機能をDNS-Kに,セカンダリの権威DNS サーバの機能をDNS-Sに移行しフルサービスリゾルバの機能をDNS-Fに移行する ものである。M主任は,DNS-KとDNS-Sのゾーン情報を同期するために,DNS-Kで のゾーン転送の内容を示す設定ファイル,正引きゾーンファイル,逆引きゾーンフ ァイルを設定することにした。M主任が設定することにしたDNS-Kの正引きゾーン ファイルを図2に示す。 なお,X社のホスティングサービスに用いるドメイン名はx-sha.co.jp,DNS-Sのホ スト名はdns-s CHS, @IN SOA dns-k.a-sha.cojp.admin.dns-k.a-sha.cojp.( (省略) ) IN NS__dns-k.a-sha.co,jp. IN NS IN MX 10[i] www IN A xLyl.z1.t2 mal IN A xlyl.zl43 図2 DNS-Kの正引きゾーンファイル(抜粋) DNS-Kのホスト名はdns-k,公開Webサーバのホスト名はwww,メールサーバの ホスト名はmail CHV,各サーバのIPアドレスはx1.y1.21.t1てx1.y1.21.13 CHS. ゾーン転送では,ゾーン情報が流出するリスクがある。M主任は,この対策とし て,DNS-KとDNS-Sについて,ゾーン転送要求に対する許可を必要最小限にするた めに,表4の設定にすることにした。 as SD= 表4ゾーン転送要求に対する許可を必要最小限にするための設定 ee ss| [eowzpx[Er|Ce] ニフつ目の案は,外部DNSサーバを廃止した上で,DNS-HK,DNS-S,DNS-HFとい うDNSサーバをX社のホスティングサービス上に新設し,プライマリの権威DNSサ ーバの機能をDNS-HKに,セカンダリの権威DNSサーバの機能をDNS-Sに,フルサ ービスリゾルバの機能をDNS-HFに移行するものである。DNS-KとDNS-FのDMZ への設置は実施しない。この案の場合,FWのフィルタリングルールを表5のように 変更する必要がある。 表5二つ目の案の場合のFWのフィルタリングルール Le 1L 5||ps|因和| 注記項番5,6以外は,表2と同一である。 その後,A社では,更に検討を進め,外部DNSサーバをX社のホスティングサー ビスに移行することにした。

共通の文章

セキュリティ運用に関する次の記述を読んで,設問1ユー4に答えよ。 G社は,従業員1,500名の製造業であり,研究開発に定評がある。従業員は,Web アクセスによる情報収集並びに電子メール(以下,メールという)による営業活動 及び情報交換にインターネットを利用している。G社では,情報セキュリティポリシ を整備して運用している。G社のシステム構成を図1に,機器及びソフトウェアの概 ぜい 要を表1に,OSの脆弱性修正プログラム(以下,セキュリティパッチという)の現 状の配信手順を図2に示す。 EDR:Endpoint Detection&Response FW:ファイアウォール こインターネットつL2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチ eSRKK和SEかーーツーニープーツーキーペーでーーペペーーペースー| !|資産管理サーバト|配信サーバ]|!し外部DNSサーバド 内部システムLANI信吉デールー |プロキシサーバ|} {Leeーーし|利用者LAN: [PC] G社!)一検証LANI 注記1全てのPC及びサーバには,固定IPアドレスが割り当てられており,PCには EDRのエージェントプログラム(WF,エージェントという)が導入されている。 注記2 G社の情報システム部(以下,情シ部という)以外の従業員には,PCの管理者 権限を付与していない。 図1 G社のシステム構成(概要) 表1 G社の機器及びソフトウェアの概要(抜粋) 機器及びソ FW・ステートフルパケットインスペクション型である。 ・フィルタリングルールをもち,送信元IPアドレス,WHIPアドレス,ポート によって通信の許可と拒否を制御する。 ・パケットの送信元IPアドレス,MHIPアドレス,ポート,データサイズとFW の動作を日時とともにFVWのログとして取得し,ログ其積サーバにsyslogで送 信する。 ・インターネットとの間の通信を許可しているのはDMZだけである。 表1 G社の機器及びソフトウェアの概要(抜粋)(続き) 機器及びソ 配信サーバ|・セキュリティパッチの適用及びソフトウェアの更新を管理する。 ・セキュリティパッチ及び更新用のソフトウェアを取得し配信する。 ・各PCは,セキュリティパッチを0Sベンダのサイトから直接ダウンロードする のではなく,配信サーバからダウンロードする。 資産管理サ|・エージェントから情報を受け取り,ソフトウェアの資産管理を行う。 ーバ・Wake on LAN(LAF,WoLという)の起動パケテットを送信する機能をもつ。 ・FW,サーバ及びエージェントから送信されるログをsyslogで受信して保存す ーバる。 EDR管理サ|・エージェントを管理する。 ーパ・社内外からマルウェアのハッシュ値を収集して登録する。 エージェン|・通信,ファイルの操作などのイベントをログとして保存する。ログは直ちにロ トグ蓄積サーバに送信されるとともに,PCにも1週間は保存される。 ・EDR管理サーバで収集されたハッシュ値を基にマルウェアを検知し,検知した マルウェアの起動を抑止する。 ・PC上で起動する全てのプロセスを監視する。指定した時間帯に指定したコマン ドが実行された場合,EDR管理サーバとの間の通信を除き,当該PCの全ての 通信を遮断する機能をもつ。 (1)OSベンダがセキュリティパッチをリリースした場合,情シ部のセキュリティパッチ担当者 (以下,パッチ担当者という)は,そのリリースノートを確認する。 (2)パッチ担当者は,セキュリティパッチを検証LANのPCに適用し,社内で利用しているア プリケーションプログラムを2日間動作させて| 。|を確認する。 (3)さらに,パッチ担当者は,新たな不具合の情報が公開されていないことを確認した上で,セ キュリティパッチを配信サーバに置く。 (4)PCは,適用すべきセキュリティパッチが配信サーバに存在するかどうかを,起動時に配信 サーバに問い合わせるように設定されている。もし,適用すべきセキュリティパッチがあれ ば,それをダウンロードし,適用する。起動中のPCは,適用状況を配信サーバに数時間ごと に通知する。 図2セキュリティパッチの現状の配信手順(抜粋) [同業他社の事例] ある日,情シ部のC主任は,同業他社のH社で発生したセキュリティインシデン トの解説記事を見付けた。解説記事の要約を図3に示す。 1)8月,HH社の1台のPC(以下,PC-Hという)がマルウェアQに感染していたことが分かっ た。 (2)各種ログから,PC-Hは外部の不審おサーバに約50Mバイトのデータを送信していたことが 分かった。PC-Hでは秘密情報が取り扱われていたことから,H社は,秘密情報が送信された 可能性が高いと判断した。 (3)マルウェアQはOSの脆記性を悪用して感染を広げる。当該肛弱性に対するセキュリティパ YF(以下,パッチQという)は,5月に0S5ベンダからリリースされており,H社では6月 までに,PC-Hを除く全PCに適用されていた。 (4)PC-Hは1月から起動されておらず,7月にPCHを起動したときには適用すべきセキュリ ティパッチが多数あった。そのため,起動後,パッチQの適用完了までに時間が掛かり,その 間にマルウェアQに感染したと推測された。 (5)調査を外部の専門業者に依頼したが,マルウェアQの感染調査に必要なログが一部しか取 得されていなかったので調査が難航し,10月まで掛かった。 (6)H社のセキュリティ運用には問題があることが分かった。 図3解説記事の要約 心配になったC主任はログを調査した。その結果,1か月以上起動していないPC が30台あることが分かった。それらのPCをこのまま数か月起動しないでおくと, PC-Hと同様の問題が発生する可能性があった。3の内容及びG社の状況を情シ部 のB部長に相談した上で,必要な対策を図4のようにまとめ,情シ部のD君ととも にそれぞれを具体化することにした。 対策1:マルウェア感染を確認したときに,感染経路及び外部に流出した情報を特定するための 手段の導入 対策2:社内におけるセキュリティパッチの配信手順の改善 図4必要な対策 [対策1) C主任は,対策1については,L2SWのミラーポートに接続するタイプのパケット 収集装置を導入し,J HO]サービスを利用して通信内容を分析すればよいと考えた。 了サービスは,インターネットVPN経由でパケット収集装置から必要なパケット情報 を取得し,その内容からセキュリティ侵害を検知するサービスである。 C主任は,1台のパケット収集装置を.,①マルウェア感染がDMZ又はどのLANで 起きてもマルウェアからインターネットへの通信が通過することになるL2SWに接続 することに決めた。 (SR 2) 次は,対策2についてのD A,C主任及びB部長の会話である。 DA:1か月間起動していないPCを自動的に起動して,セキュリティパッチが適 用されるようにすれば図3のようなセキュリティインシデントを防ぐことが できます。良い仕組みはありませんか。 C主任:当社のPCは,WoLに対応しています。WoLとは,WoLに対応したPCに対 し,特定の起動パケットを送信すると,当該PCが起動するという仕組みで す。PCを利用者LANに接続しておけば,資産管理サーバから起動パケット を送信することによって,PCを自動的に起動できます。 B部長:なるほど。では,WoLとセキュリティパッチ適用の動作検証を頼む。 D Ald,WoLの動作検証を開始した。まず,検証LANに接続されたPC-XとPC-Y を用いて試すことにした。PC-Xは起動しておき,PC-Yはシャットダウンしておいた。 その上で,PC-X PS PCYに対し,|b|に続けて,起動したいPCの を16回繰り返したデータを含む起動パケットを送信し,PCYが起動す ることを確認した。その後,資産管理サーバからPCYの起動を試みたが,起動しな Pot,主任に相談したところ,OLISWの設定を変更する必要があるという助言 を受けた。D Ald,L3SWの設定を変更し,資産管理サーバからPC-Yを起動できる ことを確認した。続いて,資産管理サーバから利用者LANに接続されたPCを起動 できることを確認し,セキュリティパッチが適用されることも確認した。 (WoLを悪用するマルウェアの衝威] WoLについて調べていたD君は,図5に示すマルウェアRの記事を見付けた。 起動していないPCをWoLを使って夜間に起動させ,次の手順で感染拡大を試みる。 (1)感染するとすぐに,③自身が動作するPCのARPテーブルから下記(2)及び(④の活動に必要な情 報を読み取って保持しておく。 (G起動しているPCに感染拡大を試みる。 (4)起動していないPCを発見したら,WoLを使ってそれらのPCを起動し,感染拡大を試みる。 図5マルウェアRの記事(抜粋) ー16一 D君は,昼間はPCが不審な振る舞いをすれば発見し対処できる可能性があるが, 夜間は多くの従業員が不在となり発見することは難しいと考えた。そこで,マルウ ZY Rに限らない,WoLを悪用するマルウェアへの対策について,C主任に相談し 7な。 C主任は,PCが夜間に不審な振る多いをしたときに,当該PCをネットワークから 隔離するという対策(以下,対策3という)を助言した。D君は,⑬対策3をG社で 導入済のシステムを用いて実現する方法を立案した。対策3は対策1及び対策2と併 せて承認された。各対策は運用を開始し,マルウェア対策が強化された。