令和3年度 秋期 情報処理安全確保支援士試験 午後Ⅰ 問1 保守用中継サーバへの不正アクセスとSSH認証・アクセス制限の強化

• 図2「顧客管理サーバの保守方法」の「保守用中継サーバに初めてSSH接続する際の接続先確認方法」において、接続時のフィンガプリント確認手順が記載されています。
• 「SSH接続する際に警告メッセージが表示され、接続が切断された場合」は、サーバから提示されたフィンガプリントが以前に確認したものから変わっていることを意味します。
• このような状況が発生する理由としては、意図したサーバのホスト鍵が変更された場合と、通信経路上で別のサーバ（攻撃者のサーバなど）に誘導されている場合が考えられます。
• したがって、接続先が本来の保守用中継サーバではない（不正なサーバである）という事象を想定する必要があります。
• 「接続先のサーバが稼働していない」といった誤解を避け、接続先の正当性の確認機能であることを理解することが重要です。

高得点のポイント

• 接続先が意図した保守用中継サーバではないという状況を正確に理解し記述していること。
• フィンガプリントが変わった場合と並ぶもう一つの状況として、接続先が保守用中継サーバではないことを表現できていること。
• 指定された「20字以内」という文字数制限を遵守していること。

• 図2「顧客管理サーバの保守方法」の「識別・認証・認可方法」によると、保守用中継サーバの利用者ID「op1」「op2」には一般利用者の権限が与えられています（下線①）。
• また、「ログ」の項目には、「保守用中継サーバでのコマンド実行及びその結果、並びに顧客管理サーバでのコマンド実行及びその結果が、保守用中継サーバ上に操作ログとして記録される」とあります。
• 続けて、「SSH認証ログ及び操作ログへのアクセスには特権利用者の権限が必要」と明記されています。
• 保守用中継サーバの利用者IDを一般利用者の権限にとどめることで、万が一これらのアカウントが不正利用された場合でも、特権権限を持たないため、自身の不正アクセスの証拠となる操作ログへのアクセス（改ざんや削除）を防止することができます。

高得点のポイント

• 操作ログの改ざんや削除の防止という目的を正確に理解し記述していること。
• 権限設定と目的の関係を論理的に説明できていること。
• 指定された「操作ログ」という字句を用い、「25字以内」という文字数制限を遵守していること。

• 表1「FWのフィルタリングルール」の項番3は、宛先が「保守用中継サーバ」、サービスが「SSH」で、動作が「許可」となっているルールです。
• 図2の「接続経路と接続方法」によると、保守PCから保守用中継サーバへSSH接続を行います。保守PCには、保守PC-A、保守PC-B、保守PC-Cがあります。
• このうち、保守PC-Bと保守PC-Cはインターネット経由で接続しますが、これは後述の項番4の対象となります。
• 一方、図1「J社ネットワーク構成（抜粋）」を見ると、保守PC-AはJ社内の「PC-LAN」に接続されており、注記1で「保守PC-A及びサーバLAN上のサーバには、固定のプライベートIPアドレスを割り当てている」と記載されています。
• したがって、内部ネットワークから保守用中継サーバへSSH接続を行う送信元は「保守PC-A」となります。

高得点のポイント

• 図1のネットワーク構成を正しく読み取り、送信元として「保守PC-A」を正確に抜き出せていること。

• 表1「FWのフィルタリングルール」の項番4は、宛先が「保守用中継サーバ」、サービスが「SSH」で、動作が「拒否 1)」となっているルールです。
• 注1には、「保守PC-B又は保守PC-Cからの保守作業の際は、事前申請に記載された作業時間帯だけ、J社のシステム管理者が“許可”に変更する」と記載されています。
• 図2の「接続経路と接続方法」によると、保守PC-B及び保守PC-Cは「スマートフォンでテザリングし、インターネットに接続する」とあります。
• また、図1「J社ネットワーク構成（抜粋）」でも、保守PC-B及び保守PC-Cは無線LANとスマートフォンを介して「インターネット」からJ社のFWへ接続される構成となっています。
• したがって、これらのPCが保守用中継サーバへアクセスする際のFWにおける送信元は「インターネット」となります。

高得点のポイント

• 保守PC-Bと保守PC-Cの接続経路を正しく読み取り、図1から送信元として「インターネット」を正確に抜き出せていること。

• 問題文の下線②は、保守用中継サーバで動作していたプログラムHが「定期的にインターネット上のサーバに通信を試みていた」という事象を指しています。
• この通信の送信元は「保守用中継サーバ」であり、宛先は「インターネット」です。
• 図1「J社ネットワーク構成（抜粋）」によると、保守用中継サーバは「DMZ」に配置されています。
• 表1「FWのフィルタリングルール」を確認すると、送信元が「DMZ」、宛先が「インターネット」に該当するルールは項番6です。
• 項番6のルールは動作が「拒否」、ログの記録が「する」となっているため、この通信は項番6のルールによって拒否され、FWログに記録されます。

• 設問は、今回のインシデントにおいて第三者が保守用中継サーバにSSH接続可能だった期間を問うものです。
• インターネットから保守用中継サーバへのSSH接続は、表1の項番4のルールにより通常は「拒否」されています。
• ただし、表1の注1にある通り、「事前申請に記載された作業時間帯だけ、J社のシステム管理者が“許可”に変更」します。
• 図3「保守作業関連書類及び各種ログの調査結果」の「事前申請及びFWの設定変更」の項目に、「保守員2から、顧客管理サーバの保守を、保守PC-Cを使って6月14日7時から9時30分に行うという事前申請が出されていた。事前申請に従って、J社のシステム管理者はFWの設定を変更した」と明記されています。
• したがって、FWのルールが変更され、外部から保守用中継サーバへSSH接続が可能だった期間は「6月14日の7時0分から6月14日の9時30分まで」となります。

高得点のポイント

• 事前申請の内容とFWの設定変更の関連を正しく把握し、期間を正確に特定できていること。
• 始まりと終わりの日時を明確に記述できていること。

• 再発防止策として導入される公開鍵認証の初期登録手順（図5）において、下線③「鍵ペアの秘密鍵には、十分な強度のパスフレーズを設定する」の目的が問われています。
• 公開鍵認証では、手元に保管する秘密鍵を用いて認証を行います。
• 万が一、保守PCがマルウェアに感染するなどして秘密鍵のファイルが外部に流出した場合、パスフレーズが設定されていなければ、誰でもその秘密鍵を使ってサーバに不正アクセスできてしまいます。
• 秘密鍵に十分な強度のパスフレーズを設定しておくことで、秘密鍵のファイルが盗まれても、パスフレーズを知らない第三者（保守員以外）は秘密鍵を悪用することができないように保護することができます。
• 講評にある通り、秘密鍵の保護機能であることを正しく理解することが求められます。

高得点のポイント

• 秘密鍵の漏洩時に不正利用を防ぐという公開鍵認証の仕組みを正しく理解していること。
• 「誰から」（保守員以外など）または「どういう状況で」（盗まれてもなど）秘密鍵の不正利用や悪用を防ぐのかを論理的に表現できていること。
• 指定された「30字以内」という文字数制限を遵守していること。

• 本インシデントは、「op1に設定されているパスワードが、推測の容易な文字列である」（図4）ことに起因し、第三者がパスワードを推測して不正アクセスした可能性が高いと判断されています。
• これに対する再発防止策として、図5ではSSH接続の認証方式を公開鍵認証に変更しています。
• しかし、SSHサーバ側で公開鍵認証を有効にしても、従来のパスワード認証が有効なままであれば、攻撃者は引き続きパスワード推測によるアクセスを試みることができます。
• したがって、公開鍵認証を有効にするとともに、脆弱な認証方式であるパスワード認証を無効にする必要があります。

高得点のポイント

• 公開鍵認証導入時に、以前の脆弱な認証方式を無効化する必要性を理解していること。
• リスクを排除するための対象として「パスワード認証」を正確に指定できていること。
• 指定された「10字以内」という文字数制限を遵守していること。

• 会話文の中で、S氏は「顧客管理サーバへのSSH接続に必要な [ e ] を利用されないように、保守用中継サーバに保存しない運用にしましょう」と提案しています。
• 新しい認証方式として公開鍵認証が導入されるため、サーバ（顧客管理サーバ）へ接続するためにはクライアント側に秘密鍵が必要です。
• 通常、踏み台サーバ（保守用中継サーバ）から目的のサーバへSSH接続する場合、踏み台サーバ上に秘密鍵を置くことになりますが、これでは踏み台サーバが乗っ取られた際に秘密鍵も不正利用されるリスクがあります。
• SSH Agent Forwarding機能を使用すると、手元の保守PCにある秘密鍵の認証情報を踏み台サーバ経由で転送できるため、保守用中継サーバ上に秘密鍵を保存せずに済むようになります。
• したがって、保存しないようにするのは「秘密鍵」となります。

高得点のポイント

• 公開鍵認証においてクライアント側に必要となる鍵が「秘密鍵」であることを正確に理解していること。
• SSH Agent Forwarding機能の文脈から、保護（サーバに保存しない）すべき対象を適切に特定できていること。
• 指定された「5字以内」という文字数制限を遵守していること。

• 本インシデントでは、保守PC-Cからの接続許可のためにFWの設定を変更した時間帯に、不正なグローバルIPアドレスから保守用中継サーバにSSH接続されてしまいました（図3）。
• 図2の「接続経路と接続方法」にある通り、保守PC-B及び保守PC-Cはスマートフォンのテザリングでインターネットに接続するため「固定のグローバルIPアドレスは付与されない」状況でした。
• そのため、表1の項番4のルールを「許可」にする際、特定のIPアドレスに絞ることができず、インターネット全体からの接続を許可せざるを得ませんでした。
• 再発防止策として、「保守PC-B及び保守PC-Cを、VPN装置を介して又は直接、M社内のネットワークに接続させた後に、インターネット経由で保守用中継サーバにアクセスさせる」仕組みが提案されています。
• この構成にすることで、インターネット上の通信の起点がM社のネットワークとなり、送信元IPアドレスを固定にする（M社の固定グローバルIPアドレスを利用する）ことができます。
• これにより、FW（項番4）のルールで特定の送信元IPアドレスのみを許可する強固な制限が可能になります。

高得点のポイント

• M社内ネットワークを経由させることで、インターネット経由のアクセス時に送信元IPアドレスが固定化される仕組みを理解していること。
• FWでのアクセス制限（送信元の特定）を可能にする条件として論理的に説明できていること。
• 指定された「20字以内」という文字数制限を遵守していること。