令和6年度 秋期 情報処理安全確保支援士試験 午後 問1 エンドポイントログのインシデント調査
この問題は2024(R6)秋 情報処理安全確保支援士 午後に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
学習ガイド
ソフトウェア開発会社で発生したインシデントへの対応を題材に、エンドポイントのログ解析力を試す情報処理安全確保支援士の問題です。フォレンジックツールの出力ファイルから感染端末・悪用アカウントを特定し、暫定対策と追加調査を組み立てる流れは、実務のインシデントレスポンスそのものです。この記事では、ログの断片から攻撃の時系列を再構成する手順を軸に、各空欄の根拠となる証拠の場所を示します。
この記事で押さえる論点
- フォレンジックツールの出力からマルウェアの活動痕跡を特定する
- 侵害拡大(横展開・権限奪取)の経路をホスト名・アカウント名で追跡する
- 暫定対策と追加調査を被害範囲の仮説に基づいて立案する
出題情報
- 出題
- 2024(R6)秋 情報処理安全確保支援士 午後 問1
- 配点
- 50点満点
- 模範解答
- 公表(設問ごとに掲載)
出題趣旨・採点講評(IPA 公表)
サイバー攻撃はエンドポイントへの侵入から始まることが多い。攻撃者は，マルウェアを仕掛けた後に，より高い権限の奪取を試みたり，ほかのエンドポイントを探索したりする。そのため，エンドポイントのセキュリティ対策としてログの分析が重要になってきている。インシデント発生時に迅速に対応するためには，どのような攻撃を受けているのかをログから推測・確認する対応力が必要となる。本問では，ソフトウェア開発会社の社内システムの運用及びインシデント対応を題材として，ログを解析する能力及び技術的対策を立案する能力を問う。
問1では，ソフトウェア開発会社の社内システムの運用及びインシデントレスポンスを題材に，ログを調査する能力及び技術的対策を立案について出題した。全体として正答率は平均的であった。
問題本文
問1 インシデントレスポンスに関する次の記述を読んで，設問に答えよ。
L社は，従業員100名のソフトウェア開発会社である。L社の社内システムは，情報システム部（以下，情シス部という）が，運用及びインシデント対応を行っている。
L社は，E社のSaaSを使用している。L社のネットワーク構成を図1に，図1の各構成要素の仕様，機能及び利用方法を表1に示す。
図の説明テキスト
L社のネットワーク構成（抜粋）を示す図。
インターネットを介してE社SaaSとL社が接続されている。
- E社SaaS: プロキシサービス、マルウェア対策サービス、メールサービス、DNSサービスが含まれる。
- L社: FW（ファイアウォール）を境界とし、インターネットとL3SWが接続されている。
L3SWには以下の4つのLANが接続されている。 - オフィスLAN: L2SW、AP（無線LANアクセスポイント）、シンクライアントPCを含む。
- 仮想環境LAN: L2SWと仮想環境（仮想スイッチ、複数の仮想PCを含む）を含む。
- サーバLAN: L2SW、ドメインサーバ、ファイルサーバを含む。
- サポートLAN: L2SW、バックアップサーバ、保守用PCを含む。
図の下部には、各略語（FW, L2SW, L3SW, AP）の正式名称と、仮想環境（物理サーバ上で仮想スイッチと複数の仮想PCを稼働させる環境）の説明が記載されている。
図の説明テキスト
表1 図1の各構成要素の仕様，機能及び利用方法（抜粋）
| 構成要素 | 仕様，機能及び利用方法 |
|---|---|
| ドメインサーバ | ・ドメイン名 ad01 という L 社の社内ドメインを管理する。 ・L 社の各従業員には一つのドメインユーザーが割り当てられている。 ・ドメインユーザーが登録されており，プロキシサービス，メールサービス，L 社内のサーバ，仮想 PC 及び保守用 PC（以下，L 社内のサーバ，仮想 PC 及び保守用 PC を L 社内ホストという）にログオンする際の利用者認証に利用される。 ・ログオンは，ドメインユーザーの利用者 ID とパスワードで行う。 |
| プロキシサービス | ・専用のプログラム（以下，Q プログラム 1) という）を L 社内ホストにインストールする必要がある。Q プログラムがドメインサーバに接続され，ドメインユーザーが認証されると，利用可能になる。 ・Q プログラムがインストールされた L 社内ホストからインターネットへの HTTP 通信及び HTTPS 通信を全て中継する。 ・HTTPS 通信を復号して URL フィルタリング機能を適用し，再暗号化することができる。 ・URL フィルタリング機能では，ドメインユーザーごとに指定された URL へのアクセスを許可又は拒否することができる。 - 次の 3 種類のリストがあり，上から順に URL フィルタリングが適用される。 ・管理者許可リスト：管理者が設定できる。アクセスが許可される URL のリストである。“全て”と記載すると，全ての URL へのアクセスが許可される。何も設定しないとリストは無視される。 ・管理者拒否リスト：管理者が設定できる。アクセスが拒否される URL のリストである。“全て”と記載すると，全ての URL へのアクセスが拒否される。何も設定しないとリストは無視される。設定された URL へのアクセスが拒否されたときは，情シス部にアラートメールが送付されるように設定している。 ・ベンダー拒否リスト：E 社から日次で提供される。アクセスが拒否される URL のリストであり，マルウェア感染などのカテゴリがある。アクセスが拒否された URL がマルウェア感染のカテゴリに一致したときは，情シス部にアラートメールが送付されるように設定している。 - どのリストにも該当しない場合は，アクセスは許可される。 ・管理用の Web ページから，各種設定の変更と通信ログの確認ができる。 |
| マルウェア対策サービス | ・L 社内ホストに導入しているマルウェア対策ソフトを管理する。 ・管理用の Web ページから，各種設定の変更，マルウェア定義ファイルの適用状況の確認，マルウェア対策ソフトの稼働状況の確認及びマルウェア検知のログの確認ができる。 ・マルウェアが検知されたときは，情シス部にアラートメールが送付される。 |
図の説明テキスト
表1 図1の各構成要素の仕様，機能及び利用方法（抜粋）（続き）
| 構成要素 | 仕様，機能及び利用方法 |
|---|---|
| 仮想PC | ・L社の従業員には，一人1台割り当てられている。 ・従業員がシンクライアントPCからRDPで接続して利用する。 ・従業員が利用するアカウントは，ドメインユーザーであり，仮想PC上のローカルアドミニストレーター権限をもっている。 ・各ドメインユーザーは，割り当てられた仮想PCにだけログオンできる。 ・ホスト名はPC-x 2)である。 ・マルウェア感染が確認された場合，情シス部が仮想環境の仮想スイッチから切り離し，感染拡大を防ぐ。 |
| ファイルサーバ | ・L社の顧客情報，設計書など，社外秘に指定されている情報（以下，社外秘情報Lという）を保管する。 ・社外秘情報Lは，仮想PCには保管せず，ファイルサーバに保管するルールにしている。 ・利用時はドメインサーバでの認証が必要である。 ・ホスト名はfilesvである。 |
| 保守用PC | ・L社内のサーバと仮想PCを保守するための専用のPCである。インシデント発生時は本PCで調査を行う。 ・保守用ツールのほか，ネットワークトラフィック調査及びフォレンジック用のツールがインストールされている。 |
注1) HTTP及びHTTPS通信をプロキシサービスに送り，そのログを取得する機能をもつ。
注2) xには，英大文字が1字以上入る。
〔ツールの開発〕
情シス部のX主任とYさんは，インシデント対応時にログの調査に手間どらないように，証拠データを収集するツール（以下，Fツールという）を開発することにした。Fツールの概要を図2に示す。
図の説明テキスト
図2 Fツールの概要（抜粋）
■機能
・インシデント対応時に1台の仮想PC上で，インシデント対応に必要なログ，レジストリなどの証拠データを収集元から収集し，表2に示す出力ファイルを出力する。
・証拠データの収集元及び保存先並びに出力ファイルの出力先は，設定ファイルで指定する。
■使い方
・仮想PCが稼働しているときは，仮想PC上で実行する。
・仮想PCが稼働していないときは，保守用PCに仮想PCのディスクイメージをコピーしてマウントし，保守用PC上で実行する。
図の説明テキスト
表2 Fツールの出力ファイル
| ファイル名 | 記載される内容 |
|---|---|
| file.csv | ファイルの生成，参照，更新，削除及び実行のログ |
| srv.csv | サービス及びタスク 1) の登録，削除，開始及び停止のログ |
| auth.csv | 認証 2) の成功と失敗，アカウントの作成，特権の利用，イベントログの消去などのログ |
| net1.csv | Qプログラムのログ |
| net2.csv | プロセスごとの1時間のネットワーク送受信量の記録 |
| time.csv | file.csv, srv.csv, auth.csv, net1.csv を結合して時刻順に並べ替えたもの |
| 注1) 決められたスケジュール及び指定したイベントをトリガーに実行されるプログラム | |
| 注2) 対話型，ネットワーク，サービス，RDP など，ログオンの種類も記録される。 |
〔インシデント発生時のFツール活用〕
12月6日，情シス部のYさんは，プロキシサービスからアラートメールを受信した。Yさんが，アラートメールを確認したところ，PC-Aが，https://〇〇〇.com/にアクセスしようとしてアクセスが拒否されたこと及びそのURLがベンダー拒否リストのマルウェア感染のカテゴリに一致したことが分かり，上司のX主任に報告した。
PC-Aが割り当てられている従業員に連絡した上で，X主任は，PC-Aを一旦，仮想スイッチから切り離してFツールを実行し，Fツールの出力ファイルとプロキシサービスの通信ログから，https://〇〇〇.com/にアクセスした原因を調査するようにYさんに指示した。
PC-AでのFツールの出力ファイルのうち，time.csvを表3に，net2.csvを表4に，プロキシサービスの通信ログのうち送信元がPC-Aであるものを表5に示す。
図の説明テキスト
表3 PC-A の time.csv (抜粋)
| 日時 | 事象 | ファイル名 |
|---|---|---|
| 12/04 22:12:28 | https://○○search.com/に接続を試みた。 | net1.csv |
| 12/04 22:20:34 | https://△△△.com/に接続を試みた。 | net1.csv |
| 12/04 22:32:48 | i.ps1 が作成された。 | file.csv |
| 12/04 22:33:12 | i.ps1 が PowerShell で実行された。 | file.csv |
| 12/04 22:33:21 | “タスク名：install”が登録された。 | srv.csv |
| 12/04 22:33:22 | “タスク名：install”が実行された。 | srv.csv |
| 12/04 22:33:25 | https://△△△.com/に接続を試みた。 | net1.csv |
| 12/04 22:34:28 | VSCAN_SVC 1) が停止された。 | srv.csv |
| 12/04 22:38:12 | D ドライブのファイルが参照された。 | file.csv |
| （省略）2) | ||
| 12/04 22:42:06 | ¥¥filesv のファイルが参照された。 | file.csv |
| （省略）3) | ||
| 12/04 22:59:07 | s.rar が作成された。 | file.csv |
| 12/04 23:00:05 | https://△△△.com/に接続を試みた。 | net1.csv |
| 12/04 23:10:05 | s.rar が削除された。 | file.csv |
| 12/04 23:31:15 | PC-A からドメインサーバに，ad01¥user019 で RDP 接続が失敗した。 | auth.csv |
| 12/04 23:32:05 | PC-A から PC-B に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:32:16 | PC-A から PC-B に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:32:22 | PC-A から PC-B に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:32:35 | PC-A から PC-C に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:32:51 | PC-A から PC-C に，.¥administrator で，RDP 接続が許可された。 | auth.csv |
| 12/04 23:35:01 | PC-A から PC-D に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:35:17 | PC-A から PC-D に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:35:21 | PC-A から PC-D に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:35:36 | PC-A から PC-E に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:35:45 | PC-A から PC-E に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:35:52 | PC-A から PC-E に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:36:02 | PC-A から PC-F に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:36:15 | PC-A から PC-F に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:36:24 | PC-A から PC-F に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:37:35 | PC-A から PC-G に，ad01¥user019 で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:37:49 | PC-A から PC-G に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| 12/04 23:37:54 | PC-A から PC-G に，.¥administrator で，RDP 接続が失敗した。 | auth.csv |
| （省略）4) |
図の説明テキスト
表3 PC-A の time.csv（抜粋）（続き）
| 日時 | 事象 | ファイル名 |
|---|---|---|
| 12/05 22:34:05 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/05 23:34:05 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/06 00:34:05 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/06 01:34:04 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/06 02:34:03 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/06 02:34:04 | https://○○○.com/に接続を試みた。 | net1.csv |
| 12/06 02:34:05 | https://□□□.com/に接続を試みた。 | net1.csv |
| 12/06 03:34:05 | https://□□□.com/に接続を試みた。 | net1.csv |
| 12/06 04:34:05 | https://□□□.com/に接続を試みた。 | net1.csv |
| 12/06 05:34:04 | https://□□□.com/に接続を試みた。 | net1.csv |
| 注記1 アカウント名の表記は domainhost¥userNNN としている。domainhost にはドメイン名又はホスト名が，userNNN には利用者 ID がそれぞれ入る。ただし，domainhost が“.”の場合は，userNNN は仮想PC のローカルユーザーであることを示す。 | ||
| 注記2 12/04 22:33:25 から 12/05 22:34:05 の間に発生した https://○○○.com/への接続試行ログは省略している。 | ||
| 注1) マルウェア対策ソフトのサービス名である。 | ||
| 注2) D ドライブのファイルの参照ログだけである。 | ||
| 注3) ¥¥filesv のファイルの参照ログだけである。 | ||
| 注4) RDP 接続の失敗ログだけである。 |
図の説明テキスト
表4 PC-A の net2.csv（抜粋）
| 日時 | プロセス | ネットワーク送受信量(Mバイト) |
|---|---|---|
| 12/04 23:05:40 | Web ブラウザ | 4.5 |
| 12/04 23:05:40 | C:¥(省略)¥powershell.exe | 810.0 |
| 12/05 00:05:40 | C:¥(省略)¥powershell.exe | 196.0 |
| (省略) 1) | ||
| 12/06 00:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 12/06 01:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 12/06 02:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 12/06 03:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 12/06 04:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 12/06 05:05:40 | C:¥(省略)¥powershell.exe | 0.1 |
| 注記 プロセスごとの，毎時5分40秒までの1時間のネットワーク送受信量の記録である。 | ||
| 注1) C:¥(省略)¥powershell.exe のネットワーク送受信量の行だけである。 |
図の説明テキスト
表5 プロキシサービスの通信ログのうち送信元がPC-Aであるもの（抜粋）
| 日時 | 利用者 ID | 宛先 | 宛先ポート番号 | フィルタアクション | 送受信量(Mバイト) |
|---|---|---|---|---|---|
| 12/04 22:12:28 | ad01\user019 | https://〇〇search.com/ | 443 | 許可 | 1.0 |
| 12/04 22:20:34 | ad01\user019 | https://△△△.com/i.ps1 | 443 | 許可 | 2.0 |
| 12/04 22:33:25 | ad01\user019 | https://△△△.com/v/q.ps1 | 443 | 許可 | 4.0 |
| 12/04 23:00:05 | ad01\user019 | https://△△△.com/v/upl | 443 | 許可 | 511.0 |
| 12/04 23:34:02 | ad01\user019 | https://〇〇〇.com/ | 443 | 許可 | 0.1 |
| (省略) 1) | |||||
| 12/05 22:34:05 | ad01\user019 | https://〇〇〇.com/ | 443 | 許可 | 0.1 |
| 12/05 23:34:05 | ad01\user019 | https://〇〇〇.com/ | 443 | 許可 | 0.1 |
| 12/06 00:34:05 | ad01\user019 | https://〇〇〇.com/ | 443 | 許可 | 0.1 |
| 12/06 01:34:04 | ad01\user019 | https://〇〇〇.com/ | 443 | 許可 | 0.1 |
| 12/06 02:34:03 | ad01\user019 | https://〇〇〇.com/ | 443 | 拒否 | - |
| 12/06 02:34:04 | ad01\user019 | https://〇〇〇.com/ | 443 | 拒否 | - |
| 12/06 02:34:05 | ad01\user019 | https://□□□.com/ | 443 | 許可 | 0.1 |
| 12/06 03:34:05 | ad01\user019 | https://□□□.com/ | 443 | 許可 | 0.1 |
| 12/06 04:34:05 | ad01\user019 | https://□□□.com/ | 443 | 許可 | 0.1 |
| 12/06 05:34:04 | ad01\user019 | https://□□□.com/ | 443 | 許可 | 0.1 |
| 注1) 一つ前のログと同じ https://〇〇〇.com/への許可された通信のログだけである。 |
〔暫定対策と追加調査の実施〕
X主任とYさんは，PC-Aがマルウェアに感染し，PC-A及びa上のファイルのほか，b上のファイルのうち，アカウントcでアクセス可能なファイルがインターネットに送信されているおそれがあると考え，図3の暫定対策と追加調査を行った。
図の説明テキスト
図3 暫定対策と追加調査
[暫定対策]
1 マルウェア感染拡大とこれ以上のファイルの送信を防ぐために，ドメインサーバでアカウント c の d を行う。
2 ファイルの送信を防ぐために，①プロキシサービスで対策を行う。
[追加調査]
1 表3から，PC-A から a にマルウェア感染が拡大している可能性があると考えられるので，a についてPC-A と同様の調査を行う。
2 プロキシサービスのログで，PC-A, a のほかに②マルウェアに感染している L 社内ホストがないか調査を行う。
また，X主任はPC-Aの証拠データと，PC-Aの調査で収集できたi.ps1をセキュリティ専門会社であるC社に提供し，解析を依頼した。C社の解析結果を図4に示す。
図の説明テキスト
図4 C社の解析結果（概要）
i.ps1 の動作
(a) タスクを登録する。登録するタスクの設定は次のとおりである。既に同じタスク名のタスクが登録されている場合は何もしない。
タスク名: install
実行時に使うアカウント: タスク登録時に，ログオンしているアカウント
登録するスクリプトの動作: https://△△△.com/v/q.ps1 をメモリ上に展開し，実行する。
タスク実行のトリガー: ログオン時に実行される。
(b) タスクを登録した後に，(a)で登録したタスクを実行する。
q.ps1 の動作
解析に用いたファイルは，当社が 12 月 6 日 15 時に，https://△△△.com/v/q.ps1 からダウンロードしたものである。次は，当社が入手した脅威情報を加味したものである。
(c) マルウェア対策ソフトを停止する。
(d) 特定のディスク領域とネットワークドライブのファイルを RAR 形式でアーカイブファイルにまとめ，https://△△△.com/v/upl を使ってアップロードする。
(e) 1 時間おきに https://〇〇〇.com/ にコネクトバック通信をする。
(f) (e)の通信ができない場合，リトライ通信を 1 回行う。リトライ通信に失敗した場合は，https://□□□.com/ にコネクトバック通信をし，以降は，1 時間おきに https://□□□.com/ にコネクトバック通信をする。
(g) パスワード又はパスワードハッシュを PC のメモリ上から窃取する。
(h) ping コマンドを使ってホストを探索し，RDP 接続を試みる。RDP 接続に失敗した場合，何もしない。
(i) RDP 接続に成功すると，接続先で i.ps1 の実行を試みる。
Yさんは図4の解析結果から，図3の追加調査の1及び2では，図4で解析したマルウェアが，今後，活動する可能性があるL社内ホストを見逃したおそれがあると考えた。Yさんは③追加調査の3として，L社内ホストの全てに対して新たな調査を行う必要があるのではないかとX主任に相談した。X主任は同意し，調査には時間が掛かるので，調査と並行して，④図4のマルウェアの活動を自動的に検出する新たな仕組みを作るように指示した。
この追加調査の3では，aだけがマルウェアに感染した可能性があることが判明し，必要な対処を行った。また，新たにマルウェアの活動は検出されなかったので，復旧に向け対応を進めることにした。
〔技術的対策の立案〕
X主任とYさんは，今回と同様のマルウェア感染が起きた場合に備えて，図3の暫定対策以外に，攻撃者による目的実行までの活動を阻止するための技術的対策を，表6のとおりにまとめた。
図の説明テキスト
表6 攻撃者による目的実行までの活動を阻止するための技術的対策
| 今回の攻撃者による活動 | 技術的対策 |
|---|---|
| i.ps1 と q.ps1 を PC-A で実行させた。 | PowerShellの実行ポリシーを設定し，署名のないスクリプトの実行を禁止する。 |
| PC-A からマルウェア感染を広げた。 | e。 |
| q.ps1 がファイルを不正に持ち出した。 | f。 |
今後，表6中の技術的対策について，X主任とYさんが中心となって導入の計画立案を進めることにした。
設問と解答・解説
設問1
〔暫定対策と追加調査の実施〕について答えよ。
(1)
本文中及び図3中の a に入れる適切なホスト名を答えよ。
模範解答
PC-C
採点基準(配点 5点)
正確性（内容）(5点)
- 5点: 「PC-C」と正確に解答している
- 2点: 解答にPC-Cが含まれるが不要な文字が混入しているなど、部分的に正しい
- 0点: 不正解または無解答
解説
解説
空欄aには、マルウェアが最初に侵入・動作したと推測されるホスト名が入ります。エンドポイントのセキュリティ対策におけるログ分析が重要です。図3や本文の記述から、感染の起点となったホストを特定します。ここではPC-Cが該当します。
高得点のポイント
・正確に「PC-C」と解答すること。
(2)
本文中の b に入れる適切なホスト名を答えよ。
模範解答
filesv
採点基準(配点 5点)
正確性（内容）(5点)
- 5点: 「filesv」と正確に解答している
- 2点: 解答にfilesvが含まれるが不要な文字が混入しているなど、部分的に正しい
- 0点: 不正解または無解答
解説
解説
空欄bには、被害を受けた、あるいは標的となったサーバーのホスト名が入ります。本文から、ファイルの不正な持ち出しやアクセスがあったホストとしてファイルサーバーが考えられます。ホスト名は「filesv」です。
高得点のポイント
・正確に「filesv」と解答すること。
(3)
本文中及び図3中の c に入れる適切なアカウント名を，表3の注記1に従って答えよ。
模範解答
ad01\user019
採点基準(配点 5点)
正確性（内容）(5点)
- 5点: 「ad01\user019」と正確に解答している
- 2点: ユーザー名やドメイン名は合っているが形式に僅かな誤りがあるなど、部分的に正しい
- 0点: 不正解または無解答
解説
解説
空欄cには、不審な操作を行ったアカウント名が入ります。表3の注記1の指定に従い、「ドメイン名\ユーザー名」の形式で記述する必要があります。Active Directoryにおけるログ調査能力が問われています。
高得点のポイント
・表3の注記1の形式に従っていること。 ・正確に「ad01\user019」と解答すること。
(4)
図3中の d に入れる適切な対策を10字以内で答えよ。
模範解答
無効化
採点基準(配点 5点)
正確性（内容）(5点)
- 5点: 「無効化」と正確に解答している
- 2点: 無効化と同義の処置を答えているが、指定の単語と異なる
- 0点: 不正解または無解答
解説
解説
空欄dには、不審なアカウントに対する暫定対策が入ります。攻撃者に奪取された可能性のあるアカウントを通じた被害拡大を防ぐため、アカウントの無効化を行います。10字以内という字数制限に従う必要があります。
高得点のポイント
・アカウントの「無効化」という処置を適切に挙げていること。
(5)
図3中の下線①について，対策の内容を，具体的に答えよ。
模範解答
全てのドメインユーザーに対して，https://△△△.com/，https://□□□.com/及びhttps://〇〇〇.com/を管理者拒否リストに登録する。
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: 対象ユーザー、3つのURL、拒否リスト登録の全てが正しく含まれている
- 2点: 要素のいずれかが欠けているが、対策の趣旨は合っている
- 1点: 関連する用語が含まれるが、対策内容としては不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
下線①の対策について具体的に記述します。攻撃者が使用するC&Cサーバー等への通信を遮断するため、管理者拒否リストへの登録が必要です。特定のURL全てを含めることが求められます。
高得点のポイント
・対象を「全てのドメインユーザー」としていること。 ・3つのURL（https://△△△.com/，https://□□□.com/，https://〇〇〇.com/）を挙げていること。 ・「管理者拒否リストに登録する」というアクションを明記していること。
(6)
図3中の下線②について，調査の内容を，具体的に答えよ。
模範解答
https://○〇○.com/，https://△△△.com/又はhttps://□□□.com/に通信したL社内ホストがないか調査する。
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: 3つのURLと、通信した社内ホストの調査という要素が全て含まれている
- 2点: 要素のいずれかが欠けているが、概ね適切な調査内容となっている
- 1点: 一部のキーワードのみ含まれ、内容が不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
下線②の調査内容についてです。マルウェア感染の有無や被害範囲を特定するため、判明した悪意のあるURLに対する通信ログの確認が必要です。
高得点のポイント
・調査対象として3つの不正なURLを挙げていること。 ・それらに「通信したL社内ホスト」を調査対象としていること。
(7)
本文中の下線③について，調査の内容を，具体的に答えよ。
模範解答
タスク名がinstallであるタスクが登録されているL社内ホストがないか調査する。
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: タスク名installの登録と、対象ホストの調査という要素が揃っている
- 2点: 要素のいずれかが欠けているが、調査の趣旨は合っている
- 1点: 関連する用語が含まれるが、内容としては不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
下線③の調査内容についてです。攻撃者がタスクスケジューラ等を用いてマルウェアの永続化を図っている痕跡を探します。判明しているタスク名「install」を手がかりに、他の感染ホストを特定します。
高得点のポイント
・「タスク名がinstallであるタスク」という条件を明記していること。 ・それが「登録されているL社内ホスト」を調査対象としていること。
(8)
本文中の下線④について，検出する仕組みを，二つ答えよ。
模範解答
マルウェア対策サービスのログから，マルウェア対策ソフトが停止したL社内ホストを検出する。
ドメインサーバのログから，RDP接続をくり返しているL社内ホストを検出する。
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: 確認すべき2つのログの種類とそれぞれの検出条件が過不足なく記述されている
- 2点: ログの種類が抜けているなど、一部の要素が不足しているが概ね適切な仕組みを挙げている
- 1点: 片方の仕組みのみ記述されているか、内容が不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
下線④の検出の仕組みについて、2つ記述します。マルウェアの動作によって、どのログに何が記録されているかを考え、検知の仕組みを設計する能力が問われています。正答率が平均的であり、どのログを確認するかの記述がない解答が多かったため、ログの特定が重要です。
高得点のポイント
・「マルウェア対策サービスのログ」および「ドメインサーバのログ」という確認対象のログを明記していること。 ・それぞれのログから「対策ソフトの停止」や「RDP接続の繰り返し」を検出することを具体的に記述していること。
設問1(3)は，正答率が高かった。被害の可能性を複数のログから適切に読み取ることができていた。設問1(8)は，正答率が平均的であった。どのログを確認するかの記述がない解答が多かった。マルウェアの動作によって，どのログに何が記録されているかを考え，検知の仕組みを設計できる能力を培ってほしい。
設問2
(1)
表6中の e に入れる適切な字句を答えよ。
模範解答
仮想PCへのRDP接続に対して，IPアドレスによる接続元制限を行う
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: 仮想PCへのRDP接続という対象と、IPアドレスによる接続元制限という対策が両方含まれている
- 2点: 要素のいずれかが欠けているが、対策の趣旨は合っている
- 1点: 関連する用語が含まれるが、対策内容としては不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
表6中の空欄eに入る対策です。攻撃者による不正なRDP接続を防ぐため、アクセス制御の強化が必要です。具体的には、許可されたIPアドレスからのみ接続を許可する接続元制限が有効です。
高得点のポイント
・「仮想PCへのRDP接続」に対する対策であることを示していること。 ・「IPアドレスによる接続元制限」を明記していること。
(2)
表6中の f に入れる適切な字句を答えよ。
模範解答
L社内にDLPを導入し，ファイルの持出しを制限する
採点基準(配点 5点)
知識・理解度（内容）(3点)
- 3点: DLPの導入とファイル持出し制限の両方が含まれている
- 2点: 要素のいずれかが欠けているが、対策の趣旨は合っている
- 1点: 関連する用語が含まれるが、対策内容としては不十分である
- 0点: 必要な要素が含まれていない
論理性（構造）(2点)
- 2点: 論理的で意味が通じる文章になっている
- 1点: 文章のつながりにやや不自然さがあるが意味は伝わる
- 0点: 意味が通じない
解説
解説
表6中の空欄fに入る対策です。正答率がやや低い設問でした。ファイルサーバーのアクセス権を最小限にするといった解答が散見されましたが、マルウェアは特別な権限なしにファイルを持ち出しています。そのため、インシデントで起きたファイルの持ち出しを直接防止できる対策として、DLP (Data Loss Prevention) の導入が適切です。
高得点のポイント
・「DLPの導入」を技術的対策として挙げていること。 ・「ファイルの持出しを制限する」という目的を明記していること。
設問2fは，正答率がやや低かった。ファイルサーバのアクセス権を最小限にするといった解答が散見されたが，マルウェアは，特別な権限なしにファイルを持ち出している。ファイルの持出しに対する技術的対策は複数考えられるが，インシデントで起きたファイルの持出しを防止できる対策を選択してほしい。