【令和3年秋期 午後Ⅱ】情報処理安全確保支援士 問題別・学ぶべき知識（Web・クラウド認証防御とマルウェア対応）

令和3年秋期 午後Ⅱで問われたWeb・クラウド認証防御とマルウェア対応の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅱ 問１　協力会社とのファイルの受渡し

• 攻撃・原因 → 影響（成立の流れ）

  起点：投稿値にjavascript: URLやHTMLを混入

  攻撃の進行：閲覧者のブラウザでスクリプトを実行

  結果・補足：HTML特殊文字の出力時エスケープ、http/httpsだけのスキーム許可、CSP script-src 'self'で実行経路を重ねて遮断する

• 対策・確認

  クラウドへ送る前に利用企業管理の鍵でファイルを暗号化し、事業者単独では復号できなくする。

  FIDOは認証器が署名したオリジンをサーバで検証し、偽サイトが認証メッセージを中継しても拒否する

  設問別の補足知識（全5設問）

  設問1：

  (1) HTMLで特別な意味をもつ山括弧を実体参照の<と>に変換する。

  (2) javascript:で始まるURLを実行させる文字列は解答群エである。

  HTTPレスポンスへ入力値を出力する箇所では，HTMLとして解釈される山括弧を実体参照へ変換します。さらに，URLとして出力される値はスクリプトを実行できる疑似プロトコルを許可しない条件と照合します。

  設問2：

  (1) 許可するURLスキームをhttpとhttpsに限定すれば，javascript:スキームを排除できる。

  (2) script-src 'self' は，表示中のURLと同じオリジンのスクリプトファイルを許可する。

  (3) HTML内のインラインスクリプトは制限されるので，同一オリジンの別ファイルに移して呼び出す。

  設問3：

  (1) ISO/IEC 27017は情報セキュリティ管理策，ISO/IEC 27018は個人情報保護の実践規範である。

  (2) U社管理の鍵でアップロード前に暗号化すれば，Gサービス側だけでは平文を取得できない。

  設問4：

  (1) 同一利用者IDでのログイン失敗を集計すると，認証試行の集中を検知できる。

  (2) 攻撃者がアクセス元IPアドレスを変え続ける場合，IP単位のしきい値だけでは検知しにくい。

  表4の項番1は利用者IDを固定した総当たりなので，同一利用者IDの失敗回数を数えます。一方，送信元IPアドレスを切り替える攻撃では，一つのIPアドレス当たりの回数がしきい値を超えず，検知を回避できます。

  設問5：

  (1) オリジンを検証することで，攻撃者がメッセージをKサービスとの間で中継する攻撃を防ぐ。

  (2) 認証器の紛失時は生体認証が不正利用を抑え，退職時はKサービスのアカウントを削除又は無効化する。

  (3) OS内蔵認証器は利用PCとの組合せが限定されるため，Gサービスへのアクセス元をファイル受渡し用PCだけに制限できる。

午後Ⅱ 問２　マルウェア感染への対処

• 攻撃・原因 → 影響（成立の流れ）

  起点：細工ファイルから連携端末へ侵入

  攻撃の進行：FQDN又は直指定IPでC&Cへ接続

  攻撃の進行：会員内の別端末へ横展開

  結果・補足：UTM・FW・端末ログを最初の配置可能日まで遡って突合し、感染端末を隔離する

• 対策・確認

  攻撃者はC&CのIP変更、DNSを使わない直接通信、イベントログ消去で検知を回避する。

  宛先IPだけでなくIDSシグネチャ、異常な送信元端末、ログ消去イベントを監視し、通信経路をUTMへ集約する

  設問別の補足知識（全4設問）

  設問1：

  (1) 図5の責任分担に従い，経営者，システム管理者，テレワーク勤務者を各項目に対応させる。

  (2) 電子政府推奨暗号リストを示す名称はCRYPTRECである。

  図5の役割定義と各規程を対応させると，予算は経営者，技術的対策とパスワード制限はシステム管理者，パスワード設定はテレワーク勤務者です。暗号リストは電子政府調達でも参照されるCRYPTRECを選びます。

  設問2：

  (1) 支社から特定サービスへ直接インターネット接続する構成はローカルブレイクアウトである。

  (2) Bサービスが許可していた送信元とは異なるため，サービス側のアクセス制限で拒否された。

  設問3：

  (1) 攻撃者がC&CサーバのIPアドレスを変更すると，事前作成したIPリストだけでは遮断できない。

  (2) マルウェアがDNS問い合わせをせずIPアドレスへ直接接続する場合があるので，UTMでの通信拒否も必要である。

  (3) 痕跡消去機能を考慮し，イベントログの消去を示すログも確認する。

  (4) 横展開機能と待機機能だけを実行していると，確認対象の通信ログが現れないことがある。

  (5) DMZへ移設すれば，UTMのIDS検知をシステム管理者へ連絡する既存の監視経路を利用できる。

  設問4：

  (1) 連携サーバに細工されたファイルが置かれた可能性がある最も早い7月14日まで調査開始日を遡る。

  (2) 会員FWでは，IPリストに登録されたIPアドレス宛ての通信を確認する。

  (3) 連携端末以外のIPアドレスを送信元とする記録は，会員内での横展開を示す。

  (4) 連携端末を一時的にネットワークから切り離しているため，その端末からの追加感染リスクは低い。