【令和3年春期 午後Ⅰ】情報処理安全確保支援士 問題別・学ぶべき知識（ID連携・DNS防御・端末運用）

令和3年春期 午後Ⅰで問われたID連携・DNS防御・端末運用の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅰ 問１　Webサービスにおけるソーシャルログインの開発

• 攻撃・原因 → 影響（成立の流れ）

  起点：攻撃者が自分の認可コードを被害者のコールバックへ渡す

  攻撃の進行：被害者の操作を攻撃者アカウントへ結び付ける

  結果・補足：認可開始時のセッションにstateを保存し、コールバックの値と一致検証する

• 対策・確認

  外部IdP障害時は、サービス内パスワードを未登録の連携会員がログインできない。

  取得権限を登録情報の参照だけに絞り、返された外部IDがサービス内の会員IDに登録済みかを毎回確認する

  設問別の補足知識（全4設問）

  設問1：

  S社の課題は多要素認証の実装負担であり，ID連携ならTサービス側の認証機能を利用できます。一方，認証基盤を外部に依存するため，Tサービスの障害はSサービスの利用可否に直結します。図2では三つの主体と通信の向きを順に対応させます。

  設問2：

  図4では攻撃者が被害者のブラウザを介して認可コードを横取りし，攻撃者自身のセッションでアクセストークンを得ます。そのため，後続のアップロードとダウンロードはいずれも攻撃者のTサービスアカウントに結び付きます。

  state値は開始時とコールバック時のセッションを照合するために使います。

  設問3：

  登録情報の取得だけが必要なので，図3の権限は（エ）が必要最小限です。またTサービス連携を一時停止すると，S認証モジュールに認証情報を登録していない連携会員が利用できなくなります。

  設問4：

  Sサービス自身はTサービスの認証結果を無条件に信用するのではなく，返されたT-IDがSサービスに登録済みの会員情報と一致することを確認して利用者を特定します。

午後Ⅰ 問２　DNSのセキュリティ対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：攻撃者が権威DNSより先に偽応答をキャッシュDNSへ到達させる

  攻撃の進行：利用者を偽IPアドレスへ誘導する

  結果・補足：問合せ元ポートとトランザクションIDをランダム化し、DNSSEC署名で応答の真正性も検証する

• 対策・確認

  単一拠点の権威DNS停止は公開Webの名前解決停止に直結する。

  プライマリ・セカンダリを別系統へ冗長化し、ゾーン転送は相互の権威DNSだけ、再帰問合せは内部利用者だけに許可する

  設問別の補足知識（全2設問）

  設問1：

  外部DNSサーバが停止すると公開Webサーバの名前解決ができません。送信元を詐称した問い合わせへの大きなDNS応答を被害者へ反射する攻撃がDNSリフレクション攻撃です。

  問い合わせIDと送信元ポートのランダム化，DNSSECはキャッシュ汚染対策の根拠になります。

  設問2：

  権威DNSを単一拠点で運用すると，その停止がそのままサービス停止になります。プライマリとセカンダリ間のゾーン転送は必要な相手だけに許可し，それ以外は拒否します。表4・表5では要求元，宛先，DNSサービスの組合せを最小権限で追います。

午後Ⅰ 問３　セキュリティ運用

• 攻撃・原因 → 影響（成立の流れ）

  起点：侵害端末が夜間にarpコマンドでIP・MACアドレスを収集

  攻撃の進行：Wake on LAN（WoL）のMagic Packetで別セグメントのPCを起動

  結果・補足：起動した未修正PCの既知脆弱性を悪用する

• 対策・確認

  パッチは配布後に適用済みかと業務動作に問題がないかを確認する。

  EDRで夜間のarp実行を検知した端末は直ちにネットワーク隔離し、ルータのWoL転送も必要範囲だけに限定する

  設問別の補足知識（全4設問）

  設問1：

  図2の確認工程は，セキュリティパッチ適用後にも業務PCが正常に動作することを確かめる工程なので，公式解答は『PCの動作に問題がないこと』です。

  設問2：

  図1で外部側と内部側の境界にあり，対象通信を観測・制御する位置をたどるとL2SW1になります。機器名だけでなく，ネットワーク上の接続位置が根拠です。

  設問3：

  WoLのMagic Packetは宛先MACアドレスにFFを並べたブロードキャストを利用します。別セグメントにも届かせるには，ルータで起動パケットをそのセグメントへ転送する設定が必要です。

  設問4：

  WoL悪用の探索にはIPアドレス，端末起動にはMACアドレスが必要です。夜間のarpコマンドは探索の兆候なので，EDRエージェントで検知した対象PCをネットワーク隔離する流れになります。