【令和3年春期 午後Ⅱ】情報処理安全確保支援士 問題別・学ぶべき知識（インシデント対応体制・クラウド利用端末管理）

令和3年春期 午後Ⅱで問われたインシデント対応体制・クラウド利用端末管理の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅱ 問１　インシデント対応体制の整備

• 攻撃・原因 → 影響（成立の流れ）

  起点：他サービスから漏えいしたID・パスワードの組を再利用

  攻撃の進行：パスワードリスト攻撃で不正ログイン

  結果・補足：接続元IPの地理的位置、過去端末のCookie、タイムゾーンの差を組み合わせて異常を判定する

• 対策・確認

  感染USBから管理PC、店舗管理サーバへ侵入した時刻と経路をログで一本化する。

  CSIRTは受付・トリアージ、証拠保全、ネットワーク隔離、認証情報失効、復旧の担当と連絡先を事前に決める

  設問別の補足知識（全5設問）

  設問1：

  パスワードリスト攻撃は外部で得たIDとパスワードの組を再利用する攻撃です。使い回しを避けることが基本対策です。普段との違いはIPアドレスから分かる地理的位置やCookieによる既知端末判定で見分け，時刻表示にはタイムゾーンを用います。

  設問2：

  図2の注記では店舗管理システムと社内LANのデータ授受にUSBメモリを使います。感染USBメモリが管理用PCに接続され，そこから店舗管理サーバへ侵入する経路が，店舗PCを経由しない侵入方法です。

  設問3：

  組織内外のインシデント対応窓口はCSIRTです。図7のライフサイクルは，検知・分析，封じ込め，根絶，復旧という標準的な対応の流れに各選択肢を対応させます。

  設問4：

  図9のログから不正な接続元は5個です。脆弱性Mは一般利用者権限にとどまるため，管理者権限が必要な/etc/shadowの参照には脆弱性Lとの組合せが必要です。

  F2の件数は通信量とF1の固定長データから24件と求め，恒久対策はFW2でN社・V社以外からのインバウンドを拒否します。

  設問5：

  今回の侵入は，個別には低リスクと判断した二つの脆弱性を組み合わせたことで成立しました。したがって評価では複数脆弱性の同時悪用と，見送った脆弱性が他の弱点と結び付いた場合の影響を考慮します。

午後Ⅱ 問２　クラウドセキュリティ

• 攻撃・原因 → 影響（成立の流れ）

  起点：大量のDHCP要求で払い出し枠を枯渇

  攻撃の進行：攻撃者の偽DHCPから不正GW・DNSを通知

  結果・補足：通信を盗聴・誘導する。スイッチのDHCP snoopingとIEEE 802.1Xで、正規サーバと認証済み端末だけをLANへ接続する

• 対策・確認

  SaaS側の管理策はISO/IEC 27017・27018などの第三者保証で確認する一方、利用者側はTLSクライアント証明書、DLP、USBなどのデバイス制御を適用し、未管理端末とファイル持出しを止める

  設問別の補足知識（全6設問）

  設問1：

  障害端末に自動設定された169.254.0.0/16はリンクローカルアドレスです。多数の私物機器がDHCPリースを消費して枯渇を起こしました。

  稼働中はミラーポートでDHCP OFFERを観測し，停止時は正規DHCPを止めても配布が続くかで不正DHCPの有無を切り分けます。

  設問2：

  アクセスログだけでは，漏えいした内容そのものは確定できません。本文でアクセス対象となっている，企画部員だけが利用できるチャットエリアの共有情報を調査対象として答えます。

  設問3：

  802.1Xでは端末側のサプリカントがC-PC，認証装置がAPです。認証成功と暗号鍵配布の後にDHCPでIPアドレスを取得するため，空欄cは『6.より後に』（エ）です。

  設問4：

  要件4は未許可サービスや不要サイトへのアクセス制御なので表3の機能2，要件5は管理機器だけを許可する機能1に対応します。管理外機器の判定はTLSクライアント認証で証明書を検証し，図3の該当段階で遮断します。

  設問5：

  要件6はSaaSの安全性を第三者の保証で確認するため，ISAE3402/SSAE16又はISMS認証が例になります。要件7の情報漏えい防止は表3の機能4に対応します。

  設問6：

  従業員が保護を無効化できないよう秘密鍵をエクスポート不可にし，管理者がPソフトを一般利用者権限では変更できないようにします。これで要件を満たす設定を移行後も維持できます。