令和元年度 秋期 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　送信ドメイン認証技術(SPF/DKIM/DMARC)（配点50点）

問1 電子メールのセキュリティ対策に関する次の記述を読んで，設問1〜4に答えよ。 N社は，従業員数500名の情報サービス事業者である。N社の情報システムの構成を図1に示す。 N社の情報システムは，情報システム部（以下，情シス部という）のQ部長とU主任が責任をもって運用している…

設問

• 本文中の a に入れる適切な字句を答えよ。
• 表1中の b 〜 i に入れる適切な内容を，"○"又は"×"のいずれかで答えよ。
• 図4中の j に入れる適切な字句を答えよ。
• 本文中の下線①について，SPF認証が失敗する理由を，SPF認証の仕組みを踏まえて，50字以内で具体的に述べよ。
• 図6中の下線②の検証によってメールの送信元の正当性以外に確認できる事項を，20字以内で述べよ。
• 図7中の k ， l ，表3中の m ， n に入れる適切な字句を答えよ。
• 攻撃者がどのようにN社の取引先になりすましてN社にメールを送信すると，N社がSPF，DKIM及びDMARCでは防ぐことができなくなるのか。その方法を50字以内で具体的に述べよ。

大問2　脅威インテリジェンスとC&C通信対策（配点50点）

問2 セキュリティインシデント対応におけるサイバーセキュリティ情報の活用に関する次の記述を読んで，設問1，2に答えよ。 Z社は，従業員150名の金融事業会社である。事業規模は小さいが，多くの個人情報を扱っている。サイバーセキュリティ情報を共有し，サイバー攻撃への防御力を高める目的で活動する組織（ISAC：Information Sharing and Analysis Center）に最近加盟した…

設問

• 図3中の下線①について，通信が遮断された理由を20字以内で述べよ。ここで，図1で示したZ社内の機器及び攻撃グループXのC&Cサーバは正常に稼働していたものとする。
• 図3中の a に入れる適切な機器を表2中の(a)〜(g)から一つ選び，記号で答えよ。
• 図3中の下線②について，情報持ち出しが成功した可能性が高いとZ社が判断可能な痕跡は何か。該当する痕跡を二つ挙げ，それぞれ30字以内で述べよ。
• 本文中の下線③について，ISACに伝えるべき情報のうち，他社がEDRなどセキュリティ対策ソフトウェア又はセキュリティ機器を用いて感染端末を検出する際に有効であり，共有すべき情報を解答群の中から二つ選び，記号で答えよ…
• 図4中の下線④について，ソフトウェアのディジタル署名の検証に利用する証明書を解答群の中から選び，記号で答えよ。 解答群 ア S/MIME証明書 イ TLSクライアント証明書 ウ TLSサーバ証明書 エ コードサイニング証明書
• 表3中の下線⑤について，プロキシ認証情報の窃取に使用できない攻撃手法を解答群の中から選び，記号で答えよ…
• 表3中の下線⑥について，表1のフィルタリングルールを一つ変更することによって対応した。変更すべきフィルタリングルールを項番で答えよ。また，変更後のフィルタリングルールについて，送信元，宛先，サービス，動作を答えよ。
• 表3中の b ～ d に入れる適切な字句をそれぞれ10字以内で答えよ。
• 表3中の e に入れる適切な特徴を30字以内で述べよ。

大問3　ウイルス感染後のインシデント対応(EDR)（配点50点）

問3 標的型攻撃への対応に関する次の記述を読んで，設問1〜3に答えよ。 J社は，ビッグデータ解析を専門とする，従業員150名の調査会社である。従業員は，情報収集のためのWebアクセス，並びに営業活動及び情報交換のための社外との電子メール送受信にインターネットを利用している。J社では，情報セキュリティポリシを整備して運用している…

設問

• 図2中の(2)のようにする目的を，25字以内で述べよ。
• 図2中の(3)について，不審PCを利用者LANから切り離さない場合，マルウェアがどのような活動をすると想定されるか。想定される活動のうち，J社にとって望ましくないものを二つ挙げ，それぞれ20字以内で述べよ。
• 表3中の a 〜 d に入れる適切なものを解答群の中から選び，記号で答えよ。
• 本文中の e に入れる適切な内容を25字以内で具体的に述べよ。
• 本文中の下線①について，検知できないのはPC又はサーバがどういう状態にある場合か。40字以内で述べよ。
• 本文中の下線②について，マルウェアMに感染しているPC又はサーバをRログを使って検知する方法を，30字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

令和元年度秋期の午後Iは、送信ドメイン認証技術（SPF/DKIM/DMARC）、ISACの脅威インテリジェンスを活用したC&C通信対策、EDR的な監視製品を使った標的型攻撃後のインシデント対応という3問構成の選択制です。メールとマルウェア対応に重心があり、仕組みの理解をそのまま問う知識設問と、ログ・ルール表の読解がバランスよく配置された回です。

問1　送信ドメイン認証技術(SPF/DKIM/DMARC)

Envelope-FROMとHeader-FROMの区別から始まり、SPF・DKIM・DMARCの特徴を○×表で整理させる設問、メール転送などでSPF認証が失敗する理由（50字）、三つの技術でも防げないなりすまし方法（50字）を記述させる構成です。DNSに設定するレコードの内容と各技術の検証対象を正確に区別できるかが問われる、知識比重の高い大問です。

問2　脅威インテリジェンスとC&C通信対策

ISACに加盟した金融事業会社が、提供されたC&Cサーバ情報を基に感染調査と対策を進める題材です。FWで通信が遮断された理由、情報持ち出しの痕跡を二つ挙げる設問、ISACに共有すべき情報や証明書の種類・プロキシ認証情報を窃取できない攻撃手法を選ぶ解答群問題、FWルールの変更内容を答える設問が並びます。IoC共有とプロキシ認証の意義を整理しておきましょう。

問3　ウイルス感染後のインシデント対応(EDR)

標的型攻撃で40台のPC初期化を経験した会社が、監視サービスとマルウェア対策製品を導入して対応手順を改善する題材です。不審PCを切り離さない場合に想定される活動を二つ挙げる設問、製品が検知できないのはどんな状態の場合か、ログから感染機器を検知する方法など、20〜40字の記述が中心です。検知・封じ込め・復旧というインシデント対応の流れで整理すると解きやすい大問です。

問1は仕組みの暗記が直接得点になり、問2・問3は本文のログとルール表が根拠になります。送信ドメイン認証の3技術は表を自作して比較しておくと、本試験でも即答できます。