令和4年度 秋期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　マルウェアの動的解析システムとCTF（配点50点）

問1 マルウェアの動的解析システムに関する次の記述を読んで，設問に答えよ。 L社は，従業員200名のセキュリティ関連会社である。L社の脅威情報調査部（以下，Q部という）は，国内で流行しているマルウェアを解析したり，攻撃者グループの攻撃手法を調査したりして，顧客にレポートを提供する事業を行っているほか，四半期レポートを作成して公開している。Q部が管理するネットワークの概要を図1に，システムの概要を表1に示す…

設問

• 表4中の下線①の挙動を特徴とするマルウェアの種類を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，再現ができなくなるのは，攻撃者によって何が変更される場合か。攻撃者によって変更されるものを15字以内で答えよ。
• 本文中の下線③について，現在の解析環境との違いを20字以内で答えよ。
• 図5中の a ～ d に入れる適切な手順を，解答群の中から選び，記号で答えよ。
• 本文中の e に入れる適切な機能を，表5の中から選び，項番で答えよ。
• 表7中及び表8中の f ～ i に入れる適切なMACアドレスを，解答群の中から選び，記号で答えよ。なお，同一のMACアドレスが入る場合もある。
• 表9中の j ～ o に入れる適切なMACアドレスを，解答群の中から選び，記号で答えよ。なお，同一のMACアドレスが入る場合もある。
• 図7中の下線④について，どのような処理か。20字以内で具体的に答えよ。
• 表10中の下線⑤について，どのような機能か。40字以内で具体的に答えよ。
• 表10中の p に入れる適切な攻撃を，解答群の中から選び，記号で答えよ。
• 図8中の下線⑥はどのような文字列か。システム管理者のパスワードの特徴を踏まえ，40字以内で具体的に答えよ。
• 図9中の下線⑦について，どのような状態か。30字以内で具体的に答えよ。
• 図9中の q に入れる適切な改善提案を，25字以内で答えよ。

大問2　EDRによる未知マルウェア対策（配点50点）

問2 インシデントレスポンスチームに関する次の記述を読んで，設問に答えよ。 K社は，従業員500名の輸入卸売業者である。拠点は，本社，営業所2か所，倉庫1か所の計4か所である。K社のネットワーク及び機器仕様に関連する規模の整備は，情報システム課が担当している。K社のネットワーク構成を図1に，各サーバで取得しているログの内容を表1に示す…

設問

• 本文中の下線①，②について，検知するための単純ルールを，それぞれ30字以内で具体的に答えよ。
• 表5中の a ～ e に入れる適切な時刻，ファイル名又はPC名を答えよ。
• 本文中の下線③について，PC1〜3内蔵SSD及びファイルサーバから削除すべきファイルは何か。解答群の中から全て選び，記号で答えよ。
• 本文中の下線④について，作成した検知ルールを60字以内で答えよ。
• 表6中の f ， g に入れる適切なログの項目名を，表1から選び答えよ。
• 表6中の h に入れる適切な字句を答えよ。
• 表6中の i ， j に入れる適切なログの項目名を，表1から選び答えよ。
• 本文中の k ～ m に入れる適切な字句を，それぞれ10字以内で答えよ。
• 本文中の下線⑤について，新たに作成した検知ルールを60字以内で答えよ。
• 表7中の n ， o に入れる適切な字句を， n は30字以内で， o は50字以内でそれぞれ答えよ。

この回の出題傾向と学習ポイント

令和4年度秋期の午後IIは、マルウェアの動的解析システムとCTF、EDRによる未知マルウェア対策の2問から選ぶ構成です。どちらもマルウェア対応が題材で、解析環境の仕組みやログの時系列を細かく追わせる、技術色の濃い回です。表の穴埋めと字数指定記述の組合せが中心になります。

問1　マルウェアの動的解析システムとCTF

セキュリティ会社のマルウェア解析部門が舞台で、ハニーポット環境での検体の動的解析、ARPスプーフィング、パスワード解読の仕組みを順に扱います。ARPスプーフィング時のMACアドレスを表で埋める設問群が特徴で、解答群からの選択と15〜40字の記述が混在します。ARPの動作を「どの機器がどのMACアドレスを名乗るか」まで具体的に説明できる理解が得点の分かれ目です。

問2　EDRによる未知マルウェア対策

輸入卸売業者でのマルウェア検知と対応が題材で、定義ファイルに頼らず未知のマルウェアを検知するルールを60字以内で自分で作らせるのが最大の特徴です。検知ルールの作成が複数回登場するほか、ログの項目名を選んで時系列表を埋める設問が多く、ファイル・メール・通信のログからマルウェアの挙動を再構成する力が問われます。マルウェアの動作を時系列で追う演習が効果的です。

どちらを選んでも、ログや表の断片から攻撃・挙動の全体像を組み立てる力が問われます。演習では時系列を自分で書き出し、各イベントの根拠となるログ項目を指させるようにしておきましょう。