| 問67 Webサーバが外部から侵入され、コンテンツが改ざんされた。その後の対応の順序のうち、適切なものはどれか。 ①サーバ、IDS（Intrusion Detection System）、ファイアウォールの各ログを解析し、不正アクセス手法、影響範囲、侵入経路を特定する。 ②システムを再構築し、最新のパッチやセキュリティ設定情報を適用する。 ③サーバをネットワークから切り離す。 ④ネットワークに接続後、しばらく監視する。 ア ①→②→③→④ イ ①→③→②→④ ウ ②→③→①→④ エ ③→①→②→④ （H20秋FE午前） |
H22SC春午後Ⅱ問２IRTでは,インシデント対応を円滑に行うためにIRTメンバ向けのインシデント対応マニュアルを作成することとし,その具体的な内容として図4に示す各項目を検討した。
図4中の(1)に関し,必要な機器については,予算面の問題もあることから,優先度の高いものから順に整備を進めていくことになった。また,業務系システムと開発系システムの構成情報は情報システム課と開発課,ネットワーク課が個別に管理していたが,既存のグループウェアを利用してIRTメンバが双方のシステムの構成情報を閲覧できるようにした。 図4中の(2)については,まず,現状を把握するために,現在の業務系と開発系のシステムで取得しているログの情報を収集し,リストアップすることにした。その結果,取得しているログの管理が機器ごとにそれぞれ異なることが判明した。このままでは,インシデントの原因究明に必要な情報を安全に確保及び保全することが困難なことから, IRTでは今年度中に③ログ管理のポリシを策定することとした。来年度以降には各機器のログのバックアップと統合管理を行うシステムの導入を検討する予定である。 図4中の(3)については,情報システム課と共同でシグネチャベースのIPS(侵入防止システム)をDMZに導入し,攻撃を受ける可能性が高いDMZ上のサーバヘの脅威を分析することとした。開発系システムにもIPSの導入を検討したが,予算が厳しいことと,インターネットに対して公開しているサーバがないことから今年度の導入は見送った。ただし,開発系システムのFWのログについては定期的な分析を行うことにした。 図4中の(4)については,インシデント発生の報告を受けた後の対応について検討した。 PCの紛失やサーバヘの攻撃など,インシデントのタイプを何種類か想定し,そのタイプごとにインシデント原因の究明,被害の拡大防止及び仮復旧の方法をマニュアル化することにした。また,作業記録のフォーマットを整備し,個々のインシデント対応に当たってどのような作業を実施したかを記録することにした。 図4中の(5)は,いわゆるコンピュータフォレンジクスの技法についての検討である。インシデント発生時の被害の内容及び範囲の確認並びに発生原因の調査のために必要な情報を確実に保全し,発生した事象を様々な要素から解明することが目的である。 IRTでは,ネットワークのインシデントに関する情報はIPS及びFWでの監視並びにログの取得を行うことで保全することとした。また,コンピュータに接続された記憶媒体上の情報は専用の機器を導入して保全できるようにした。保全された情報は,IRTが分析を行うことにした。 図4中の(6)については,コンピュータフォレンジクスで利用する機器やソフトウェアのベンダや,セキュリティ団体が主催するセミナにIRTメンバが出席するなどして,具体的な技法の習得と(6)の手順化に努めることにした。 図4中の(7)については,インシデント発生時の社内の連絡網及び外部の連絡先を整理し,関連部署への周知を図った。また,外部からのセキュリティ情報の収集の際にIRTでは,インシデント対応のコミュニティにおいて広く利用されている実績がある④PGPを利用した電子署名を採用することにした。 このような検討を経て, IRTメンバ向けのインシデント対応マニュアルが完成し,X社のインシデント対応が本格的に始動することになった。 |
H28春SC午後2問1
H22春SC午後2問2| T課長:場合によっては発生したインシデントの内容を［ b ］/cc (コーディネーションセンター)のような外部機関に報告する必要もありそうだ。そのような場合の手順も整備しないといけないね。 Sさん:どれだけ予防策をとってもインシデントの発生をゼロにすることはできないので,①インシデント対応の体制を事前に作っておくことが必要ではないでしょうか。 設問1 (1)本文中の[ b ]に入れる適切な字句を,10字以内で答えよ。 (2)本文中の下線①について,“事前に作っておくこどのメリットを,インシデントの原因究明の観点から, 35字以内で述べよ。 （H22春SC午後2問2） |
| インシデント対応の経緯を整理したH部長は，G課長に次のような指摘をして，対応手順を見直すよう指示した。 (1)インシデント発生時の連絡体制の整備について ・今回関係者への連絡が遅れたという事実への反省から，インシデント発生時に連絡すべき社内各部署の責任者，及び外部の機関を一覧にして連絡先を記載し，それを関係者に配布する。 ・インシデントの内容や発生場所に応じて，[ e ]し，連絡先とともに文書化する。 (2)対応手順の整理について ・一部の部署には影響があったが，対応手順に大きな問題はなかった。しかし，対応手順をその場で検討するのではなく，インシデントの内容や発生場所ごとに手順をあらかじめ想定して，それを文書化しておくべきである。 ・今回の対応ではやむを得なかったが，セキュリティに関する攻撃を受けたおそれがあるなどの限定された状況以外では，ネットワークの切断を実施すべきではない。まず，対応手順の実施によってインシデントの影響範囲を拡大させないこととともに，インシデントの原因・影響の調査に必要となる記録を消滅させないことや業務へ影響を及ぼさないという，二次的損害の防止を考慮して対応手順を実施すべきである。また，実施に当たっては，[ f ]を怠らないことも重要である。あわせて，意思決定プロセスや判断基準をあらかじめ制定しておくことも検討すべきである。 ・今回の対応では，ログの解析作業において，各ログ間の前後関係がすぐには特定できず，作業に手間取るという事象が発生した。①このための対策を実施すべきである。 設問2 本文中の[ e ]に入れる適切な字句を20字以内で答えよ。 設問3 本文中の[ f ]に入れる適切な字句を，30字以内で答えよ。 設問4 本文中の下線①について，最も適切な対策を解答群の中から選び，記号で答えよ。 解答群 ア NTPサーバをネットワーク内に設置して，各機器の時刻を同期させる。 イ SNMPを使って，機器の情報を収集する。 ウ ログ解析ツールを導入する。 エ ログのバックアップを，書換え不能な媒体に取得する。 |
| Ｚ社のＸ氏が本社を訪れ，マルウェアＰの検出状況並びにＡ社のPC及びネットワーク構成について，Ｋ主任から説明を受けた。Ｘ氏は，まずＭさんのＰＣについて詳しく調査することにした。Ｘ氏は，②ＭさんのPCにおける設定が，バックアップされているかどうかを確認したが，Ａ社では設定のバックアップは取得していなかった。また，Ｘ氏は，プロキシで取得しているＷｅｂサイトへのアクセスログの提供をＫ主任に依頼した。 Ｘ氏は，ＭさんのPCのハードディスク全体を別のハードディスクにコピーし，コピーの方のハードディスクを読取り専用でマウントし，調査した。 設問2(1) 本文中の下線②について，Ｘ氏がバックアップの有無を確認した目的を，30字以内で述べよ。 |
１．ディジタルフォレンジックスとは２．過去問を見てみましょう| 次は,フォレンジックシステムに関する,M氏とN君の会話である。 M氏:システムログでは,例えば,特定データへのアクセスや,メールを送ったのがだれかというレベルの状況証拠的な記録は取れるが,実際の内容が分からないと,事故の調査・分析の証拠としては不十分なんだ。 N君:そうですね。最近はそうした問題を解決し,より高い証拠能力を確保するフォレンジック製品が注目されているようです。フォレンジックとは"法廷の"という意味で,あまり聞いたことがない言葉ですが,ディジタルデータの証拠保全,証拠収集のための活動や機能のことだそうです。 M氏:よく勉強しているようだね。それでは,当社で保存したい情報を,どこで,どのようにして採取するか考えてみよう。 フォレンジックシステムでは,ネットワーク上を流れる必要なパケットをすべて採取するフォレンジックサーバ(以下, FSという)を設置する。 なお,FSの設置場所が適切でないと,期待する情報を採取できない。 |
IRTでは,インシデント対応を円滑に行うためにIRTメンバ向けのインシデント対応マニュアルを作成することとし,その具体的な内容として図4に示す各項目を検討した。
（中略） 図4中の(3)については,情報システム課と共同でシグネチャベースのIPS(侵入防止システム)をDMZに導入し,攻撃を受ける可能性が高いDMZ上のサーバヘの脅威を分析することとした。開発系システムにもIPSの導入を検討したが,予算が厳しいことと,インターネットに対して公開しているサーバがないことから今年度の導入は見送った。ただし,開発系システムのFWのログについては定期的な分析を行うことにした。 （中略） 図4中の(5)は,いわゆるコンピュータフォレンジクスの技法についての検討である。インシデント発生時の被害の内容及び範囲の確認並びに発生原因の調査のために必要な情報を確実に保全し,発生した事象を様々な要素から解明することが目的である。 IRTでは,ネットワークのインシデントに関する情報はIPS及びFWでの監視並びにログの取得を行うことで保全することとした。また,コンピュータに接続された記憶媒体上の情報は専用の機器を導入して保全できるようにした。保全された情報は,IRTが分析を行うことにした。 |
３．ログ分析とフォレンジックの違い 
| 問43 ディジタルフォレンジックスでハッシュ値を利用する目的として，適切なものはどれか。 ア 一方向性関数によってパスワードを変換して保存する。 イ 改変された証拠を復元する。 ウ 証拠と原本との同一性を証明する。 エ パスワードの盗聴の有無を検証する。 |
４．過去問（H22春SC午後2問2）を見てみましょう| U君が証拠収集に必要な機材を持参して開発課に駆けつけたところ,当該サーバ機はU君が電話で問い合わせた直後に担当者がシャットダウンし,電源が切断された後だった。このため、⑦U君はこのサーバ機の電源を再投入せず、サーバ機からハードディスクを取り出した。取り出したハードディスクの内容は,専用の複製装置を用いて別のハードディスクに全セクタを複製し、⑧この複製に対してフォレンジックツールを実行して解析を行った。 設問4 〔インシデントの発生と対応〕について, (1), (2)に答えよ。 (1)本文中の下線⑦について, U君が電源を再投入しなかった理由を40字以内で述べよ。 (2)本文中の下線⑧について, U君が取り出したハードディスクを直接用いて解析を行わなかった理由を35字以内で述べよ。 （H22春SC午後2問2） |
