情報処理安全確保支援士 過去問解説【令和元年 午後1 】

情報処理安全確保支援士　問１

設問１ 本文中のaに入れる適切な字句を答えよ。

解答

MAIL FROM

解説

メール送信の仕組みとしてエンベロープヘッダとメールヘッダの内容は頻出

設問２

（１）表１中のb～iに入れる適切な内容を”〇”又は”×”のいずれかで答えよ。

解答/解説

b	×	外部メールサーバと取引先のＤＮＳサーバ双方の対応が必要
c	×	外部ＤＮＳサーバと取引先のメールサーバ双方の対応が必要
d	×	外部メールサーバと取引先のＤＮＳサーバ双方の対応が必要
e	×	外部ＤＮＳサーバと取引先のメールサーバ双方の対応が必要
f	×	外部メールサーバと取引先のＤＮＳサーバ双方の対応が必要
g	〇	外部ＤＮＳサーバと取引先のメールサーバ双方の対応が必要
h	×	外部メールサーバと取引先のＤＮＳサーバ双方の対応が必要
i	×	外部ＤＮＳサーバと取引先のメールサーバ双方の対応が必要

（２）図４中のjに入れる字句を答えよ。

解答/解説

x1.y1.z1.1

問題文にmail.n-sha.co.jpのＩＰアドレス記述あり

（３）本文中の下線１について、SPF認証が失敗する理由を、SPF認証の仕組みを踏まえて、50文字以内で具体的に述べよ。

解答

送信側のＤＮＳサーバに設定されたＩＰアドレスとSMTP接続元のIPアドレスが一致しないから

解説

「メールを転送する」という問題文から、SMTP接続元サーバが変わるということを読み取る

設問３ 図７中のk,l、表３中のm,nに入れる適切な字句を答えよ。

解答/解説

k	mail.x-sha.co.jp.	X社メールサーバのホスト名を指定
l	x2.y2.z2.1	X社メールサーバのホスト名に対応するＩＰアドレスを指定
m	quarantune	配信エラーの通知メールを送る仕組みなので、表２から情報抜粋
n	r	完全修飾ドメインは異なるという観点から、表２から情報抜粋

設問４　攻撃者がどのようにN社の取引先になりすましてN社にメールを送信すると、N社がSPF,DKIM及びDMRCでは防ぐことができなくなるのか。その方法を５０文字以内で具体的に述べよ。

解答

Ｎ社の取引先と似たメールアドレスから送信ドメイン認証技術を利用してメールを送信する。

解説

まず、aspfの設定を突破するためには「組織ドメインが一致」していればいいので、test-n-sha.co.jpなどサブドメインを成りすましてエンベロープヘッダを設定します。
さらにDKIM認証が必要ですが、この成りすました「test-n-sha.co.jp」のドメインに対してサーバ側で公開鍵を設定すれば突破可能です。

情報処理安全確保支援士　問２

設問１

（１）図３中の下線１について、通信が遮断された理由を２０文字以内で述べよ。ここで、図１で示したZ社内の機器及び攻撃グループXのC&Cサーバは正常に稼働していたものとする。

解答

プロキシ認証に失敗したから

解説

PCからインターネットへの通信にプロキシサーバを経由することから導き出す。「プロキシサーバを経由する」ことは頻出問題

（２）図３中のaに入れる適切な機器を表２中の(a)～(g)から一つ選び、記号で答えよ。

解答

b

解説

オフィスセグメントからDNSプロトコルでインターネット通信する場合に経由するのはFWのみであるため

（３）図３中の下線２について、情報持ち出しが成功した可能性の高いとZ社さ判断可能な痕跡は何か。該当する痕跡を二つ挙げ、それぞれ30字以内で述べよ。

解答

グローバルＩＰアドレスＭへのHTTP通信成功ログ

パブリックDNSサービスLへのDNS通信成功ログ

解説

このマルウェアの攻撃手法は下記２つ
・ＨＴＴＰプロトコル
　Ｗｅｂブラウザに設定されたプロキシサーバのＩＰアドレスを搾取し利用する。通信先はグローバルＩＰアドレスＭ
・ＤＮＳプロトコル
　パブリックＤＮＳサーバＬを経由する
上記それぞれのログが確認できれば攻撃成功となる

（４）本文中の下線３について、ISACに伝えるべき情報のうち、他社がEDRなどセキュリティ対策ソフトウェア又はセキュリティ機器を用いて感染端末を検出する際に有効であり、共有すべき情報を解答群の中から二つ選び、記号で答えよ。

解答

イ、ウ

解説

マルウェアの特徴として下記2点があげられる
・グローバルＩＰアドレスＭと通信している
・ローカルストレージにファイルを作成している
この内容に沿った回答を選択する

設問２

（１）図４中の下線４について、ソフトウェアのディジタル署名の検証に利用する証明書を解答群の中から選び、記号で答えよ。

解答

エ

解説

コードサイニング証明書を知らずとも、「ソフトウェア」という単語から消去法で回答を導くことも可能
ア：電子メールのセキュリティ
イ：ネットワークのセキュリティ
ウ：ネットワークのセキュリティ　
エ：ソフトウェアのセキュリティ

（２）表３中の下線５について、プロキシ認証情報の搾取に使用できない攻撃手法を解答群の中から選び、記号で答えよ。

解答

ウ

解説

観点はbasic認証情報が搾取できるかどうか
ＷＥＢブラウザのオートコンプリート情報の搾取
　⇒搾取可能
キーロガー
　⇒搾取可能
ゴールデンチケットの搾取
　⇒ケルベロス認証に関するもののため、関係なし
総当たり攻撃
　⇒いつか攻撃成功する。攻撃として有効
偽のBASIC認証フォームの表示
　⇒搾取可能
ネットワーク登頂
　⇒搾取可能

（３）表３中の下線６について、表１のフィルタリングルールを一つ変更することによって対応した。変更すべきフィルタリングルールを項番で答えよ。また、変更後のフィルタイングルールについて、送信元、宛先、サービス、動作を答えよ。

解答

項番	3
送信元	DMZ
宛先	インターネット
サービス	DNS
動作	許可

解説

このような設問の場合、内部セグメントなどからインターネットへの直接通信している部分が回答となるケースが多い。

今回もオフィスセグメントからインターネットへ直接通信していることが問題なので、ＤＭＺからのみ許可する

（４）表３中のb～dに入れる適切な字句をそれぞれ10字以内で答えよ。

解答

b	権威DNSサーバ
c	パブリックDNSサーバ
d	再帰的クエリ

解説

C&Cのメジャーな攻撃手法ですが、ちょっと難しいです。
一般的なHTTP通信による攻撃ではなく、DNSサーバを悪用した攻撃手法の説明になります。知らなければ回答できないので知っているかどうかがカギになります。

（５）表３中のeに入れる適切な特徴を30字以内で述べよ。

解答

特定のドメインに対する多数のDNSクエリの発生

情報処理安全確保支援士　問３

設問１

（１）図２中の（２）のようにする目的を、25字以内で述べよ。

解答

メモリ上の情報が失われないようにするため

解説

感染後対策の品質問題です。

（２）図２中の（３）について、不審PCを利用者LANから切り離さない場合、マルウェアがどのように活動すると想定されるか。想定される活動のうち、J社にとって望ましくないものを二つ挙げ、それぞれ20字以内で述べよ。

解答

①	J社情報システムに感染を拡大する
②	インターネットに情報を送信する

解説

マルウェアの活動に関する問題。頻出

設問２ 表３中のa～dに入れる適切なものを解答群の中から選び、記号で答えよ。

解答/解説

a	ウ	IPアドレスなどの情報を取得するコマンド
b	イ	システム情報を取得するコマンド
c	オ	タスクリストを取得するコマンド
d	ア	ネットワーク接続されている端末を取得するコマンド

設問３

（１）本文中のeに入れる適切な内容を25字以内で具体的に述べよ。

解答

IPアドレスw1.x1.y1.z1との通信履歴

解説

今回のケースでは「Ｃ＆Ｃサーバへの通信を検知した」ということがきっかけでマルウェアを検知しています。
すなわち「いつ感染したかわからない」ということです。
そのため、他の端末も感染している可能性があり、今回のマルウェアの挙動であるＩＰアドレスへの接続をＦＷから確認します

（２）本文中の下線１について、検知できないのはPC又はサーバがどういう状態にある場合か、40字以内で答えよ。

解答

感染したが、Ｃ＆Ｃサーバと通信する前にネットワークから切り離された状態

解説

(1)にも関連する問題です。感染した時点では検知できず、Ｃ＆Ｃサーバとの通信が発生していない状態が考えられます。
「ネットワークから切り離された」「電源が切られた」などが回答になります。

（３）本文中の下線２について、マルウェアに感染しているPC又はサーバをRログを使って検知する方法を、３０字以内で具体的に述べよ。

解答

RログをマルウェアＭのハッシュ値で検索する

解説

Ｒシステムの説明を見れば記載があるので、そのまま転記するボーナス問題です

情報処理安全確保支援士　過去問解説その他記事