情報処理安全確保支援士 令和５年度春期【過去問解説午後１問２】

2023年4月16日実施の情報処理安全確保支援士解答速報

毎年のことながら７～８割の正解率かと思います。間違いや不明点ございましたらコメントください。⇒全体の見直し完了！

更新履歴	更新日時	内容
初版	2023/4/16 22:00	

解答まとめ

設問１
（１）	パッシブ
設問２
（１）	コミュニティ
（２）	バインドモード 2-3のコマンドにより3-3が実行されたが1-3で拒否されているため
（３）	コネクトモード 2-4のコマンドで1-4で許可され3-4が接続完了しているため
（４）	1365
設問３
（１）	文字列を自由に入力することができるため
（２）	ファイルが変更されている可能性があるため
（３）	受付サーバ

他の解答・解説

情報処理安全確保支援士
問２　セキュリティインシデントに関する記述

設問１　本文中のaに入れる適切な字句を答えよ。

解答

パッシブ

解説

DBサーバから製造管理サーバへの通信しかログに存在していないため、アクティブモードではなくパッシブモードであると推測

設問２　[受付サーバのプロセスとネットワーク接続の調査]について答えよ。

（１）本文中のbに入れる適切な字句を,10字以内で答えよ。

解答

コミュニティ

解説

SNMP (Simple Network Management Protocol) の設定を行うことにより、SNMP 管理ソフトウェアに対してネットワーク管理情報のモニタと変更を行うことができるようになります。

SNMPv1 および SNMPv2c では、コミュニティと呼ばれるグループの名前を相手に通知し、同じコミュニティに属するホスト間でのみ通信します。

SNMPv1 および SNMPv2c で利用する読み出し専用と送信トラップ用のコミュニティ名は、共に初期値が "public" となっています。

これが攻撃者に狙われ利用されたという事です。

（２）本文中のcに入れる適切な字句を,“バインド”又は"コネクト”から選び答えよ。 また, 下線 1について, M さんがそのように判断した理由を, 表1中~表3中の項番を各表から一つずつ示した上で, 40字以内で答えよ。

解答

バインドモード

表1	1-3
表2	2-3
表3	3-3

インターネットから0.0.0.0:8080への接続をLISTENしているため（解答の仕方が違ったので更新）

2-3のコマンドにより3-3が実行されたが1-3で拒否されているため

解説

「コマンドライン引数にbindと書いてるから」という解答はもちろんNGです。

表２の項番2-3でsrvがプロセスを開始し、PIDは1293です。このPIDを表３で確認すると項番3-3が該当します。

この実行結果は「インターネットからの接続をLISTENしている」ため、バインドモードと判断できます。

（３）本文中のdに入れる適切な字句を, “バインド” 又は “コネクト”から選び答えよ。 また, 下線2について, M さんがそのように判断した理由を, 表1中~表3中の項番を各表から一つずつ示した上で, 40字以内で答えよ。

解答

コネクトモード

表1	1-4
表2	2-4
表3	3-4

PID 1293について接続が確立していることが確認できるため（解答の仕方が違ったので更新）

2-4のコマンドで1-4で許可され3-4が接続完了しているため

解説

解き方は（２）と同じ

（４）本文中のeに入れる適切な数を, 表2中から選び答えよ。

解答

1365

解説

接続が確立した後のプロセスはこれのみ。

表２を見ても項番2-5でポートスキャンと読み取れるIPアドレスのレンジが記述されています。

設問３　[受付サーバの設定変更の調査]について答えよ。

（１）本文中の下線3について, A レコードではこのような攻撃ができないが, TXTレコードではできる。TXTレコードではできる理由を, DNS プロトコルの仕様を踏まえて30字以内で答えよ。

解答

文字列を自由に入力することができるため

解説

DNSトンネリングという攻撃手法

DNSの仕組みを利用してサイバー攻撃や情報漏洩に悪用する攻撃です。httpに比べてfirewallなどで制限されていない場合も多く、日常の中で大量にDNSの通信を行うのでコマンドを紛れ込ませることが可能です。

（２）本文中の下線4について, 適切ではない理由を30字以内で答えよ。

解答

ファイルが変更されている可能性があるため

解説

マルウェアがダウンロードしてきた時点のファイルと、Mさんがダウンロードしようとしているタイミングで同じパスに対して同じファイルが保存されている保証はありません。

（３）本文中のfに入れる適切なサーバ名を,10字以内で答えよ。

解答

受付サーバ

解説

マルウェアが稼働していた受付サーバはネットワークから切り離したのみでそのまま稼働しています。サーバをシャットダウンしてしまうと、マルウェアに関する証拠が消えてしまう可能性もあります。

その他の解説