平成26年度秋期 ネットワークスペシャリスト 午後Ⅱ 問1

問1　標的型メール攻撃の対策に関する次の記述を読んで，設問1～5に答えよ。 Y社は，産業機械の製造会社であり，本社の他に，工場と3か所の営業所がある。Y社の先進的な技術によって製造された製品は，顧客から高い評価を受けている。この優位性を維持するために，Y社ではこれまで，知財情報，個人情報などの安全な管理に注力してきた。 Y社では，製品の設計，開発及び外注先・顧客との情報交換に，電子メール（以下，メールという）を活用している。Y社のネットワークシステム構成を，図1に示す。 図1　Y社のネットワークシステム構成 全社（本社，工場及び営業所）のネットワーク，サーバ及びPCのメンテナンスは，管理セグメントの管理PCを使用して行われている。各営業所には，当該営業所の営業所員が使用するPCとファイルサーバが設置されている。管理PCを含む全社で使用されているPC（以下，全社のPCという）からインターネット上のWebサーバ，FTPサーバへのアクセスは，プロキシサーバを介してだけ可能である。本社と工場にはメールサーバが設置され，本社社員と営業所員は本社メールサーバで，工場社員は工場メールサーバで，メールの送受信を行っている。 メールの転送経路を，表1に示す。 表1　メールの転送経路 最近，特定の企業，官公庁などを標的にして，その組織が保有する知財情報，個人情報などの重要な情報を窃取又は破壊する，標的型メール攻撃が増加してきた。この状況に対応するために，Y社では，標的型メール攻撃の対策を行うことにした。そこで，情報システム部のM部長は，セキュリティ担当のS主任とネットワーク担当のN主任に，対策案の検討を指示した。 S主任とN主任は，対策案の検討に先立ち，今後の進め方について打合せを行った。そのときの会話の一部を，次に示す。 S主任：標的型メール攻撃に対しては，マルウェアの侵入を防ぐ入口対策だけではなく，社内のLANに侵入したマルウェアの活動を抑えたり，活動を発見しやすくしたりする対策（以下，出口対策という）も必要になっているようだ。N主任には，ネットワークでの入口対策と出口対策を検討してもらって，私は，サーバとPCに必要なマルウェア対策と運用規程を見直すことにする。 N主任：了解した。検討後に対策案を持ち寄って，実施する対策について話し合おう。 N主任は，S主任との打合せの後，部下のJ君に，標的型メール攻撃の手法の調査と対策案の検討を指示した。 〔標的型メール攻撃の手法と対策案〕 J君は，標的型メール攻撃の手法の調査と対策案の検討を行った。 標的型メール攻撃の多くは，ソーシャルエンジニアリング手法で収集した攻撃対象者の情報を基に，（ア）攻撃対象者と関係がありそうな組織，機関及び実在の人物を装ったメールを送り付けてくる手法をとる。送り付けられたメールには，悪意のあるコード，マルウェアが埋め込まれたファイルが添付されていたり，マルウェアが仕込まれたWebサイトへのリンク先を示す［a］が本文に記載されていたりする。 社内に侵入したマルウェアは，インターネット上の攻撃者のサーバとの通信路となるバックドアを開設して，攻撃基盤を構築することが多い。HTMLで作成されたコンテンツの送受信用プロトコルである［b］によってバックドアの通信が行われた場合，業務での通信との区別が困難である。マルウェアは，攻撃基盤を構築した後，システム内部への侵入を行い，拡散，重要情報の窃取，破壊などを行う。 SMTPでは，送信者が，自分自身のメールアドレスを容易に詐称することができる。しかし，送信元のMTA又はMUAが稼働するサーバ又はPCに設定されている［c］を書き換えることは困難である。そこで，（イ）ドメインを比較するだけでも，送信者のメールアドレスが詐称されているかどうかが，ある程度判別できる。 標的型メール攻撃の入口対策の一つとして，送信者のなりすましを検知する目的で開発された，送信ドメイン認証がある。送信ドメイン認証には，幾つかの手法があり，その中で，SPF（Sender Policy Framework）は，既存のネットワークシステムにも導入しやすい点が評価され，普及が進んでいる。 SPFでは，受信者が送信者のなりすましを検証するために，送信者のDNSの資源レコードにSPFレコードが追加されている必要がある。Y社でSPFを導入するときは，DMZの社外向けDNSサーバに，（ウ）メール中継サーバのIPアドレスを記述したSPFレコードを追加することになる。 SPFによる認証処理の概要を，図2に示す。 〔SPFによる送信者のドメイン認証手順〕 ① メールが，メールサーバ2からメールサーバ1に転送される。 ② メールサーバ1は，エンベロープ中のメールアドレスを基に，DNSサーバにSPFレコードを問い合わせる。 ③ DNSサーバから，SPFレコードが回答される。 ④ メールサーバ1は，SPFレコードに登録されたメールサーバのIPアドレスを基に，受信したメールの正当性を検査する。不正なメールと判断したときには，受信したメールを廃棄又は隔離することができる。 図2　SPFによる認証処理の概要 J君は，標的型メール攻撃の入口対策として，SPFを導入することを考えた。 SPFを導入しても，マルウェアの社内への侵入を完全に阻止することはできない。そこで，攻撃基盤の構築を困難にしたり，バックドアの通信を発見しやすくしたりする出口対策が重要になる。 J君は，ネットワークにおける出口対策には，プロキシサーバでの対策と社内のLANでの対策が有効と考えた。プロキシサーバでの対策として，既設のプロキシサーバを，認証機能と，HTTPSで暗号化されたデータを復号する機能とをもつ機種に交換する。認証機能によって，マルウェアによるプロキシサーバ経由の通信を困難にさせるだけでなく，取得できるログの情報が増える。復号機能によって，SSL/TLS（以下，SSLという）通信でも，受信したデータ中に不適切な言葉や文字列などが含まれていたとき，その通信を遮断する［d］や，Webサーバからダウンロードされるファイルに対するウイルスチェックなどの，セキュリティ対策が行えるようになる。 社内のLANでの対策としては，図1中のL3SW1にパケットフィルタリングを設定して，業務に不要な通信を遮断する。 J君は，これらの検討結果をN主任に報告した。そのときのN主任とJ君の会話の一部を，次に示す。 N主任：SPFは入口対策として，容易に導入できそうだな。 J君：はい。機器の交換とか，新たな機器の導入は必要ありません。 N主任：出口対策も効果がありそうだ。しかし，プロキシサーバがSSLを終端できると中間者攻撃が可能になってしまうので，復号機能の実現方法を調べてくれないか。パケットフィルタリングについては，具体的に検討してみなさい。 J君：分かりました。早速，調査・検討してみます。 〔プロキシサーバの復号機能の実現方法〕 まず，J君は，プロキシサーバの復号機能の実現方法について調査した。 PCは，Webサーバとの間でSSL通信を行うときには，プロキシサーバ宛てにconnect要求を送信する。復号機能をもたない既設のプロキシサーバの場合，受信したconnect要求に含まれる接続先サーバとの間で，指定された宛先ポート番号に対してTCPコネクションを確立する。その後，プロキシサーバはPCにconnect応答を送信して，それ以降に受信したTCPデータをそのまま接続先に転送する，［e］処理の準備が整ったことを知らせる。 復号機能をもつプロキシサーバの場合，PCからのconnect要求を受信した後の動作は，次のようになる。 復号機能をもつプロキシサーバの動作手順の概要を，図3に示す。 図3　復号機能をもつプロキシサーバの動作手順の概要 図3に示したように，PCからのconnect要求を受信したプロキシサーバは，まず，①～③の手順でWebサーバとの間でSSLセッションを開設し，更にPCとの間でも，④～⑥の手順でSSLセッションを開設する。このとき，⑤で，プロキシサーバは，サブジェクト（Subject）に含まれるコモン名（CN：Common Name）に，サーバ証明書1と同じ情報をもたせたサーバ証明書2を生成して，PC宛てに送信する。PCはサーバ証明書2を検証し，認証できたときに⑥が行われ，SSLセッションが開設される。ここで，PCがサーバ証明書2を正当なものと判断してプロキシサーバを認証するためには，PCに，（エ）サーバ証明書2を検証するのに必要な情報を保有させる必要がある。 なお，仮に，図3中の⑤で，プロキシサーバがWebサーバから取得したサーバ証明書1をPCに送信した場合，PCによるプロキシサーバの認証は成功する。しかし，（オ）⑥において，プリマスタシークレット（Premaster Secret）の共有に失敗するので，このような方法でSSLセッションを開設することはできない。 調査の結果，J君は，プロキシサーバの復号機能の実現方法を確認できたので，次のステップとして，社内のLANにおけるセグメント間のパケットフィルタリングについて検討した。 〔パケットフィルタリングの検討〕 パケットフィルタリングの検討に当たって，J君は，業務における各サーバの利用状況を調査し，用途とアクセス元を表2，3にまとめた。表2は，DMZで稼働しているサーバの用途とアクセス元を，表3は，DMZ以外で稼働しているサーバの用途とアクセス元をまとめたものである。 表2　DMZで稼働しているサーバの用途とアクセス元 表3　DMZ以外で稼働しているサーバの用途とアクセス元 次に，表2，3の情報を基に，マルウェアの拡散を阻止するためのパケットフィルタリングポリシを，図4にまとめた。 ① PCからサーバへの業務用通信及びサーバ間の業務用通信を，表2，3どおり許可する。 ② 上記①に加え，業務用通信区間における疎通テストのための通信を許可する。 ③ 管理PCについては，上記①，②の他に，他のセグメントのPC及びサーバへのリモート接続と疎通テストのための通信を許可する。 ④ 上記①～③以外の通信を禁止する。 図4　パケットフィルタリングポリシ その後，図4を基に，パケットフィルタリングルールを検討した。 J君が検討してまとめた，ポートA，Bに設定するパケットフィルタリングルールを，表4，5に示す。ここで，ポートA，Bは，L3SW1のP1～P6のいずれかのポートであるが，設問の関係でどのポートかは明記しない。 表4　ポートAに設定するパケットフィルタリングルール 表5　ポートBに設定するパケットフィルタリングルール J君は，全ての調査・検討が終了した後，プロキシサーバの復号機能の実現方法と，パケットフィルタリングルールの内容をN主任に説明した。説明を聞いたN主任は，プロキシサーバの復号機能については中間者攻撃に対して安全であることを了解した。しかし，パケットフィルタリングルールの内容については，（カ）表4にルールの漏れが一つあるので，項番1，2の間に追加するよう指示した。 〔入口対策と出口対策の実施項目〕 N主任は，J君の報告を基に対策案をまとめ，実施に移す対策（以下，実施策という）についてS主任と打合せを行った。そのときのN主任とS主任の会話を，次に示す。 N主任：ネットワークでの入口対策と出口対策の案をまとめた。入口対策としては，SPFを導入する。出口対策としては，既設のプロキシサーバを認証機能と復号機能をもつ機種に交換し，L3SW1にパケットフィルタリングを設定する。 S主任：分かった。私の方では，サーバ，PC及びFWでのマルウェア対策の実施状況について調査したところ，ウイルス対策ソフトの運用とセキュリティパッチの適用は，運用規程どおり実施されていた。また，FWでは，社内のLANからインターネットへの不必要な通信の遮断設定が適切に行われていた。しかし，不審なメールへの対応と，社内に侵入したマルウェアの活動を発見するためのログの検査が，適切には行われていなかった。今後，不審なメールへの対応に関する規程を定め，ログの検査方法・検査内容を見直すことにする。 N主任：プロキシサーバの交換で，マルウェアの活動を発見しやすくなるな。 S主任：そうだな。プロキシサーバで利用者認証を行えば，マルウェアによるバックドアの通信路の開設を困難にできるだけでなく，バックドアの通信が発見しやすくなる。セキュリティチームで，認証効果を高めるための全社のPCへの対策と，プロキシサーバのログの定期的な検査を行うことにする。 N主任：それでは，2人の検討結果をまとめて，M部長に提案しよう。 N主任とS主任は，検討結果を基に，次の6項目から成る標的型メール攻撃に対する実施策をまとめ，M部長に提出した。 ・図1のネットワークシステムにSPFを導入する。 ・プロキシサーバを交換し，プロキシサーバで利用者認証を行うとともに，復号機能を利用してSSL通信に対してもセキュリティ対策を行う。 ・L3SW1で，セグメント間のパケットフィルタリングを行う。 ・プロキシサーバの認証効果を高めるために，PCのWebブラウザの設定を変更する。 ・（キ）利用者が不審メールを発見したときの対応に関する規程を定め，運用規程に組み入れる。 ・プロキシサーバのログの検査方法・検査内容を見直し，（ク）ログの検査間隔を可能な限り短縮して，定期的に検査を行う。 実施策が承認され，N主任とS主任は，ネットワークシステムの変更及び運用の見直しを進めることにした。 設問1　本文中の［a］～［e］に入れる適切な字句を答えよ。 設問2　〔標的型メール攻撃の手法と対策案〕について，（1）～（4）に答えよ。 （1）本文中の下線（ア）のメールによって，メール送信者が誘導しようとする受信者の行動を，40字以内で述べよ。 （2）本文中の下線（イ）で，比較する二つのドメインを，50字以内で述べよ。 （3）本文中の下線（ウ）について，Y社には3台のメールサーバがあるが，その中でメール中継サーバのIPアドレスを記述する理由を，30字以内で述べよ。 （4）Y社でSPFを導入するとき，社外向けDNSサーバへのSPFレコードの追加とともに，SPFによる認証処理を実施することになる。その認証処理を実施させるサーバ名を，図1中の名称で答えよ。また，認証処理を正しく行うには，そのサーバでなければならない理由を，30字以内で述べよ。 設問3　〔プロキシサーバの復号機能の実現方法〕について，（1）～（3）に答えよ。 （1）既設のプロキシサーバの場合，SSLセッションはどの機器間で開設されるかを，図3中の名称で答えよ。 （2）本文中の下線（エ）の情報を，20字以内で答えよ。 （3）本文中の下線（オ）について，失敗する理由を，40字以内で述べよ。 設問4　〔パケットフィルタリングの検討〕について，（1）～（4）に答えよ。 （1）表4，5のパケットフィルタリングルールを適用するポートA，Bを，図1中のポートIDで答えよ。また，通信の方向を，IN又はOUTで答えよ。 （2）表4中の項番2のパケットフィルタリングルールの目的を，25字以内で述べよ。 （3）本文中の下線（カ）で，N主任が表4への追加を指示したパケットフィルタリングルールを，表4の記述方法で答えよ。 （4）表4中の項番3，4の二つのパケットフィルタリングルールによって制御される通信の内容を，70字以内で述べよ。 設問5　〔入口対策と出口対策の実施項目〕について，（1）～（3）に答えよ。 （1）プロキシサーバの交換によって，新たにログとして取得できる情報について，60字以内で述べよ。 （2）本文中の下線（キ）で定めるべき規程の内容を三つ挙げ，それぞれ30字以内で述べよ。 （3）本文中の下線（ク）によって期待される効果を，30字以内で述べよ。