平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問11

ウイルスの第1陣が侵入したあとに、第2陣（強力なウイルス本体）をダウンロードしに行く通信を遮断する

二段階で攻撃してくる「ダウンローダー型ウイルス」の対策問題だよ。このウイルスは、最初にメールなどでPCに入り込む時はとても小さくて無害に見えるんだ。けれど、感染した瞬間にこっそり外部の悪いサイト（攻撃者のサーバー）へアクセスし、そこから凶悪なウイルス本体（第2陣）を勝手に「追加ダウンロード」してくるんだよ。だから、社内からそういった「不正なWebサイト」へのアクセスをネットワークの出口でブロックしておくことが最大の防御になるんだ。

この問題で問われていること

パソコンに入り込んだ小さなプログラムが「外部から本物のマルウェアをダウンロードしてくる」という動作メカニズムを理解し、そのダウンロード元への通信を遮断する対策を選ぼう。

ダウンローダ型の遮断点

最初のマルウェアは外部 C2 や不正サイトへ接続して本体を取りに行くことが多いです。URL フィルタでその経路を断つと、被害の拡大を抑えやすくなります。

侵入後に不正サイトへ接続\n-> 追加マルウェア取得\nURL フィルタで遮断

確認ポイント

• 外部から内部への要求パケット遮断だけでは足りません。
• スパムメール拒否は侵入後ダウンロード対策の本筋ではありません。
• 不正 Web サイトへの接続遮断を選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。ダウンローダ型マルウェアは、まず小さな侵入役が入り込んで、あとから悪いWebサイトへ取りに行って本体を持ち込むタイプなんだ。たとえるなら、泥棒が家の中から仲間に電話して『道具を持ってきて』と言う感じ。URLフィルタで不正Webサイトへの接続を止めれば、その電話先につながらないので、追加の悪いプログラムを取りに行く動きを防ぎやすいよ。

選択肢イ

不正解だよ。選択肢の『TPS』は通常は『IPS』のことだと考えると、外から内部へ来る怪しい侵入パケットを捨てる仕組みの説明としてはおおむね合っているよ。たとえるなら、外から窓をこじ開けようとする泥棒を警備員が止める感じ。でも今回のポイントは、すでに入ったダウンローダが外の不正Webサイトへ追加部品を取りに行く通信を止めること。だから、この問題の正解としてはURLフィルタのほうが合っているんだ。

選択肢ウ

不正解だよ。スパムメール対策サーバで外から来る迷惑メールを拒否するのは、怪しいチラシを玄関で受け取らないようにする対策だよ。もちろん大事だけど、ダウンローダ型マルウェアが感染後にWebサイトへ追加の悪いものを取りに行く動きを直接止めるものではないんだ。

選択肢エ

不正解だよ。メールフィルタで他サイトへの不正メール発信を止めるのは、感染したPCが迷惑メールをばらまくのを防ぐ対策だね。たとえるなら、家から外へ怪しい郵便物を出させない見張り番。でもこの問題で防ぎたいのは、マルウェアが外の不正Webサイトから追加プログラムを取りに行く動きなので、狙いが少し違うよ。