平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16：ダウンローダ型マルウェアは“あとから取りに行く”のを止めよう

ダウンローダ型マルウェアは、最初に感染したあとで外部サイトにアクセスして、追加のマルウェアを取りに行くタイプだよ。たとえるなら、家に入り込んだ不審者が仲間を呼ぼうとしている状態だね。だから、危険なWebサイトへの接続をURLフィルタでブロックして、追加のマルウェアをダウンロードさせない対策が有効だよ。

この問題で問われていること

この問題では、入口での侵入防止やメール対策ではなく、感染後に外部サイトへアクセスして追加マルウェアを取りに行く経路を止める対策を選べるかがポイントだよ。

ダウンローダ対策

最初のマルウェアが C2 や不正配布サイトへ接続できなければ、後続の本体や追加機能取得を妨げられる。

外部の危険サイト接続\n-> 追加取得\nURL フィルタで遮断

確認ポイント

• 外部から内部への要求遮断だけでは足りない。
• スパムメール拒否は侵入後のダウンロード対策の本筋ではありません。
• 危険 Web サイト接続遮断を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは公式問題では正解だよ。ダウンローダ型マルウェアは、感染したPCが危険なWebサイトへ行って追加のマルウェアを持ち帰るタイプなんだ。URLフィルタは、危ない店の住所リストを見て『そこには行かせないよ』と止める門番のようなもの。だから、インターネット上の危険なWebサイトへの接続を遮断する対策が最も有効だよ。

選択肢イ

これは不正解だよ。ダウンローダ型マルウェアは、感染したPCが自分から外の危険なサイトへ取りに行く動きが問題なんだ。これは家の中にいる人が外の怪しい店へ買いに行くようなもの。外から泥棒が入ってくるのを玄関で止めるIPS対策とは向きが違うよ。

選択肢ウ

これは不正解だよ。スパムメール対策サーバは、外から届く迷惑メールを入口で止める係だよ。たとえるなら、郵便受けに怪しいチラシが入らないようにする対策。今回のポイントは、すでに感染したPCが外へアクセスして追加のマルウェアを取りに行くことなので、入口のメール対策だけでは直接止めにくいよ。

選択肢エ

これは不正解だよ。メールフィルタで他サイトへの不正メール送信を止めるのは、感染PCが迷惑メールをばらまくのを防ぐ対策だよ。今回止めたいのは、PCが別のマルウェアをインターネットから取りに行くことなので、郵便物の発送口を見張っても、怪しい店への買い物は止められないイメージだよ。