SC情報処理安全確保支援士試験午後Ⅰ

令和元年度秋期情報処理安全確保支援士午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

最近，攻撃対象組織ごとにマルウェアなどを用意する攻撃が増えている。そういった攻撃に対応するため， ISACなどの脅威インテリジェンスを共有する組織を活用し，インシデント対応を行うケースが増えている。本問では，脅威インテリジェンスの関連知識と脅威インテリジェンスを活用するインシデント対応力について問う。

解き方のヒントを見る

問02：脅威情報をログ確認に落とし込もう

この問題では、外から届いた“怪しい通信の情報”を、自社のログでどう探すかがポイントだよ。例えば、防犯カメラの映像から不審者の服装や行動を手掛かりにするように、プロキシ認証の失敗ログ、グローバルIP宛てのHTTP通信成功ログ、パブリックDNSサービスへのDNS通信成功ログを見ていこう。DMZとインターネットの間でどんな通信が許可されているか、権威DNSサーバと外部DNSサーバがそれぞれ何をするものかを整理することも大事だよ。さらに、特定のドメインに対してDNS問い合わせが大量に発生していたら、いつもと違う動きとして異常の兆候だと考えよう。

この問題で問われていること

共有された脅威情報をそのまま読むだけでなく、『自社のどのログで、何を確認すればよいか』に変換できるかが問われているよ。

Turning Intelligence into Investigation Steps

threat intelligence becomes useful only when authentication failures、 outbound HTTP traces、 DNS traces、 and firewall rules are connected into one investigation hypothesis

start from failed proxy auth\ncheck outbound HTTP success\ncheck DNS to public resolver\nreview DMZ-to-Internet rule\nwatch bursts of queries for one domain

確認ポイント

共有情報をそのまま読んで終わらせない。
HTTP と DNS の外向き通信を切り分ける。
異常兆候をログ条件へ落とす。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和元年度秋期情報処理安全確保支援士試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

令和元年度秋期 情報処理安全確保支援士 午後Ⅰ 問2

問題