SC情報処理安全確保支援士試験午後Ⅰ

令和元年度秋期情報処理安全確保支援士午後Ⅰ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

最近の標的型メール攻撃は巧妙になっており，セキュリティ製品を導入することや，不審な添付ファイルや不審なリンク先をクリックさせないなど，利用者へ注意喚起することでは，被害の完全な抑止は難しい。本問では，一般的なネットワーク構成におけるウイルス感染を題材として，ウイルスの関連知識とウイルス感染後のインシデント対応力について問う。

解き方のヒントを見る

問03：感染端末の“証拠”を消さずに、被害が広がったか見極めよう

この問題では、感染した端末をいきなり電源断や再起動して、メモリ上に残っている大事な手掛かりを消してしまわないことがポイントだよ。たとえるなら、事件現場を掃除する前に足跡や指紋を確認するイメージだね。そのうえで、その端末がJ社の情報システムへ感染を広げる前だったのか、インターネット上のC&Cサーバへ情報を送る前だったのかを見極めよう。C&CサーバのIPアドレスとの通信履歴があるか、またハッシュ値検索で感染は確認されたけれど通信前に隔離できた状態なのかを、ログから確認することが大事だよ。

この問題で問われていること

初動対応では何の証拠を失ってはいけないのか、そしてどんなログや状態が確認できれば“被害拡大前だった”と判断できるのかを問う問題だよ。

Endpoint Preservation and C&C Timing

incident response on an infected endpoint starts with preserving volatile evidence、 then deciding whether the host communicated with a C-and-C server or was isolated before that stage

do not lose volatile memory\ncheck communication with C&C IP\ndecide pre-communication isolation or not\nsearch logs by malware hash

確認ポイント

初動で証拠保全を優先する。
C&C 通信前後で状態を分ける。
ハッシュ値検索で横展開確認を行う。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和元年度秋期情報処理安全確保支援士試験午後Ⅰ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

令和元年度秋期 情報処理安全確保支援士 午後Ⅰ 問3

問題