平成31年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：フォレンジックスの流れを押さえよう

フォレンジックスは、事件現場の証拠集めみたいに「収集→検査→分析→報告」の順で進めるよ。ディスクなどの媒体を調べたり、削除されたファイルを復元したりする作業は、証拠を詳しく確認する「検査フェーズ」の代表例だよ。

この問題で問われていること

この問題では、削除ファイルの復元や媒体解析がフォレンジックスのどの段階に当たるかを見分けよう。SIEMでログから異常を検知する話、暗号化への対策、マルウェアの照合とは役割が違うので、そこを混同しないようにしよう。

Digital Forensics Examination

recovering deleted log files from disk is part of forensic examination

collect -> examine -> analyze -> report

確認ポイント

• リアルタイム相関分析は運用監視寄りです。
• メール暗号化は予防策です。
• 削除ログ復元は検査に当たる。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これが正解だよ。SIEMは、サーバやネットワーク機器のログを1か所に集めて、リアルタイムに関連付けて分析し、不正アクセスなどを見つける仕組みだよ。たとえば、店の防犯カメラ、レジ記録、出入口の記録を警備室に集めて、『この動きは怪しいぞ』とまとめて判断するイメージだね。

選択肢イ（正解）

これは不正解だよ。削除されたログを復元して不正アクセスの痕跡を探すのは、事件後に現場を調べる『鑑識』のような作業で、デジタルフォレンジックスに近いよ。SIEMは事件後の復元作業ではなく、普段からログを集めて監視・分析する仕組みなんだ。

選択肢ウ

これは不正解だよ。メール本文や添付ファイルを暗号化して情報漏えいを防ぐのは、手紙を鍵付きの封筒に入れて送るような対策だよ。これは情報を読まれにくくするための暗号化の話であって、ログを集めて不正アクセスを検出するSIEMの説明ではないんだ。

選択肢エ

これは不正解だよ。プログラムのハッシュ値を脅威情報と照合してマルウェアを見つけるのは、いわば『入場者の顔写真をブラックリストと見比べる』ような方法で、ウイルス対策やEDRに近い考え方だよ。SIEMは個別のファイル検査より、いろいろな機器のログを集めて怪しい動きを見つける仕組みなんだ。