SC情報処理安全確保支援士試験午後Ⅱ

令和3年度秋期情報処理安全確保支援士午後Ⅱ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問3 〔インシデントへの対策の検討] について、 ①⑪)~て(5)に答えよ。 Q①) 本文中の下線について、どのような設定変更か。40字以内で具体的に述べよ。 (⑫) 本文中の下線@について、 DNSシンクホール機能を有効化した場合でも、 UTMでの通信拒否が必要な理由を、マルウェアの解析結果を踏まえて40字以内で具体的に述べよ。 ⑬ 本文及び表4中の[| f | に入れる適切な字句を、 20字以内で答えよ。 (④ 本文中の下線@について、問題がないと判定されるのは、 PCやサーバがマルウェア8に感染後、マルウェア8がどのような挙動をしていた場合か。25字以内で具体的に述べよ。 (⑤5) 本文中の下線@について、可能である理由を45字以内で具体的に述べよ。設

解き方のヒントを見る

問03：マルウェア通信はDNSだけ見ても安心できないよ

C&CサーバのIPアドレスが変わっても、マルウェアが毎回FQDNをDNSで引き直すとは限らないよ。たとえば、引っ越し先を電話帳で調べず、前にメモした住所へ直接行くような動きもあり得るんだ。だからDNSシンクホールだけに頼るのではなく、UTM側でも怪しい通信を拒否するようにしておく必要があるよ。さらに、イベントログの消去を示すログ、横展開機能と待機機能だけが動いた場合の評価、IDSで検知して管理者へ連絡する流れまで、セットで読み取ろう。

この問題で問われていること

この問題では、『検知の仕組みを追加したから終わり』ではなく、マルウェアがどう通信し、どう待機し、どこで止めるべきかを考える力が問われているよ。入口に警備員を置くだけでなく、建物内の巡回や非常連絡の仕組みも必要、というイメージで多層防御を説明できるようにしよう。

Why One Detection Layer Is Not Enough

malware response must explain why DNS sinkholing is insufficient alone、 how log-clearing traces matter、 and when standby-only behavior changes the incident assessment

FQDN may not always be queried\nDNS sinkhole alone can miss traffic\nwatch for event-log clearing\ninterpret standby-only behavior\ncombine IDS and notification

確認ポイント

DNS シンクホールの限界を押さえる。
ログ消去痕跡を重視する。
待機挙動の意味を読む。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和3年度秋期情報処理安全確保支援士試験午後Ⅱ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

令和3年度秋期 情報処理安全確保支援士 午後Ⅱ 問3

問題