SC情報処理安全確保支援士試験午後Ⅱ

令和4年度秋期情報処理安全確保支援士午後Ⅱ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問2 インシデントレスポンスチームに関する次の記述を読んで，設問に答えよ。設問1 本文中の下線①，②について，検知するための単純ルールを，それぞれ30字以内で具体的に答えよ。設問2 ［マルウェアβの検知］について答えよ。 (1) 表5中のa～eに入れる適切な時刻，ファイル名又はPC名を答えよ。 (2) 本文中の下線③について，PC1～3の内蔵SSD及びファイルサーバから削除すべきファイルは何か。解答群から全て選び，記号で答えよ。解答群ア PC1のC:\file1.v イ PC2のC:\file3.v ウ PC2のC:\file6.v エ PC2のC:\file8.v オ PC3のC:\file4.v カ PC3のC:\file7.v キ共有フォルダ内のfile2.v 設問3 本文中の下線④について，作成した検知ルールを60字以内で答えよ。設問4 ［秘密ファイルの流出］について答えよ。 (1) 表6中のf，gに入れる適切なログの項目名を，表1から選び答えよ。 (2) 表6中のhに入れる適切な字句を答えよ。 (3) 表6中のi，jに入れる適切なログの項目名を，表1から選び答えよ。 (4) 本文中のk～mに入れる適切な字句を，それぞれ10字以内で答えよ。設問5 本文中の下線⑤について，新たに作成した検知ルールを60字以内で答えよ。設問6 表7中のn，oに入れる適切な字句を，nは30字以内で，oは50字以内でそれぞれ答えよ。

解き方のヒントを見る

問02：未知のマルウェアを見つけて対応するには？

未知のマルウェアは、1つのログだけを見て『これだ！』と決めつけるのではなく、いろいろな出来事をつなげて考えるのが大事だよ。たとえば、部屋の中で物音・足跡・開いた窓をまとめて見て『誰か入ったかも』と判断するように、複数のイベントを関連付けて異常を見つけよう。

この問題で問われていること

この問題では、怪しい動きをどう検知するかという技術面と、見つけた後に誰が何をするかというインシデント対応の流れを、両方きちんと考えられるかが問われているよ。

EDR Operational Design

successful EDR operations correlate multiple events such as mail access、 HTTP uploads、 USB insertion、 and file transformations、 then connect them to escalation procedures

event correlation\nalerting\nre-evaluation\nresponse workflow

確認ポイント

EDR の導入だけで終わらない。
相関条件を設計する。
通報と再判定の体制も必要です。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和4年度秋期情報処理安全確保支援士試験午後Ⅱ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

令和4年度秋期 情報処理安全確保支援士 午後Ⅱ 問2

問題