令和4年度秋期 情報処理安全確保支援士 午後Ⅱ 問3

問03

ポイントは、「Vソフトがデータファイルを読み込んだあと、1分以内に同じパスのファイルが上書きされる」といった流れを、検知ルールとして表せるかだよ。たとえるなら、防犯カメラで「ドアを開けた」だけを見るのではなく、「ドアを開けた直後に金庫を触った」みたいな一連の動きで怪しさを判断するイメージ。単発のログだけではなく、時間の順番を含めた複数イベントの組合せで異常を見つけよう。

この問題で問われていること

EDRをただのログを見る道具としてではなく、「どんな動きが続いたら怪しいか」を関連付けて検知する仕組みとして使えるかが問われているよ。

Behavior-Correlation Detection in EDR

effective EDR rules for unknown malware often detect a suspicious sequence of events within a short time window rather than a single isolated event

watch event sequence\napply a short time window\ncorrelate read then overwrite\nfocus on behavior、 not signature alone

確認ポイント

• 単発ではなく連続挙動で見る。
• 時間条件を入れる。
• 振る舞い相関で検知する。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000008smf-att/2022r04a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。