令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問13

ハッカーが侵入したときに残していく「泥棒の足跡（痕跡）」

IoC（侵害指標）は、システムがすでにハッカーに攻撃されてしまった「証拠・痕跡」のこと。たとえば、ログに残された「攻撃者の怪しいサーバー（C&Cサーバー）と通信したIPアドレスの記録」や、特定のウイルスのファイルのハッシュ値などがこれに当たるよ。

この問題で問われていること

「システムの中に残された、実際の侵入 of 痕跡（ログなど）」を探すのがIoC。セキュリティのルールや設定（ファイアウォールの設定など）そのものは痕跡ではないので除外しよう。

IoC

侵害後に残る観測可能な痕跡が IoC です。

C&C 通信履歴\n-> 侵害痕跡\n= IoC

確認ポイント

• JVN の脆弱性情報は IoC ではありません。
• CRL や FW ルールも侵害痕跡ではありません。
• C&C 通信履歴を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。JVNの脆弱性情報は「この家の窓は壊されやすいよ」という注意書きみたいなもの。危ない弱点の情報ではあるけれど、「実際に泥棒が入った足跡」ではないので、IoCではないよ。

選択肢イ

これは不正解だよ。証明書の失効リストは「この身分証はもう使えません」という無効リストのようなもの。信用してよい証明書か確認するための情報であって、攻撃された痕跡そのものではないよ。

選択肢ウ（正解）

これは正解だよ。C&Cサーバは、マルウェアに命令を出す司令塔みたいな相手。ネットワーク機器のログにそこへ通信した履歴が残っているなら、「怪しい相手に連絡していた通話記録」が見つかったようなものなので、侵害の痕跡であるIoCに当たるよ。

選択肢エ

これは不正解だよ。ファイアウォールのパケットフィルタリングルールは、建物の入口で「誰を通すか、誰を止めるか」を決める警備員のルール表みたいなもの。防御の設定であって、侵入された証拠ではないよ。