午後I 問3 セキュリティ運用

テーマ：セキュリティ運用

左右2分割表示：左側の問題文をスクロールしながら右側の設問に解答できます

長文事例本文

図表クリックで拡大

G社は，従業員1,500名の製造業であり，研究開発に定評がある。従業員は，Webアクセスによる情報収集並びに電子メール（以下，メールという）による営業活動及び情報交換にインターネットを利用している。G社では，情報セキュリティポリシーを整備して運用している。G社のシステム構成を図1に，機器及びソフトウェアの概要を表1に，OSの脆弱性修正プログラム（以下，セキュリティパッチという）の現状の配信手順を図2に示す。

 拡大
図1 G社のシステム構成（概要）


 拡大
表1 G社の機器及びソフトウェアの概要（抜粋）


 拡大
図2 セキュリティパッチの現状の配信手順（抜粋）


〔同業他社の事例〕
ある日，情シ部のC主任は，同業他社のH社で発生したセキュリティインシデントの解説記事を見付けた。解説記事の要約を図3に示す。

 拡大
図3 解説記事の要約


心配になったC主任はログを調査した。その結果，1か月以上起動していないPCが30台あることが分かった。それらのPCをこのまま数か月起動しないでおくと，PC-Hと同様の問題が発生する可能性があった。図3の内容及びG社の状況を情シ部のB部長に相談した上で，必要な対策を図4のようにまとめ，情シ部のD君とともにそれぞれを具体化することにした。

 拡大
図4 必要な対策


〔対策1〕
C主任は，対策1については，L2SWのミラーポートに接続するタイプのパケット収集装置を導入し，J社のJサービスを利用して通信内容を分析すればよいと考えた。Jサービスは，インターネットVPN経由でパケット収集装置から必要なパケット情報を取得し，その内容からセキュリティ侵害を検知するサービスである。
C主任は，1台のパケット収集装置を，①マルウェア感染がDMZ又はどのLANで起きてもマルウェアからインターネットへの通信が通過することになるL2SWに接続することに決めた。

〔対策2〕
次は，対策2についてのD君，C主任及びB部長の会話である。

**D君**：1か月間起動していないPCを自動的に起動して，セキュリティパッチが適用されるようにすれば図3のようなセキュリティインシデントを防ぐことができます。良い仕組みはありませんか。
**C主任**：当社のPCは，WoLに対応しています。WoLとは，WoLに対応したPCに対し，特定の起動パケットを送信すると，当該PCが起動するという仕組みです。PCを利用者LANに接続しておけば，資産管理サーバから起動パケットを送信することによって，PCを自動的に起動できます。
**B部長**：なるほど。では，WoLとセキュリティパッチ適用の動作検証を頼む。

D君は，WoLの動作検証を開始した。まず，検証LANに接続されたPC-XとPC-Yを用いて試すことにした。PC-Xは起動しておき，PC-Yはシャットダウンしておいた。その上で，PC-XからPC-Yに対し，bに続けて，起動したいPCのcを16回繰り返したデータを含む起動パケットを送信し，PC-Yが起動することを確認した。その後，資産管理サーバからPC-Yの起動を試みたが，起動しなかった。C主任に相談したところ，②L3SWの設定を変更する必要があるという助言を受けた。D君は，L3SWの設定を変更し，資産管理サーバからPC-Yを起動できることを確認した。続いて，資産管理サーバから利用者LANに接続されたPCを起動できることを確認し，セキュリティパッチが適用されることも確認した。

〔WoLを悪用するマルウェアの脅威〕
WoLについて調べていたD君は，図5に示すマルウェアRの記事を見付けた。

 拡大
図5 マルウェアRの記事（抜粋）


D君は，昼間はPCが不審な振る舞いをすれば発見し対処できる可能性があるが，夜間は多くの従業員が不在となり発見することは難しいと考えた。そこで，マルウェアRに限らない，WoLを悪用するマルウェアへの対策について，C主任に相談した。
C主任は，PCが夜間に不審な振る舞いをしたときに，当該PCをネットワークから隔離するという対策（以下，対策3という）を助言した。D君は，④対策3をG社で導入済のシステムを用いて実現する方法を立案した。対策3は対策1及び対策2と併せて承認された。各対策は運用を開始し，マルウェア対策が強化された。