問1 インシデントレスポンス

サイバー攻撃はエンドポイントへの侵入から始まることが多い。攻撃者は，マルウェアを仕掛けた後に，より高い権限の奪取を試みたり，ほかのエンドポイントを探索したりする。そのため，エンドポイントのセキュリティ対策としてログの分析が重要になってきている。 インシデント発生時に迅速に対応するためには，どのような攻撃を受けているのかをログから推測・確認する対応力が必要となる。本問では，ソフトウェア開発会社の社内システムの運用及びインシデント対応を題材として，ログを解析する能力及び技術的対策を立案する能力を問う。

問１では，ソフトウェア開発会社の社内システムの運用及びインシデントレスポンスを題材に，ログを調査する能力及び技術的対策を立案について出題した。全体として正答率は平均的であった。 設問１(3)は，正答率が高かった。被害の可能性を複数のログから適切に読み取ることができていた。 設問１(8)は，正答率が平均的であった。どのログを確認するかの記述がない解答が多かった。マルウェアの動作によって，どのログに何が記録されているかを考え，検知の仕組みを設計できる能力を培ってほしい。 設問2ｆは，正答率がやや低かった。ファイルサーバのアクセス権を最小限にするといった解答が散見されたが，マルウェアは，特別な権限なしにファイルを持ち出している。ファイルの持出しに対する技術的対策は複数考えられるが，インシデントで起きたファイルの持出しを防止できる対策を選択してほしい。