ワームによる事象の解析【情報処理安全確保支援士試験平成30年度秋期午後1 問2 No.2】

情報処理安全確保支援士試験平成30年度秋期午後1 問2 No.2

【セキュリティインシデントの発生】
　ある日、セキュリティ管理部のJ主任にNSM管理サーバからアラートメールが届いた。J主任は、部下のM君とともに調査を開始した。NSM管理サーバのダッシュボード画面を確認したところ、IDS機能のアラートは発生していなかったが、通信量が普段よりも2倍以上増えていたのでアラートメールが送られたことが分かった。そこで、NSM管理サーバを使って、通信量が増えている原因を調べることにした。まず、直近1時間のコネクション件数を表示してみた。表示内容を図2に示す。

　宛先ポート別の件数で、445/TCPのコネクション件数が普段と比べて非常に多かった。J主任は、セキュリティ機関から、ワームVに関する注意喚起を受け取っていたことを思い出した。ワームVに関する注意喚起を図3に示す。

　J主任はワームVが原因であると仮定して分析を進めた。送信元IPアドレス別の件数では、10.100.130.1の件数が普段と比較して非常に多かった。宛先IPアドレス別の件数では、ファイルサーバやWebサーバなどが件数の上位になっており、普段と比べて大きな違いはなかった。②ワームVが行うスキャンは、宛先IPアドレス別の件数の上位に登場していない。TCPステータス別の件数では、”SYNに対して応答なし”が多くなっているが、これはワームVのスキャンに対して、宛先IPアドレスから応答がないことを示していると考えた。ここまでの調査結果から、10.100.130.1のIPアドレスをもつ機器がワームVに感染している可能性があると判断し、ネットワークの停止をアナウンスして、L2SWで、10.100.130.1の機器がつながっている物理ポートをシャットダウンした。

①について、どのようなTCPフラグの組合せの応答か。8字以内で答えよ。：SYN+ACK

　図3に「445/TCPのポートをスキャン」「スキャンでは、各IPアドレスに1パケットずつ接続要求を送信する」とあり、ワームVはTCPのコネクション確立で行われる3ウェイハンドシェイクで接続要求していることが分かります。
　3ウェイハンドシェイクでは、正常にコネクション確立する場合のTCPフラグは以下のようになります。

接続元からSYNフラグを接続先に送信
接続先からSYN＋ACKフラグを接続元に送信
接続元からACKフラグを接続先に送信

　したがって、ワームVはSYN＋ACKフラグの応答があることを正常な応答と判断します。

②について、ワームVが行うスキャンの特徴を踏まえて、図3中の（a）および（b）のスキャンが宛先IPアドレス別の件数の上位に登場しない理由を、それぞれ25字以内で述べよ。：（a）パケットがNSMセンサの監視対象外であるため、（b）同一IPアドレスへのスキャン回数は少ないから

　ワームVが行うスキャンの特徴を踏まえてとあるので、図3を確認すると、「（a）のスキャンでは、IPアドレス範囲の最後までスキャンが完了した場合、5分間待機した後、IPアドレス範囲の先頭からスキャンを繰り返す。（b）のスキャンは、IPアドレス範囲の最後までスキャンが完了した場合、スキャンを終了する。」とあります。
　つまり、ワームVのスキャンでは、（a）の場合は宛先IPアドレスに対して、5分ごとに1回発生します。（b）の場合は宛先IPアドレスに対して、1回のみ発生します。
　図2は、直近1時間のコネクション件数を表示するもので、宛先IPアドレスに対しては（a）の場合で12回、（b）の場合で多くて1回となり、スキャン回数が少ないことが上位に登場してこない理由と考えて良さそうです。
　もう少し注意深く、深掘りしましょう。
　（a）は感染したPCと同一セグメントの範囲とあり、「10.100.130.1」が所属するセグメントは図1から「10.100.130.0/24」であることが分かります。
　ここで気付きたいのが、NSMセンサの位置です。NSMセンサはL3SWのミラーポートに接続されているので、L3SWを通過するパケットのみを監視対象とすることができます。
　これを踏まえて、（a）の同一セグメントへスキャンする場合の通信の流れは、L2SWが各機器のMACアドレスを学習していた場合は、L2SWを介した通信となり、L3SWへは到達しません。したがって、NSMセンサの監視対象外であることが分かります。
　L2SWがMACアドレスを学習していない時のARPパケットやデフォルトゲートウェイ宛ての通信はL3SWに到達しますが、無視していいレベルでしょう。