情報処理安全確保支援士試験 令和元年度 秋期 午後2 問1 設問2
【出典：情報処理安全確保支援士試験 令和元年度 秋期 午後2 問1（一部、加工あり）】
【今後のマルウェア対策】
今回はマルウェアの被害が限定的であった。しかし、今後、より大きな被害をもたらすマルウェア感染が起こり得るので、B氏は、サーバAでのマルウェア対策として、表2の対策を提案した。
S社では、表2の対策案について検討した。次は、開発チームのリーダRさん及びメンバのPさんの会話である。
Rさん：対策1、対策2及び対策3は、具体的にどのようにするのかな。
Pさん：対策1については、サーバAのポート（あ）及び（い）へのアクセスは、S社の開発用LANだけからなので、表1において、送信元を（う）に限定すべきでした。対策2については、攻撃に使用されたDBMS-Rのポート番号からS社で独自に定めたポート番号、例えば、8783に変更する方法もありますが、マルウェアXの攻撃を受けるリスクを低減する方法としては、対策1で十分です。対策2は行わず、対策1を行い、今回は送信元をルータSのグローバルIPアドレスに限定するのでDBMS-Rのポートは（い）のままとします。対策3については、マルウェアXはサーバAに侵入の際及び感染後に、（a）コマンドによってファイルをダウンロードしたことを考えると、サーバAから80/tcp及び443/tcpを含め、外部へのアクセスは禁止すべきでした。具体的には、FWルールを表3のように変更します。
Rさん：対策4についても確認させてもらえるかな。
Pさん：今回、（b）コマンドによって、図2の（ウ）が実行されました。DBMS-Rを必要最小限の権限にして稼働させることによって、この実行を防ぎます。
Rさん：なるほど。ところで、サーバAでライブラリのファイルの改ざん検知を行うのはどうだろうか。保護対象ファイルの（え）を計算して、保護された場所に保存しておき、定期的に、保護対象ファイルの（え）を計算し直した値と保存しておいた値とを（お）することによって、保護対象ファイルの（か）又は改ざんが検知できる。Webコンテンツも保護対象にするとよさそうだ。
Pさん：Sシステムでは、Webコンテンツについては、頻繁に（か）するので、頻繁に（え）を計算し直し保存する必要があり、運用が難しそうです。ライブラリのファイルの改ざん検知については、導入を検討します。
表2の対策1〜4は、図2中の3の（ア）〜（オ）のどの機能への対策となるか。それぞれ該当する機能を全て選び、記号で答えよ。：対策1（イ）、対策2（イ）、対策3（ア）、（エ）、対策4（ウ）、（エ）、（オ）
図2（マルウェアXの目的、侵入方法及び機能） の3（マルウェアの機能）の各項目について、通信方法や権限などで整理して、各対策と照らし合わせると以下のようになります。
（ア）暗号資産の採掘用プログラムをダウンロードし、実行する機能：サーバAからダウンロード用サーバへのアクセス
→サーバAから外部へのアクセス禁止としている対策3が有効です。
ダウンロード用のプロトコルについては記載がありませんが、図3（マルウェアXの活動（抜粋））の2では、curlコマンドでHTTPSを利用してスクリプトファイルをダウンロードしていることなどから、同様に、採掘用プログラムもHTTPSを利用していると思われます。
ダウンロードの権限については、curlコマンドによるHTTPSなどは一般ユーザ権限で実行できるので、対策4は有効ではありません。
（イ）ほかのサーバ上で稼働するDBMS-Rに侵入を試みる機能：サーバAへのアクセス、及び、サーバAからほかのサーバへのアクセス
→サーバAへのアクセスを制限している対策1、2が有効です。
送信元IPアドレスの限定はもちろん、マルウェアXが利用するポート6379/tcpを変更することも有効です。
（ウ）サーバのFWルールを変更する機能：サーバA上でのiptablesコマンド実行
→サーバA上でiptablesコマンド実行を制限する対策4が有効です。
iptablesコマンドについては、この後の問題文になりますが、「今回、（b）コマンドによって、図2の（ウ）が実行されました。DBMS-Rを必要最小限の権限にして稼働させることによって、この実行を防ぎます。」とあり、管理者権限が必要と考えられます。
（エ）ルートキットYをダウンロードし、インストールする機能：サーバAからダウンロード用サーバへのアクセス、サーバA上でのインストール
→サーバAから外部へのアクセス禁止としている対策3、サーバA上でインストールを制限する対策4が有効です。
（ア）と同様に対策3が有効なのは明らかです。
インストールについては通常、管理者権限が必要ですので、対策4が有効です。
（オ）活動の痕跡が含まれるログファイルを削除する機能：サーバA上でのrmコマンド実行
→サーバA上でrmコマンドを制限する対策4が有効です。
ログファイルの削除については通常、管理者権限が必要ですので、対策4が有効です。
あ：22/tcp、い：6379/tcp、う：a2.b2.c2.d2
表1（サーバAのFWルール） と表3（変更後のサーバAのFWルール）を比較して、項番3、4に相当する送信元、ポート（22/tcp、6379/tcpのどちらか）を考えます。
送信元については、「S社の開発用LANだけからなので」から、ルータSのアドレスが該当します。
ポートについては、「今回は送信元をルータSのグローバルIPアドレスに限定するのでDBMS-Rのポートは（い）のままとします」とあるので、（い）が6379/tcpとなり、残りの（あ）が22/tcpとなります。
a：curl
マルウェアXがファイルをダウンロードする際に用いるコマンドは、curlコマンドでした。
b：iptables
マルウェアXがFWルールを変更する際に用いてコマンドは、iptablesコマンドでした。
え：ハッシュ値、お：比較、か：変更
ファイルの改ざん検知には、ハッシュ値の比較やディジタル署名の検証などが代表的なものですが、「保護対象ファイルの（え）を計算して」とあるので、ハッシュ値が該当しそうです。
ハッシュ値の比較により、改ざん検知、または意図的な変更も検知されます。