【令和4年秋期 午後Ⅰ】情報処理安全確保支援士 問題別・学ぶべき知識（IoT更新・侵害調査・OSSサプライチェーン）

令和4年秋期 午後Ⅰで問われたIoT更新・侵害調査・OSSサプライチェーンの知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅰ 問１　IoT製品の脆弱性対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：DNSキャッシュポイズニングで更新先を偽サーバへ変更

  攻撃の進行：正規品を装った不正ファームウェアをIoT機器へ配布

  結果・補足：TLSサーバ証明書でWサーバを認証し、コード署名で更新物の発行者と改ざん有無を検証する

• 対策・確認

  管理画面のパラメータをシェルコマンドへ連結せず、許可値との照合又は安全なAPIで実行する。

  状態変更POSTには推測困難なCSRFトークンとSameSite Cookieを使い、攻撃ページからの強制送信を拒否する

  設問別の補足知識（全4設問）

  設問1：

  着眼点：偽のDNS応答は正規の権威DNS応答より先に届くことでキャッシュへ取り込まれます。DNSだけに依存せず、TLSサーバ証明書でWサーバ本人を検証し、配布プログラムはコードサイニングで改ざんと発行元を確認します。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。（1）a DNSキャッシュポイズニング（2）bエ（3）権威DNSサーバからの応答よりも早く到達する。（4）サーバ証明書を検証し，通信相手がWサーバであることを確認する実装（5）cコードサイニング

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問2：

  着眼点：外部入力をシェルコマンドへ連結すると、攻撃者がメタ文字などを使って本来と異なるコマンドを実行できます。問題の実装ではパラメータで実行内容を不正指定できる点が脆弱性の核心です。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。dシェルが実行するコマンドをパラメータで不正に指定できて

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問3：

  着眼点：CSRFは、ログイン済み利用者のブラウザに攻撃者のページを表示させ、POSTを自動送信させます。対策トークンは第三者に予測されると意味がないため、利用者やセッションに結び付いた推測困難な値が必要です。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。（1）攻撃リクエストをPOSTメソッドで送信させるスクリプトを含むページを表示させる仕組み（2）e推測困難である

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問4：

  着眼点：CWEは発生原因で分類します。DNS応答の信頼性検証不足と、外部入力をコマンドとして解釈させる実装不備を、それぞれ該当する弱点分類へ対応させます。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。脆弱性Aア脆弱性Bオ

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

午後Ⅰ 問２　ソフトウェア脆弱性の侵害調査

• 攻撃・原因 → 影響（成立の流れ）

  起点：脆弱なTソフトが攻撃文字列をログ処理

  攻撃の進行：子のrunプロセスを起動

  結果・補足：外部LDAP通信でJExpを取得・実行する。親子プロセス、13:04:32〜13:05:50の通信、宛先IPを突合して侵害を確定する

• 対策・確認

  予約サーバとSNS投稿サーバの機能・資格情報を分離し、会員サーバからインターネット宛てLDAPをFWで拒否する。

  投稿機能は接続先URLを正規SNSサーバだけに固定し、それ以外を全て遮断する

  設問別の補足知識（全4設問）

  設問1：

  着眼点：表3でrunプロセスのプロセスIDを特定し、表4で同じIDのコネクションを探します。その行の宛先がa3.b3.c3.d3なので、プロセスと通信先を二つの表で結合して求めます。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。a a3.b3.c3.d3

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問2：

  着眼点：親プロセスから侵入起点となったTソフトを絞ります。アクセスログとFWログを時刻順に並べ、攻撃文字列の受信、LDAP問合せ、HTTP取得、run起動を対応させると各時刻・宛先・クエリが決まります。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。（1）runプロセスの親プロセスがTソフトのプロセスであるから（2）b 13:04:32c 13:05:50d a8.b8.c8.d8e LDAPf JExp

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問3：

  着眼点：脆弱性は、攻撃文字列がログ対象へ入る全経路で成立します。一方、会員サーバでは攻撃後に必要なLDAP通信がFWで遮断されるため、同じ文字列を受けても提示された攻撃手順を完遂できません。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。（1）ログ出力処理する文字列中に攻撃文字列が含まれれば悪用可能だから（2）会員サーバからインターネット宛てのLDAP通信が許可されていないから

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

  設問4：

  着眼点：侵害済みサーバを前提に、最小権限と通信先制限を設計します。投稿処理を予約サーバから分離し、許可するURLを投稿用サーバへ限定し、必要な検査対象を全て通過させます。

  解答の組み立て方：設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  公式解答との対応：公式解答例は次のとおりです。g予約サーバh SNS投稿用のサーバのURLi全て

  解答欄では、問題文が指定する字数と表記に合わせ、理由を問う設問では「どの事実から」「なぜそう判断できるか」が伝わる形にまとめます。

午後Ⅰ 問３　OSSサプライチェーン攻撃への対応

• 攻撃・原因 → 影響（成立の流れ）

  起点：脆弱なOSSレジストリからprogを取得・実行

  攻撃の進行：コンテナイメージを同名で上書き

  結果・補足：利用者へ改ざんイメージを配布する。レジストリ固有のレスポンスヘッダと一時ディレクトリのログで偽サーバ・実行痕跡を判別する

• 対策・確認

  正規レジストリのダイジェストと署名を照合し、上書きされたイメージを削除・再発行する。

  C&Cは別IPへ切替えられるため、既知IP遮断だけでなく不審プロセスと外向き通信の振る舞いも監視する

  設問別の補足知識（全3設問）

  設問1：

  着眼点：

  不審なイメージの履歴とコマンドを読み、ダウンロード後に実行する処理を特定します。公開前で修正情報のない脆弱性が悪用されているのでゼロデイ攻撃です。一時ディレクトリを使う処理では、そこに残るログも調査対象です。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問2：

  着眼点：

  偽サーバとの通信は、正規レジストリ固有のレスポンスヘッダの有無で識別できます。改ざんイメージを単に非公開にするだけでは再利用され得るため、上書きされたイメージ自体を削除します。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問3：

  着眼点：

  ログからC&Cなどの接続先を抽出して遮断します。ただしIPアドレスだけの拒否は、攻撃者が接続先を変更すれば回避されます。対策候補は、侵害の再発防止と被害低減のどちらに効くかを区別して選びます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。