【令和4年秋期 午後Ⅱ】情報処理安全確保支援士 問題別・学ぶべき知識（マルウェア解析・EDR相関分析）

令和4年秋期 午後Ⅱで問われたマルウェア解析・EDR相関分析の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅱ 問１　マルウェア解析とCTF対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：解析対象を通常LANで実行

  結果・補足：C&Cへ接続又は周辺端末へ感染を拡大する危険がある。仮想環境を検知するマルウェアにはネットワーク隔離した実機を使い、疑似C&C又は通信遮断下で動作を観測する

• 対策・確認

  試料と生成ファイルのハッシュ、C&C IP、ARP表の同一MAC重複、アカウントロック条件を記録して再現可能にする。

  デバッグログへ認証情報を出さず、解析者間では検体・手順・時刻をそろえる

  設問別の補足知識（全5設問）

  設問1：

  着眼点：

  動的解析はマルウェアを実行して通信やファイル操作を観測します。外部通信からC&Cサーバを特定できますが、仮想環境を検知して挙動を止めるマルウェアもあるため、必要に応じて隔離した実機環境を使います。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問2：

  着眼点：

  解析環境の通信制御は、検体が外部へ被害を出さず、必要な観測だけができることが条件です。構成図の各装置について、許可方向と記録場所を通信経路順に対応させます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問3：

  着眼点：

  CTFのプログラムは、入力値が各分岐をどう通るかを一行ずつ追跡します。初期値、比較結果、代入後の値を表にして、推測ではなく全条件を満たす組合せを選びます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問4：

  着眼点：

  パスワード推測を遅くするには反復ハッシュ、オンライン試行を止めるには連続失敗時のIDロックを使います。コードではnを5桁へ整形してAdminへ連結するため、その規則で候補文字列を作ります。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問5：

  着眼点：

  ARP表の異常は、同一MACアドレスが複数IPに対応する状態から検知します。またデバッグログへ認証情報を残すと、ログ閲覧権限から資格情報が漏れるため、出力対象から除外します。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

午後Ⅱ 問２　EDRを活用したインシデント対応

• 攻撃・原因 → 影響（成立の流れ）

  起点：メールデータファイルを読み込む

  攻撃の進行：1分以内に同じパスのファイルを上書き

  結果・補足：別PCで不審ファイルを実行・外部アップロードする。EDRイベントのプロセス、ファイル、HTTP送信を時間窓でつないで感染起点を絞る

• 対策・確認

  メールの添付名・サイズ、EDRのファイル名・サイズ、プロキシのURL・送信量を時刻で突合する。

  未登録USB-IDも資産台帳と照合し、影響範囲の新事実が出るたびにインシデント判定を更新する

  設問別の補足知識（全6設問）

  設問1：

  着眼点：

  EDRのイベントは、プロセス、対象ファイル、通信方向を具体的な動作へ読み替えます。readはメールフォルダのファイル読込み、外向きHTTP送信はファイルアップロードとして単純ルール化できます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問2：

  着眼点：

  イベントを時刻順に並べ、同一ファイル名やハッシュ、作成元プロセスで端末間の連鎖を追います。最初の読込みから生成、通信、別端末での実行までを一本のタイムラインにすると空欄と調査対象が決まります。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問3：

  着眼点：

  正常利用でも発生する単一イベントではなく、読込み直後の短時間に同一パスが上書きされるというイベント列で検知します。時間窓を1分に限定することで誤検知を抑えます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問4：

  着眼点：

  メール、EDR、プロキシの各ログで共通に比較できる項目を選びます。名称・サイズ・URLを突き合わせ、圧縮によって名称やサイズが変化する場合も考慮して、同一ファイルの移動を裏付けます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問5：

  着眼点：

  許可USBの識別子一覧を基準に、装着イベントのUSB-IDを照合します。一覧に存在しないIDなら、未管理媒体の接続として検知できます。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。

  設問6：

  着眼点：

  初動体制には社内連絡だけでなく社外からの通報入口が必要です。インシデントの重要度は初回情報だけで固定せず、影響の大きさや広がりが判明するたびに更新し、エスカレーションを見直します。

  解答の組み立て方：

  設問で指定された図表、時刻、通信方向、権限又は処理順を本文から一つずつ拾い、前提条件に合わない候補を除外します。複数の空欄がある場合は、各ラベルと解答を対応させたまま確認します。