【令和6年秋期 午後】情報処理安全確保支援士 問題別・学ぶべき知識（ログ相関・メール認証・Webスキミング・複合脆弱性）

令和6年秋期 午後で問われたログ相関・メール認証・Webスキミング・複合脆弱性の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後 問１　社内システムのログ分析とインシデント対応

• 攻撃・原因 → 影響（成立の流れ）

  起点：盗用アカウントで仮想PCへRDP接続

  攻撃の進行：installタスクを登録して対策ソフトを停止

  結果・補足：複数C&Cへ通信しfilesvや別PCへ横展開する。RDP、タスク、対策停止、URL通信の各ログをホスト・利用者・時刻で相関する

• 対策・確認

  侵害アカウントを無効化し、全ドメイン利用者へC&C URLの管理者拒否リストを配布する。

  仮想PCのRDPは許可元IPだけに絞り、DLPで社内ファイルのアップロード・持出しを制限する

  設問別の補足知識（全2設問）

  設問1：

  (1) 表3でPC-CへのRDP接続だけが許可されているため，横展開先はPC-Cです。

  (2)(3) 表1のホスト名と，表3・表5の利用者IDを対応させると，filesvとad01\user019になります。

  (4) 侵害されたアカウントからの利用を止める操作なので，10字以内では「無効化」です。

  (5)(6) 図4に現れる三つの通信先を管理者拒否リストと全社ログ調査の対象にします。

  (7) i.ps1が登録するタスク名installを全ホストで探せば，潜伏先を特定できます。

  (8) q.ps1の二つの活動であるマルウェア対策ソフト停止とRDP反復を，それぞれ対応する管理ログから検出します。

  設問2：

  e：正規の接続元だけにRDPを限定すれば，PC-Aからの横展開を阻止できます。

  f：DLPで社外秘情報Lの持出しを制御すれば，q.ps1による不正送信を阻止できます。

午後 問２　ドメイン名変更に伴うメールセキュリティ対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：廃止した旧ドメインを第三者が再取得

  攻撃の進行：旧メールアドレス宛てのパスワード再設定メールを受信

  結果・補足：任意パスワードへ変更して外部サービスを乗っ取る。登録メールを新ドメインへ移行し、旧アカウントと転送を失効する

• 対策・確認

  送信経路はSMTPSで暗号化し、新しいSPFへ実際の送信サービスIPを登録する。

  DKIMは中継サービスが変更するSubjectなどを署名対象から外すか変更させず、SPF・DKIMの整合をテストする

  設問別の補足知識（全5設問）

  設問1：

  (1) メールサーバが格納するのはA社宛てのメールなので，宛先はA社ドメイン名です。

  (2) PC-LANから送信できる宛先に限定がないため「全て」です。

  設問2：

  表5はSMTP通信を暗号化する方式を問うているため，英字10字以内の解答はSMTPSです。

  設問3：

  (1) DKIM公開鍵のFQDNはセレクタ._domainkey.ドメインなので，22024._domainkey.z-sha.co.jp（エ）です。

  (2) Mail-Step1は監視段階なので，DMARCのpタグはnone（イ）です。

  設問4：

  (1) 旧Webサイトの用途をまねれば，顧客に偽の修正プログラムを取得させられます。

  (2) 旧メールアドレスを取得した第三者は再設定メールを受信し，任意のパスワードへ変更できます。

  (3) 送信元を全てHard FailにするSPF指定は-all（ア）です。

  設問5：

  (1) Tサービスが送信元になるため，そのIPアドレスをSPFの許可対象に追加します。

  (2) Yサービスへの転送で送信元IPが変わる一方，SPFにYサービスは未登録です。また，署名対象のSubjectへ通番を付加するためDKIM署名も一致しません。

午後 問３　ECサイトのWebスキミングとクレジットカード情報漏えい対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：商品情報へ悪性スクリプトを格納

  攻撃の進行：支払画面をカード番号・有効期限・名義・セキュリティコードの偽入力欄へ改ざん

  結果・補足：submitイベントで値を攻撃者ドメインへ送信する

• 対策・確認

  表示値は文脈別にエスケープし、CSPで外部スクリプトと送信先を制限する。

  漏えい調査では改ざん期間中の支払画面アクセスログからアカウントを抽出し、外部ドメインへの送信記録と突合する

  設問別の補足知識（全3設問）

  設問1：

  a～c：5行目はscript要素を入力させる攻撃で，DBに保存され多数の利用者へ影響するなら格納型クロスサイトスクリプティングです。

  d・e：2行目は入力値へUNION selectを挿入しているため，SQLインジェクションです。

  設問2：

  (1) 図2の3行目が支払方法欄のinnerHTMLをカード情報の入力欄へ置換します。

  (2) 同じ行のhidden入力がorder[Payment]を1に固定します。

  (3) 4～15行目はsubmitイベント時に入力値を収集し，GETのクエリとして外部へ送信する処理です。

  設問3：

  (1) カード情報はGETのクエリに含まれるため，受信プログラムがなくてもアクセスログのリクエストURIに残ります。

  (2) 情報送信の直前に利用する配送先・支払方法選択画面へのアクセスを，対象期間のアプリケーションログからアカウント単位で抽出します。

午後 問４　Webサイトのセキュリティ診断と複合脆弱性対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：推測可能な求職者IDと窃取APIキーで個人情報を列挙

  攻撃の進行：会社名欄を悪用して連絡先を攻撃者へ変更

  結果・補足：パスワード再設定から企業アカウントを乗っ取り、追加のAPIキーを発行する

• 対策・確認

  求職者IDを推測困難にし、APIの接続元IP・取得属性・キー権限を最小化する。

  認証後は使用済みsessionIDを無効化して再発行し、MFAとプロパティ変更通知、漏えいキーの即時失効で連鎖を断つ

  設問別の補足知識（全3設問）

  設問1：

  (1) 表Bではログイン遷移後もsessionIDが変わらないため，該当する画面遷移は（イ）です。

  (2)(3) 攻撃者はトップURLでsessionIDを得て，メール受信者が同じIDのままログインするのを待ちます。

  (4) 認証後に旧IDを無効化して新しいIDを発行すれば，固定済みIDを再利用できません。

  (5) Strict-Transport-SecurityはHTTPSを強制し，X-Content-Type-Optionsは指定MIMEタイプの適用を強制します。

  設問2：

  g：会社名へ改行を含むToヘッダーを注入すると，メール(あ)を攻撃者だけへ送らせ，正規担当者への通知を妨げられます。

  h：パスワード再設定後はAPIkey管理の再認証にも新しいパスワードを使えるため，既存キーの確認又は新規発行ができます。

  設問3：

  表Fは，推測可能な求職者ID，接続元無制限，個人を特定できる属性の返却という仕様のいずれかを狭め，APIkey悪用時の侵入又は漏えい範囲を抑える解答です。

  表Gは，多要素認証又は接続元制限で乗っ取り自体を防ぐか，プロパティ変更通知で不正操作を早期検知する解答です。公式解答例の方針と理由は対応する組で記述します。