令和3年度秋期情報処理安全確保支援士（午後II試験問2）解説

Posted at 2026-10-31

令和3年度秋期情報処理安全確保支援士（午後II試験問2）解説

テーマ: テレワーク・ローカルブレイクアウト・CRYPTREC・クラウドメール・標的型攻撃・C&C通信・DNSシンクホール・IDS・マルウェア感染調査・FCログ・インシデント対応

目次・設問ジャンプ

設問1（テレワークセキュリティ規程）
設問2（ネットワーク構成の見直し）
設問3（インシデントへの対策）
設問4（感染調査手順書のレビュー）
攻撃と対応の時系列
学習上の重要ポイント

設問1 〔テレワークセキュリティ規程〕について

1. (1) 図5の空欄 a～d について

問題文からの引用

「経営者：組織のあるべき姿を検討し、テレワークセキュリティ全般を考え、必要なリソースを確保する。」

「システム管理者：情報システムへの不正アクセス、マルウェア感染などのインシデント発生時の対処のルールを定める。」

「テレワーク勤務者：定められたルールを遵守し、データを安全に扱う。」

着眼点・注目ポイント
各項目が、予算・技術対策・システム設定・利用者のパスワード運用のどれに該当するかを確認します。

正解: a：ア、b：イ、c：イ、d：ウ

空欄	正解	役割	根拠
a	ア	経営者	人材・資源を確保し、予算を割り当てる
b	イ	システム管理者	技術的対策を実施し、実施状況を点検する
c	イ	システム管理者	社内システムのパスワード設定を制限する
d	ウ	テレワーク勤務者	自ら使うパスワードを適切に設定する

選択肢の解説

ア（経営者）: aの正解です。必要な人材・資源・予算の確保は経営者の役割です。
イ（システム管理者）: b、cの正解です。技術的対策や社内システムの設定を担当します。
ウ（テレワーク勤務者）: dの正解です。パスワードの使い回しを避け、規程に従って設定します。

cとdの違い: cは、システム側で弱いパスワードを設定できないよう制限する役割なのでシステム管理者です。dは、利用者自身が強いパスワードを設定する行為なのでテレワーク勤務者です。

2. (2) 空欄 e について

問題文からの引用

「電子政府における調達の際にも参照される [ e ] 暗号リストを参照し、暗号化には危殆化していない暗号アルゴリズムを採用する。」

着眼点・注目ポイント
電子政府の情報システム調達で参照される暗号リストの名称を、英字8字で答えます。

正解: CRYPTREC
解説: CRYPTRECは、電子政府で利用する暗号技術の評価・監視を行うプロジェクトの名称です。本問では、通信路の暗号化に用いる、危殆化していない暗号アルゴリズムを選ぶ際の参照先として示されています。

設問2 〔ネットワーク構成の見直し〕について

1. (1) 下線①のネットワーク構成について

問題文からの引用

「Bサービスへのアクセスだけ、拠点VPNサーバから、DCを経由させずに支社に敷設したインターネット接続回線を経由させる。」

着眼点・注目ポイント
クラウドサービス向けの通信を、本社・DCへ戻さず拠点から直接インターネットへ出す構成を選びます。

正解: エ（ローカルブレイクアウト）

選択肢の解説

ア（OpenFlow）: 不適切です。ネットワーク機器の制御方式であり、特定クラウド通信を拠点から直接外へ出す構成の名称ではありません。
イ（Software-Defined Networking）: 不適切です。ソフトウェアによるネットワーク制御の考え方であり、本問の通信経路の名称ではありません。
ウ（ゼロトラストネットワーク）: 不適切です。場所を無条件に信頼せず検証する考え方であり、DCを経由しない通信経路そのものを表しません。
エ（ローカルブレイクアウト）: 正解です。 拠点から特定のインターネットサービスへ直接接続します。

2. (2) 下線②のトラブル原因について

問題文からの引用

「Bサービスのアクセス制限機能によって、アクセス元IPアドレスがUTMのグローバルIPアドレスの場合だけアクセスが許可される。」

「Bサービスへのアクセスだけ、拠点VPNサーバから、DCを経由させずに支社に敷設したインターネット接続回線を経由させる。」

着眼点・注目ポイント
新NWではBサービスへの経路が変わり、Bサービスから見える送信元IPアドレスも変わります。解答条件は35字以内です。

正解: Bサービスのアクセス制限機能によって通信が拒否されたから
解説: 変更前のBサービスは、DCのUTMが持つグローバルIPアドレスからのアクセスだけを許可していました。ローカルブレイクアウト後は、Bサービスから見えるアクセス元IPアドレスが、DCのUTMのものから支社側のものへ変わります。そのため、従来の許可条件に一致せず拒否されました。Bサービス側の許可設定へ支社側のIPアドレスを追加することで解消します。

通信経路	Bサービスから見えるアクセス元	設定変更前の結果
DC経由	UTMのグローバルIPアドレス	許可
支社からローカルブレイクアウト	支社回線側のIPアドレス	許可条件に一致せず拒否

設問3 〔インシデントへの対策の検討〕について

1. (1) 下線③の設定変更について

問題文からの引用

「マルウェアαとマルウェアβにはC&CサーバのIPアドレスとFQDNのリストが埋め込まれていました。」

「その対策だけでは、攻撃者が行う設定変更によって、すぐにマルウェアαやマルウェアβの通信を遮断できなくなることが考えられます。」

着眼点・注目ポイント
UTMでは、埋込みIPアドレスと、埋込みFQDNを正引きしたIPアドレスを拒否します。この対策を回避するには、FQDNの名前解決先を別のIPアドレスへ変更します。解答条件は40字以内です。

正解: マルウェア内にFQDNで指定したC&CサーバのIPアドレスの変更
解説: 攻撃者が、マルウェア内にFQDNで指定したC&Cサーバについて、FQDNに対応するIPアドレスを変更すると、FQDNは同じでも名前解決結果が変わります。変更後のIPアドレスは、変更前の名前解決結果を基に手作業で作成したIPリストに含まれないため、UTMのIPアドレス拒否だけでは通信を遮断できなくなります。

2. (2) 下線④でUTMの通信拒否も必要な理由について

問題文からの引用

「マルウェアα及びマルウェアβのどちらにも…C&CサーバのIPアドレス及びFQDNのリストが埋め込まれていた。」

DNSシンクホール機能は、「DNSクエリをチェックし、危険リストに登録されているFQDNの場合は、正規の名前解決を行わずにA社があらかじめ用意したIPアドレスを応答する。」

着眼点・注目ポイント
DNSシンクホールはDNS問合せが発生した場合に働きます。マルウェアが埋込みIPアドレスへ直接接続すればDNSを使いません。

正解: C&Cサーバとの通信時にDNSへの問合せを実行しない場合があるから
解説: マルウェアにはFQDNだけでなくIPアドレスも埋め込まれています。埋込みIPアドレスへ直接接続する場合、DNSクエリが発生しないため、DNSシンクホールでは止められません。したがって、IPリストを用いたUTMの通信拒否も併用します。

暫定対策	防げる通信	単独利用時の限界
UTMでIPリストを拒否	登録済みIPアドレスへの通信	FQDNの名前解決先が変更されると追随できない
DNSシンクホール	危険FQDNへのDNS問合せを伴う通信	埋込みIPアドレスへ直接接続する通信は止められない

3. (3) 空欄 f について

問題文からの引用

「一部の業務PCでは、全てのイベントログが消去された痕跡があった。全てのイベントログが消去された後、イベントログにイベントログの消去を示すログが記録されていた。」

着眼点・注目ポイント
αログ・βログが見つからなくても、攻撃者がログを消した可能性を確認します。解答条件は20字以内です。

正解: イベントログの消去を示すログ
解説: 攻撃者がαログやβログを含むイベントログを消去すると、αログ・βログだけを調べる確認ツールでは感染を見落とします。イベントログの消去自体を示すログも調べれば、証拠隠滅の痕跡を検知できます。

4. (4) 下線⑤で問題なしと判定されるマルウェアβの挙動について

問題文からの引用

マルウェアβは、「待機機能」「横展開機能」「遠隔操作機能」のいずれかをランダムに実行する。

「遠隔操作機能の実行時にはβログが記録される。」

着眼点・注目ポイント
確認ツールはαログ・βログ・ログ消去痕跡を調べます。βログが記録されるのは遠隔操作機能の実行時だけです。解答条件は25字以内です。

正解: 横展開機能と待機機能だけを実行していた場合
解説: マルウェアβに感染していても、遠隔操作機能をまだ実行していなければβログは残りません。待機機能は何もせず、横展開機能を実行した場合も、問題文にはβログが記録されるとは示されていません。そのため、確認ツールでは問題なしと判定されても、後から横展開や遠隔操作が行われる可能性があります。

マルウェアβの機能	βログ	確認ツールでの検出可能性
待機機能	記録されない	感染を見落とす可能性がある
横展開機能	記録される記載なし	感染を見落とす可能性がある
遠隔操作機能	記録される	βログで確認できる

5. (5) 下線⑥でDMZ移設により迅速な対応が可能となる理由について

問題文からの引用

「将来的には連携サーバをDCのDMZに移設し、連携FWを廃止する検討をした方がよい。」

UTMのIDS機能：「全てのインバウンド通信をチェックし、不審な通信を検知した場合は、システム管理者に通知する。」

着眼点・注目ポイント
現状の連携サーバは、研究部管理の連携FWを経由しています。DCのDMZへ移すと、A社のUTMのIDS機能による検知・通知を利用できます。解答条件は45字以内です。

正解: UTMのIDS機能によって攻撃が検知でき、システム管理者に連絡がされるから
解説: 連携サーバをDCのDMZへ移設すれば、インターネットから連携サーバへのインバウンド通信をUTMのIDS機能で監視できます。不審な通信を検知した際にシステム管理者へ通知されるため、研究部だけで管理する構成よりも早く対応を開始できます。

設問4 〔感染調査手順書のレビュー〕について

1. (1) 空欄 g について

問題文からの引用

「対象期間の開始日は、本来は、保存されている最も古いイベントログの日付にすべきだが、せめて連携サーバに細工されたファイルが置かれていた可能性のある最も早い日付である [ g ] にする必要がある。」

タイムライン：「7月14日、Fさんの業務PCがマルウェアβにも感染した。」

着眼点・注目ポイント
マルウェアβが連携サーバの共有フォルダへ細工した文書ファイルを置けるようになった最も早い日は、FさんのPCがβへ感染した日です。

正解: 7月14日
解説: Fさんの業務PCは研究部セグメントにあり、研究部セグメントの業務PCから連携サーバの共有フォルダへは認証なしでアクセスできます。7月14日にマルウェアβへ感染した時点から、横展開機能によって共有フォルダへ細工された文書ファイルを置いた可能性があります。したがって、調査開始日は少なくとも7月14日まで遡ります。

2. (2) 空欄 h について

問題文からの引用

表5の調査2：「対象期間中の会員FWのログに、次に該当する送信元から宛先への通信記録が存在するかどうか。送信元：任意のIPアドレス、宛先：[ h ]」

対策1では、マルウェアに埋め込まれたC&CサーバのIPアドレスと、FQDNの正引き結果を合わせたIPリストを作成している。

着眼点・注目ポイント
会員内のどこかの端末がC&Cサーバへ通信していないかを確認するので、宛先は作成済みのIPリストに含まれるIPアドレスです。解答条件は25字以内です。

正解: IPリストに登録されたIPアドレス
解説: 会員FWのログで、任意の送信元IPアドレスから、IPリストに登録されたC&CサーバのIPアドレスへ向かう通信を検索します。宛先条件にIPリストを用いることで、連携端末だけでなく、会員内の別PC・サーバが遠隔操作機能を実行してC&C通信した痕跡も確認できます。

3. (3) 下線⑦で対処を優先する会員について

問題文からの引用

「連携端末からほかのPCやサーバへの感染拡大が明らかな会員に絞るのであれば、調査2に使う通信記録から絞ることができる。」

着眼点・注目ポイント
送信元が連携端末以外で、宛先がC&Cサーバである通信があれば、連携端末から会員内の別機器へ感染が広がったと判断できます。解答条件は30字以内です。

正解: 連携端末以外のIPアドレスを送信元とする通信記録
解説: 連携端末以外のPC・サーバからIPリスト宛ての通信があれば、会員内の別機器がマルウェアβの遠隔操作機能を実行した可能性があります。これは、連携端末から横展開して感染が広がったことを示す強い証拠になるため、その会員を優先します。

4. (4) 下線⑧の既に行っている対応について

問題文からの引用

「化学コンの全会員に連携端末を一時的にネットワークから切り離してもらうように連絡し、全ての会員で対応が完了したことを即日確認した。」

着眼点・注目ポイント
既に連携端末をネットワークから隔離しているため、連携端末だけが感染している会員では、そこから別機器へ感染を広げる経路が抑えられています。解答条件は30字以内です。

正解: 連携端末を一時的にネットワークから切り離した対応
解説: 連携端末をネットワークから切り離せば、マルウェアβの横展開機能が会員内の別PC・サーバへ到達できません。したがって、連携端末以外からC&C通信が確認されない会員は、既に隔離済みの連携端末から感染を拡大させるリスクが相対的に低いと判断できます。

会員の優先度付け

確認結果	判断	対処の優先度
連携端末以外からIPリスト宛ての通信あり	会員内の別機器へ感染が広がった可能性が高い	より優先する
連携端末以外からの該当通信なし	連携端末は既に隔離済みで、拡大リスクは相対的に低い	上記会員の後に対応

攻撃と対応の時系列

日付	事象	セキュリティ上の意味
4月1日	Bサービスの設定変更	ローカルブレイクアウト用に接続元制限を変更
7月9日	Dさんのアカウントで不正ログイン	クラウドメールのアカウント侵害
7月14日	Fさんへα添付メール、FさんのPCがα・βへ感染	連携サーバへ細工ファイルを置ける最も早い日
7月28日～9月11日	β添付メールを断続的に社内送信	拡散を遅くして発見を回避
9月11日	不審メールを契機に調査開始	Dさんのアカウントを無効化
9月16日	初期調査結果を整理	対策本部で暫定・恒久対策を検討
9月17日	連携サーバ担当者へヒアリング	保存ログは7月19日以降だが調査は7月14日まで遡る

学習上の重要ポイント

1. ローカルブレイクアウトではクラウド側の接続元制限も見直す

通信経路を変更すると、クラウドサービスから見える送信元IPアドレスが変わります。ネットワーク側の設定だけでなく、Bサービス側の許可設定も変更します。

2. C&C遮断はIP拒否とDNSシンクホールを組み合わせる

IP拒否は埋込みIPアドレスへの直接通信を止め、DNSシンクホールはFQDNの名前解決を妨害します。片方だけでは回避されるため、多層化します。

3. ログがないことは感染していないことの証明ではない

ログが消去された場合や、マルウェアβが待機・横展開機能だけを実行した場合は、αログ・βログが見つからないことがあります。確認ツールは暫定対策であり、駆除ツールによる詳細調査が必要です。

4. 保存期間より前の感染可能日を見落とさない

連携サーバのログは7月19日以降しか残っていませんが、感染可能性は7月14日からあります。連携端末側・会員FW側のログを利用して調査範囲を補います。

5. 限られた対応要員はリスクに応じて配分する

グループAの中でも、連携端末以外の機器からC&C通信がある会員を優先すれば、会員内へ感染が広がっている可能性が高い組織へ、駆除ツールを扱える技術者を先に投入できます。

記述式設問の解答作成ポイント

設問2 (2): 「送信元IPアドレスが変わった」とだけ書かず、Bサービスのアクセス制限によって拒否されたことまで書きます。
設問3 (1): 変更対象はマルウェア本体ではなく、FQDNに対応するC&CサーバのIPアドレスです。
設問3 (2): DNS問合せを行わず、埋込みIPアドレスへ直接通信する場合を意識します。
設問3 (4): βログが残らない機能として「待機機能」と「横展開機能」を両方書きます。
設問4 (3): 送信元が「連携端末以外」であることを明記します。

解答一覧

設問1 (1): a ア、b イ、c イ、d ウ
設問1 (2): e CRYPTREC
設問2 (1): エ
設問2 (2): Bサービスのアクセス制限機能によって通信が拒否されたから
設問3 (1): マルウェア内にFQDNで指定したC&CサーバのIPアドレスの変更
設問3 (2): C&Cサーバとの通信時にDNSへの問合せを実行しない場合があるから
設問3 (3): f イベントログの消去を示すログ
設問3 (4): 横展開機能と待機機能だけを実行していた場合
設問3 (5): UTMのIDS機能によって攻撃が検知でき、システム管理者に連絡がされるから
設問4 (1): g 7月14日
設問4 (2): h IPリストに登録されたIPアドレス
設問4 (3): 連携端末以外のIPアドレスを送信元とする通信記録
設問4 (4): 連携端末を一時的にネットワークから切り離した対応

情報処理安全確保支援士午後試験・過去問解説リンク集
年度・試験区分・大問ごとの解説記事を一覧から選べます。

参照資料

IPA「令和3年度秋期情報処理安全確保支援士試験午後II試験問2」（問題文）
IPA「令和3年度秋期情報処理安全確保支援士試験解答例」（問2の解答例・出題趣旨）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

令和3年度秋期情報処理安全確保支援士（午後II試験問2）解説