令和3年度秋期情報処理安全確保支援士（午後I試験問3）解説

Posted at 2026-10-30

令和3年度秋期情報処理安全確保支援士（午後I試験問3）解説

テーマ: マルウェア対応・初動対応・デジタルフォレンジックス・マルウェア定義ファイル・URLフィルタリング・FW・ネットワーク分離・許可リスト・アプリケーション制御

この問題の全体像
本問は、社内PCがマルウェアXに感染し、ファイルサーバへの不審なログイン試行が発生した事例を題材にしています。前半では、感染疑い端末の隔離、証拠保全、定義ファイル更新、全社スキャン、プロキシログの追加調査を扱います。後半では、部門ごとのファイルサーバ利用制限、サーバLANからインターネットへの通信制限、実行許可リスト型ソフトウェアの限界を扱います。

表記について
「問題文からの引用」は、問題冊子の本文、表又は図から、解答根拠となる箇所を引用形式で示しています。引用後の「着眼点・注目ポイント」で判断方法を整理し、その後に正解と解説を示します。

設問1 〔不審なログインの発見と対応〕について

1. (1) 下線①の初動対応について

問題文からの引用

「Eさんは，PC-Gがマルウェアに感染したおそれがあると考え，①マルウェア感染拡大防止のためのPC-Gの初動対応をGさんに指示した。」

着眼点・注目ポイント
感染が疑われるPCから、他のPCやサーバへマルウェアが広がる経路を直ちに遮断します。解答条件は15字以内です。

正解: LANから切り離す。
解説: PC-GをLANへ接続したままにすると、マルウェアXがhostsファイルに登録されたFサーバなどへログインを試みたり、他の端末へ影響を広げたりする可能性があります。そこで、PC-GをLANから切り離し、他の機器との通信経路を遮断して感染拡大を防ぎます。

補足: 本問の公式解答は「LANから切り離す」です。デジタルフォレンジックスを予定しているため、証拠を失うおそれがある操作を先に行うのではなく、まずネットワーク隔離を行います。

2. (2) 下線②で取得した情報について

問題文からの引用

「PC-Gについてはマルウェア感染への対応として，ディジタルフォレンジックスによる調査を行うことにして②必要な情報を取得した。」

着眼点・注目ポイント
デジタルフォレンジックスで、ファイル、ログ、マルウェアなどの状態を後から調査できるよう、ストレージの内容を保全します。解答条件は10字以内です。

正解: ディスクイメージ
解説: ディスクイメージは、PCのストレージ内容を調査用に複製したものです。調査対象のストレージを直接操作せずに、ファイル、ログ、削除済み領域などを解析するために取得します。

3. (3) 空欄 a・b・c について

問題文からの引用

「D主任は，PC-Gで [ a ] という方法を使って [ b ] をした後に，フルスキャンを実施するようEさんに指示した。」

図2：「貸与しているPCで，[ c ] という方法を使って [ b ] をした後，フルスキャンを実施する。」

「V社は，マルウェアXに対応したマルウェア定義ファイルを12月9日10時にリリースした。」

着眼点・注目ポイント
PC-GはLANから切り離されています。この状態ではV社配布サイトへ接続できないため、別のPCで取得した最新の定義ファイルをDVD-Rへ保存し、PC-Gへ適用します。一方、その他の貸与PCはネットワークに接続されているので、マルウェア対策ソフトの画面から更新できます。

正解:
- a：最新のマルウェア定義ファイルを保存したDVD-Rの使用
- b：マルウェア定義ファイルの更新
- c：マルウェア対策ソフトの画面の操作

空欄	対象	方法・対応	理由
a	LANから隔離したPC-G	最新定義ファイルを保存したDVD-Rを使用	V社配布サイトへ接続できないため
b	PC-Gと全貸与PC	マルウェア定義ファイルを更新	マルウェアXへ対応した定義で検査するため
c	ネットワーク接続中の貸与PC	対策ソフトの画面から手動更新	V社配布サイトへ接続できるため

解説: 12月9日10時にマルウェアX対応の定義ファイルがリリースされています。PC-Gは隔離を維持する必要があるため、別PCで定義ファイルをダウンロードし、追記・書換えの影響を受けにくいDVD-Rへ保存し、PC-Gへ適用します。全社の貸与PCでは、マルウェア対策ソフトの画面を操作して定義ファイルを更新し、その後にフルスキャンを実施します。

PC-Gと全社PCで更新方法が異なる理由: PC-Gは初動対応でLANから切り離しているため、V社配布サイトへ接続して更新できません。一方、その他の貸与PCはネットワークに接続されているため、マルウェア対策ソフトの更新機能を手動で実行できます。空欄aとcは、対象PCの接続状態の違いから判断します。

順序が重要: 古い定義ファイルのままフルスキャンしてもマルウェアXを検出できない可能性があります。「定義ファイル更新→フルスキャン」の順で実施します。

4. (4) 下線③の追加調査範囲について

問題文からの引用

「アクセス元IPアドレスがPC-Gであるアクセスを，プロキシサーバのアクセスログで，12月9日17時から3か月遡って調査した。」

「Cリスト中のURLへのアクセスは，12月6日に1件だけであり，そのアクセスはURLフィルタリング機能で拒否されていた。」

「③プロキシサーバのアクセスログに関して調査すべき範囲の漏れをカバーするための追加調査」

着眼点・注目ポイント
最初の調査は、アクセス元をPC-Gに絞っています。しかし、他のPCやサーバがマルウェアXへ感染していないかを確認するには、Q社内のほかのPCやサーバから、Cリスト中のURLへアクセスした記録も調べる必要があります。解答条件は25字以内です。

正解: Q社内の全てのPC及びサーバからのアクセス
解説: PC-Gだけを検索対象にすると、別のPCやサーバからCリストのURLへアクセスした記録を見落とします。追加調査では、Q社内の全PC・全サーバをアクセス元として、Cリスト中のURLへの通信がないかを調査します。

調査範囲の考え方: 最初の調査で既に「12月9日17時から3か月遡る」という期間と「Cリスト中のURL」という宛先条件は設定されています。追加すべきなのは、アクセス元をPC-Gだけでなく、Q社内の全PC・全サーバへ広げることです。

設問2 〔被害拡大を防ぐ対策〕について

1. (1) 下線④で変更するFWルールについて

問題文からの引用

「Fサーバ1の利用者を総務部員及び営業部員に，Fサーバ2の利用者を技術部員にそれぞれ振り分けて，④FWのフィルタリングルールのうちの二つのルールについて，送信元を変更する。」

表2の項番3：「総務部LAN，営業部LAN，技術部LAN → Fサーバ1、HTTPS、許可」

表2の項番4：「総務部LAN，営業部LAN，技術部LAN → Fサーバ2、HTTPS、許可」

着眼点・注目ポイント
利用者を振り分けた後は、各Fサーバを使う部門のLANだけを送信元に残します。これにより、ある部門のPCが感染しても、利用しないFサーバへ到達できなくなります。

正解:
- ① 項番3、送信元：総務部LAN，営業部LAN
- ② 項番4、送信元：技術部LAN

変更対象	宛先	変更後の送信元	利用者
項番3	Fサーバ1	総務部LAN、営業部LAN	総務部員、営業部員
項番4	Fサーバ2	技術部LAN	技術部員

解説: 変更前は全ての部門LANからFサーバ1・2へアクセスできました。変更後は、業務上必要な部門LANだけを許可します。例えば営業部のPCが感染しても、技術部向けのFサーバ2へはFWで到達できないため、被害範囲を限定できます。

最小権限との対応: 利用者IDによるサーバ側の認証だけでなく、FWでも接続元LANを業務上必要な範囲へ限定します。認証突破を試みる通信そのものが不要なサーバへ届きにくくなり、多層防御になります。

2. (2) 表3の空欄 d・e について

問題文からの引用

「サーバLANとインターネットとの間の通信を運用に必要なものだけにするために，アクセス元がサーバLANのUFルールを表3のとおりに設定する。」

「Fサーバ1及びFサーバ2がインターネットと通信するのは，マルウェア定義ファイルの更新時だけである。」

表1：「管理者許可リストに“全て”と記載すると全てのURLへのアクセスが許可される。管理者拒否リストに“全て”と記載すると，管理者許可リストで許可したURL以外のURLへのアクセスが拒否される。」

着眼点・注目ポイント
許可する必要がある宛先はV社配布サイトだけです。リストは上から順に適用されるため、配布サイトを許可した後、それ以外を全て拒否します。

正解:
- d：V社配布サイトのURL
- e：全て
解説: 管理者許可リストにV社配布サイトのURLを登録し、管理者拒否リストに「全て」を登録します。これにより、Fサーバ1・2は定義ファイル更新に必要なV社配布サイトへだけアクセスでき、その他のインターネット上のURLへの通信は拒否されます。

リスト順序の意味: 管理者許可リストが管理者拒否リストより先に適用されるため、V社配布サイトを例外的に許可した上で、それ以外を「全て」拒否できます。

設問3 〔感染リスクを低減する対策〕について

1. (1) 下線⑤でハッシュ値の登録変更が必要になる場合について

問題文からの引用

「あらかじめ登録した実行ファイルだけの実行を，ファイルのハッシュ値を比較することによって許可するソフトウェア（以下，Yソフトという）」

「⑤ハッシュ値の登録変更が必要になる場合がある。」

着眼点・注目ポイント
実行ファイルの内容が変わると、同じ製品名でもハッシュ値が変わります。正規のバージョンアップ後も実行を許可するには、新しいハッシュ値を登録します。解答条件は30字以内です。

正解: 登録した実行ファイルがバージョンアップされた場合
解説: Yソフトはファイル内容から算出したハッシュ値を照合します。実行ファイルを正規に更新すると内容が変わり、ハッシュ値も変化します。登録を更新しなければ、正規の新バージョンであっても未登録ファイルとして実行を拒否します。

2. (2) 下線⑥で実行を禁止できないマルウェアについて

問題文からの引用

「⑥ある種のマルウェアでは実行を禁止できない。」

「Yソフトは，あらかじめ登録した実行ファイルだけの実行を，ファイルのハッシュ値を比較することによって許可する。」

着眼点・注目ポイント
Yソフトが確認するのは登録済み実行ファイルのハッシュ値です。登録済みの正規アプリケーションの機能として動くコードは、別の実行ファイルとして照合されない場合があります。解答条件は35字以内です。

正解: 登録した実行ファイルのマクロとして実行されるマルウェア
解説: 例えば登録済みの文書作成ソフトや表計算ソフトが、文書内の悪意あるマクロを実行する場合、起動される実行ファイル自体は正規であり、登録済みのハッシュ値と一致します。そのため、実行ファイル単位の許可リストだけでは、マクロとして動作するマルウェアを禁止できない場合があります。

補足: 許可リスト型制御は未登録実行ファイルの起動抑止に有効ですが、マクロ、スクリプト、正規ツールの悪用などには別の対策が必要です。

Yソフトでの扱い	例	結果
未登録の実行ファイル	新たに持ち込まれた不審な実行ファイル	ハッシュ値が未登録なので実行を拒否できる
更新後の正規実行ファイル	正規ソフトの新バージョン	ハッシュ値が変わるので登録更新が必要
登録済み実行ファイル上で動くコード	文書内の悪意あるマクロ	実行主体が登録済みなので、Yソフトだけでは禁止できない場合がある

インシデントの時系列

日時	事象	セキュリティ上の意味
11月25日	CリストのURLがV社拒否リストへ追加	C&C通信の遮断準備が既に反映済み
12月6日 9時	PC-Gを起動	当日の自動定義更新は行われるが、X対応版は未リリース
12月6日 10時	サイトPからツールPをダウンロード・管理者権限でインストール	マルウェアXへ感染する契機
12月6日 11時	ツールPを起動	Fサーバへのログイン試行が始まる
12月6日	Cリスト中のURLへ1件アクセス	V社拒否リストによって拒否
12月9日 9時	PC-Gを起動	起動時点ではマルウェアX対応定義のリリース前
12月9日 10時	V社がX対応定義ファイルをリリース	PC起動時の更新には間に合わない
12月9日 10時40分以降	PC-Gを隔離・回収し、調査開始	感染拡大防止と証拠保全
12月9日 16時	PC-GからマルウェアXを駆除	対応版定義で検出・駆除
12月9日 17時	全社フルスキャン結果を確認	他端末でマルウェア検出なし

対策の全体像

層	対策	本問での効果
初動対応	感染疑いPCをLANから隔離	感染拡大と不審通信を抑止
証拠保全	ディスクイメージを取得	後続のフォレンジック調査に利用
検知・駆除	最新定義へ更新後にフルスキャン	マルウェアXを検出・駆除
URL制御	サイトPを管理者拒否リストへ追加	再ダウンロードの防止
ネットワーク制御	部門ごとにFサーバへの通信を限定	感染時の横展開範囲を縮小
外向き通信制御	V社配布サイトだけを許可	サーバから不要な外部通信を遮断
権限制御	管理者権限を情報システム係に限定	従業員による未承認ソフトの導入を抑制
実行制御	Yソフトによる許可リスト	未登録実行ファイルを抑止

学習上の重要ポイント

1. 感染疑い端末は、まずネットワークから隔離する

マルウェアの駆除より先に、他端末・サーバへの感染やC&C通信を止めます。本問では、隔離後にディスクイメージを取得し、最新定義でスキャンします。

2. 定義ファイルのリリース時刻と更新時刻を読む

マルウェアX対応版は12月9日10時にリリースされました。PC-Gの起動は9時なので、起動時更新には含まれません。最新定義へ手動更新してからフルスキャンする必要があります。

3. 調査対象を感染端末だけに限定しない

PC-Gの通信だけを調べても、他端末の感染を見落とす可能性があります。全PC・全サーバからC&C URLへのアクセスを追加調査します。

4. 必要な通信だけを許可する

部門LANからFサーバへの通信と、Fサーバからインターネットへの通信の両方を必要最小限にします。感染そのものを完全に防げなくても、被害拡大を抑えられます。

5. ハッシュ値による実行許可には限界がある

正規の更新でもハッシュ値が変わるため運用更新が必要です。また、登録済みプログラム上で動くマクロ型マルウェアは別途対策が必要です。

記述式設問の解答作成ポイント

設問1 (1): 感染端末の駆除ではなく、感染拡大を防ぐ初動として「LANから切り離す」と答えます。
設問1 (3): aは隔離中のPC-G、cはネットワーク接続中の貸与PCという対象の違いを意識します。
設問1 (4): 宛先や期間ではなく、漏れていたアクセス元の範囲を「Q社内の全てのPC及びサーバ」と補います。
設問2 (1): 項番だけでなく、それぞれの変更後の送信元LANまで答えます。
設問3 (2): 単に「マクロ型」とせず、「登録した実行ファイルのマクロとして実行される」とYソフトの判定方法に結び付けます。

解答一覧

設問1 (1): LANから切り離す。
設問1 (2): ディスクイメージ
設問1 (3): a 最新のマルウェア定義ファイルを保存したDVD-Rの使用、b マルウェア定義ファイルの更新、c マルウェア対策ソフトの画面の操作
設問1 (4): Q社内の全てのPC及びサーバからのアクセス
設問2 (1): ① 項番3・送信元は総務部LAN、営業部LAN、② 項番4・送信元は技術部LAN
設問2 (2): d V社配布サイトのURL、e 全て
設問3 (1): 登録した実行ファイルがバージョンアップされた場合
設問3 (2): 登録した実行ファイルのマクロとして実行されるマルウェア

参照資料

IPA「令和3年度秋期情報処理安全確保支援士試験午後I試験問3」（問題文）
IPA「令和3年度秋期情報処理安全確保支援士試験解答例」（問3の解答例・出題趣旨）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

令和3年度秋期 情報処理安全確保支援士（午後I試験 問3）解説