間３　マルウェア感染への対応に関する次の記述を読んで，設問1～4に答えよ。
M社は，従業員数200名のソフトウェアパッケージ開発会社であり，開発部，営業部及びスタッフ部門がある。開発部は，ソフトウェアパッケージの開発・保守を行っている。営業部は，顧客を訪問し，製品紹介，製品販売及び顧客管理を行っている。スタッフ部門は，Ｍ社のスタッフ業務全般を担当しており，総務部，経理部，情報システム部（以下，情シ部という）などから成っている。情シ部では，M社の情報システムの管理及び情報セキュリティインシデントへの対応を行っている。M社のネットワーク構成を図１に，Ｍ社のサーバの機能一覧を表1に示す。 M社のネットワークでは，ファイアウォール（以下，FWという）とレイヤ3スイッチ（以下，L3SWという）でネットワークのアクセス制御を行っている。FWのフィルタリングルールを表2に、L3SWのフィルタリングルールを表3に示す。
注記1項番の小さいものから順に，最初に一致したルールが適用される。注記2 項番2～7は，SMTP又はDNSに関するルールである。 192.168.1.0/24及び192.168.2.0/24の全てのIPアドレス" " " " " " " "
項番の小さいものから順に，最初に一致したルールが適用される。注記全てのセグメントを示し，FW，DMZ及びインターネットを含む。法情シ部員は，運用サーバセグメントの管理を，自席のPCのプラウザから行っている。開発サーバには，M社の機密情報であるソフトウェアパッケージのソースコード
を保管している。
営業部では，SaaS型クラウドサービスであるサービスXを利用して顧客管理を行っている。サービスXには，営業部のPCから，HTTPのCONNECTメソッドを使用してプロキシサーバ経由でアクセスしており，プロキシサーパからサービスXへのアクセスにはポート番号2560を使用している。また，サービスX内のメールサーバZは、 M社専用であり，製品紹介のメールをM社の顧客に対して自動送信すると同時に,メールの写しをM社営業部員全員に送信している。送信の際には、送信者メールアドレスとしてM社のメールアドレスを使っている。
〔情報セキュリティインシデントの発生〕
営業部のDさんから情シ部のSさんに、DさんのPCでマルウェアYが検出されたとの報告があった。Sさんが確認したところ，マルウェアYは，既に正常に駆除されていた。Sさんは，マルウェアYについて調査した。マルウェアYの特徴は図2に示すとおりであった。
図２　マルウェアＹの特徴
〔情報セキュリティインシデントの調査〕情シ部で，他の全てのPCとサーバを調査したが、マルウェアYに感染したものはなかった。次にDさんに確認したところ，送信者メールアドレスが総務部のＦさんであるメールを受信した際に，マルウェアYが検出されたことが分かった。ところが、Fさんにはそのようなメールを送信した覚えはないとのことであった。そこで，当該メールのメールヘッダを調査したところ，当該メールは，送信者メールアドレスをFさんのメールアドレスに偽装した上，外部のメールサーバから送られてきたことが分かった。添付ファイルは，PDFファイルに偽装したものであった。今回のインシデントでは情報漏えいの被害はなかったものの，同様なマルウェアによって情報漏えいが発生した他社の事例もあり，マルウェア対策を見直すことになった。受信メールの制限，バックドア通信の遮断，及びマルウェアから社内のサーバへの不正アクセスリスクの軽減策をそれぞれ検討するとともに、サーバの脆弱性検査を実施した。
〔受信メールの制限〕
次は，受信メールの制限についての，情シ部のK部長と部下でセキュリティ担当のSさんの会話である。 K 部長：送信者メールアドレスのドメイン名が当社のものに偽装されていた場合は,受信者は開いてしまう可能性が高い。良い対策はないだろうか。 Sさん:外部メールサーバにある，外部からのメールのフィルタリング機能を使用しましょう。具体的には，フィルタリングルールとして，送信ドメイン名のプラックリストに当社のドメイン名を指定します。 K部長 :それだと，①正規のメールも一部届かなくなるね。 Sさん：そうですね。②フィルタリングルールを追加します。
(バックドア通信の遮断)
続いて，K部長とSさんは，マルウェアYとC&Cサーバとのバックドア通信の遮断について検討した。次は，そのときの会話である。 Sさん:マルウェアYは，2通りの方法でC&Cサーバとの通信を試みます。一つ目は，プロキシサーバを経由しない方法であり，既に③防ぐことができています。二つ目は，マルウェアYが，HTTPのCONNECTメソッドで任意のポート番号を用いる方法です。これについては，表4に示すアクセス制御ルールをプロキシサーバに設定すれば，許可するポート番号以外の通信を防ぐことができます。
注記項番の小さいものから順に，最初に一致したルールが適用される。 K部長:表4でアクセスを許可する通信をマルウェアが使用する場合の対策については、別途検討しよう。ところで，表4の設定では④業務に支障が出るので， ⑤項番1と項番2の間に設定を1行追加する必要があるな。
[マルウェアからサーバへの不正アクセスリスクの軽減策]
次に，情シ部では，マルウェアから社内のサーバへの不正アクセスリスクの軽減策を検討した。開発サーバについては，現状，開発部のPCがマルウェアに感染してしまうと，そのマルウェアからアクセスされるリスクが高い。そのため，開発専用PCを数十台，開発サーバセグメント内に置き，ソフトウェアパッケージの開発を開発専用PC及び開発サーバだけで行うようにし、かつ, ⑥L3SWのフィルタリングルールを変更することによって，開発サーバがマルウェアからアクセスされるリスクを軽減することにした。さらに，開発専用PC自身がマルウェアに感染するリスクを軽減する対策も行うことにした。一方，運用サーバセグメントのサーバについては，運用管理を行うPCがマルウェアに感染してしまうというリスクに絞って軽減することにした。具体的には，運用管理専用PCを運用サーバセグメントに1台設置し，従来，情シ部のPCで行っていた運用サーバセグメントの管理を，そこで行うことにした。さらに，その運用管理専用PCでは，　　 a 　　を禁止することにした。
〔サーバの脆弱性検査〕
次に，情シ部で全サーパの脆弱性検査を行ったところ，OSのパスワード格納方法について、幾つかのサーバに脆弱性があることが分かった。これらのサーバでは，パスワードは，表5に示す二つのハッシュ値が格納される。OSの設定によってL2ハッシュだけを格納することもできる。
れのハッシュ値を計算し、その２個の結果を結合して格納する。次は，OSのパスワードの格納方法についてのSさんとK部長の会話である。 Sさん: OSのパスワードのハッシュ値が入手できた場合に，14字までのパスワードを総当たり攻撃で解析することを考えてみましょう。L1ハッシュでは，前半b b字までについて，最大で（ 7）個のハッシュ値をC求めれば，同じものを後半字までについても使うことができまdす。一方，L2ハッシュでは，最大で（ 7）個となり，同一のeパスワード長であっても，L1ハッシュに比べ格段に増加します。 K部長:なるほど。L1ハッシュを格納しないように設定を変更しよう。ところで，表5にあるソルトを使用するとどのような効果が得られるのか。 Sさん：ソルトを使用するとハッシュ値からパスワードを特定しにくくなります。 K部長は，検討した対策策についての実施計画と，別途検討する項目についての検討時期を経営陣に報告し，対策を進めた。設問1　〔受信メールの制限〕について，(1)，(2)に答えよ。 (1)本文中の下線①について，届かなくなるメールを30字以内で述べよ。 (2) 本文中の下線②について，追加するフィルタリングルールを50字以内で述べよ。設問2      〔バックドア通信の遮断〕について，(1)～(3)に答えよ。 (1)本文中の下線③について，その理由を30字以内で述べよ。 (2) 本文中の下線④について，支障が出る業務を，本文中の用語を用いて5字以内で答えよ。 (3)本文中の下線⑤について，追加すべき設定内容を表4に倣って答えよ。設問3　〔マルウェアからサーバへの不正アクセスリスクの軽減策〕について，(1)，(2)に答えよ。 (1) 本文中の下線⑥について，L3SWでのフィルタリングルールの変更内容を35字以内で述べよ。 (2)本文中の「「 a」に入れる適切な禁止事項を35字以内で具体的に述べよ。設問4　〔サーバの脆弱性検査〕について， (1)， (2)に答えよ。 (1)本文中の       b (2)ソルトを使用するとハッシュ値からパスワードを特定しにくくなるのはなぜか。その理由を35字以内で述べよ。 a .3 s a