重要度：A
問21：公開中のWebアプリケーションに入力処理の脆弱性が見つかった。WAFで攻撃パターンを暫定的に遮断できる見込みである。対応として、最も適切なものはどれか。
- A：WAFを導入した時点で、アプリケーション側の修正は中止してよい
- B：WAFルールを検証せず本番へ適用し、誤遮断時の切戻し条件を定めない
- C：WAFのルールを暫定対策として適用しつつ、原因箇所を修正して試験する
- D：ログ監視だけを強化し、WAFの適用と原因箇所の修正は次回更新まで見送る
【第21問：正解と解説】
正解：C
・A
WAFは防御層の一つであり、脆弱性自体がなくなるわけではない。
・B
事前検証や切戻し条件を定めずにWAFルールを本番適用すると、正常な業務通信を誤遮断した場合に迅速に復旧できない。
・C
正しい。暫定的な遮断と恒久的な修正を組み合わせ、多層防御とする。
・D
ログ監視は攻撃の把握には役立つが、攻撃経路の遮断やアプリケーションの脆弱性修正にはならない。防御と恒久対策を先送りする対応は不適切である。
重要度：A
問22：従業員PCで多数のファイルが短時間に書き換えられ、未知のプロセスが外部へ通信している。EDRを用いた初動として、最も適切なものはどれか。
- A：端末を隔離し、EDRの記録を保全して関連プロセスや通信先を調査する
- B：端末を再起動して定義ファイルを更新し、同じ事象が再発した場合だけ隔離する
- C：端末を隔離して直ちに初期化し、EDRの記録やメモリ情報は取得しない
- D：不審な通信先だけを遮断し、端末はネットワークへ接続したまま影響範囲を調べる
【第22問：正解と解説】
正解：A
・A
正しい。被害拡大を抑えつつ、EDRのテレメトリを利用して原因や影響範囲を調査する。
・B
再起動や定義ファイル更新を先に行うと、稼働中の情報を失うおそれがあり、端末を接続したままにすれば被害が継続する可能性もある。まず隔離と記録保全を優先する。
・C
初期化は端末を復旧させる方法の一つだが、記録やメモリ情報を取得する前に実施すると、原因と影響範囲の調査に必要な情報を失う。
・D
通信先の遮断だけでは、別の通信先の利用や他端末への感染拡大を防げない。被疑端末を隔離した上で、端末、アカウント、通信を横断して影響範囲を調査する。
重要度：B
問23：取引先を装うメールの添付ファイルが届いた。開く前に危険な挙動の有無を調べる対応として、最も適切なものはどれか。
- A：隔離環境のサンドボックスで挙動を観察し、他の検査結果と併せて判断する
- B：既知マルウェアの定義による検査で未検出なら、安全と判断して開く
- C：サンドボックスで一度異常が見られなければ、安全が完全に保証されたと判断する
- D：送信元表示とファイル名が取引先のものなら、正規の添付と判断して開く
【第23問：正解と解説】
正解：A
・A
正しい。サンドボックスは実環境への影響を抑えながら実行時の挙動を観察するための判断材料となる。ただし、解析環境を検知して動作を変えるマルウェアもあるため、静的解析、定義による検査、送信元の確認など他の結果と併せて判断する。
・B
定義による検査は既知のマルウェアの検出に有効だが、未知のマルウェアや難読化されたファイルを検出できない場合がある。未検出だけで安全と断定できない。
・C
解析環境を検知して動作を控えるマルウェアや、特定の条件でだけ動作するマルウェアもある。一度異常が見られなかっただけで安全を完全保証できない。
・D
メールの送信元表示やファイル名は偽装できる。表示上の情報だけで正規の添付ファイルと判断してはならない。
重要度：B
問24：同一利用者について、海外からの認証成功、直後の特権操作、続いて大量データ送信が別々のシステムで記録された。これらを一連の異常として検知する仕組みとして、最も適切なものはどれか。
- A：各システムの担当者が、自分の担当分のログだけを個別に確認する
- B：認証のログだけを監視の対象にし、操作や送信のログとは突き合わせない
- C：しきい値を超えた大量送信だけを、単独の条件として検知する
- D：各システムのログをSIEMへ集約し、利用者や時刻、送信量を相関分析する
【第24問：正解と解説】
正解：D
・A
複数システムにまたがる一連の事象は、担当ごとの個別確認では関連付けが難しい。
・B
認証、特権操作、データ送信を突き合わせて初めて、一連の異常として評価できる。
・C
単独の条件では正常な業務との区別が難しく、複数の兆候の組合せによる評価が必要である。
・D
正しい。SIEMによる相関分析で、単独では弱い兆候を組み合わせて検知できる。
重要度：B
問25：新しいIPSルールを本番ネットワークへ適用する予定であるが、正常な業務通信を誤遮断する可能性がある。導入方法として、最も適切なものはどれか。
- A：一部のルールだけを検知モードで確認し、業務通信を代表する検証は行わない。
- B：誤検知が発生したルールを、原因の分析をせずに全面的に除外する
- C：まず検知モードで影響を確認し、調整した後に段階的に遮断へ移す
- D：検知モードでの影響確認は行うが、遮断へ移行する条件は定めない
【第25問：正解と解説】
正解：C
・A
検証の範囲が業務通信を代表していなければ、本番適用後に想定外の誤遮断が生じ得る。
・B
原因を分析しない除外は、防御の穴を広げる。条件の調整で誤検知だけを減らす。
・C
正しい。監視、検証、調整、段階適用によって、防御効果と可用性を両立させる。
・D
移行条件がなければ、いつまで検知モードを続けるかの判断も、移行後の評価もできない。
コメント