重要度：A
問1：A社の営業部員が、取引先を装ったメールの添付ファイルを開いた直後に、業務用PCの動作が極端に遅くなった。社内規程では情報システム部門が連絡窓口と定められている。この部員が最初に取るべき行動として、最も適切なものはどれか。
- A：自分でウイルス対策ソフトの全体検査を実行し、その結果が出てから報告する。
- B：PCの使用を止め、ただちに情報システム部門へ連絡して、隔離などの指示に従う。
- C：感染したかどうかが確定していないので、業務を続けながらしばらく様子を見る。
- D：開いた添付ファイルを削除し、ごみ箱を空にしてから通常どおり業務に戻る。
【第1問：正解と解説】
正解：B
・A
検査が終わるまでの間に感染が社内へ広がる。報告は結果を待たずに行う。
・B
正しい。まず使用を止めて定められた窓口へ連絡し、隔離などの措置は指示に従って行う。規程で利用者自身による切離しが定められている場合は、それに従う。
・C
様子を見る間に被害が拡大する。異常に気づいた時点で報告するのが原則である。
・D
削除は証拠の消失につながり、後の原因究明を妨げる。独断の操作は避ける。
重要度：A
問2：SGシラバスで示されるインシデントハンドリングの基本的な構成順として、最も適切なものはどれか。
- A：トリアージ → 検知／連絡受付 → 報告／情報公開 → インシデントレスポンス
- B：検知／連絡受付 → インシデントレスポンス → トリアージ → 報告／情報公開
- C：検知／連絡受付 → トリアージ → インシデントレスポンス → 報告／情報公開
- D：トリアージ → インシデントレスポンス → 検知／連絡受付 → 報告／情報公開
【第2問：正解と解説】
正解：C
・A
トリアージは受け付けた事象に対して行うものであり、検知／連絡受付より前には来ない。
・B
対応の優先度を決めるトリアージは、インシデントレスポンスより前に行う。
・C
正しい。受付、優先度判定、実対応、報告・公開という基本的な構成順である。実務上の報告や連絡が最後の一度だけに限定されるわけではない。
・D
検知／連絡受付が3番目に来ることはない。出発点となる段階である。
重要度：B
問3：B社のCSIRTに、同じ時間帯に次の連絡が入った。トリアージにおいて最も優先して対応すべき事象はどれか。
- A：顧客情報を保管するサーバに不正アクセスの痕跡が見つかったという連絡
- B：暗号化設定済みの社用ノートPCを紛失したという営業部員からの報告
- C：取引先を装う標的型メールを受信したが開封していないという申告
- D：検疫ネットワーク内の端末で既知のマルウェアを隔離済みという通知
【第3問：正解と解説】
正解：A
・A
正しい。顧客情報を保管するサーバへの侵害の可能性があり、影響範囲や法令・契約上の影響を早急に確認する必要があるため、現時点では最優先とする。
・B
暗号化が適切に機能していれば情報漏えいの可能性は低減するため、Aより優先度は相対的に低い。ただし、紛失報告、端末の無効化、認証情報の変更など、手順に沿った対応は必要である。
・C
メールを未開封で添付ファイルも実行していないため、現時点では端末への影響は確認されていない。検体の確認や注意喚起は必要だが、Aより緊急度は低い。
・D
既に隔離済みであり、被害拡大のおそれは当面抑えられている。
重要度：B
問4：インシデントレスポンスにおける封じ込めの説明として、最も適切なものはどれか。
- A：インシデントの原因となったマルウェアや不正なアカウントを取り除くこと
- B：被害を受けたシステムを平常どおりの状態に戻し、業務を再開させること
- C：同種の事象が再び起きないよう、規程や設定、体制を見直すこと
- D：被害がこれ以上広がらないよう、影響範囲を切り離して食い止めること
【第4問：正解と解説】
正解：D
・A
これは根絶の説明である。封じ込めの後に行う。
・B
これは復旧の説明である。根絶の後に行う。
・C
これは再発防止の説明であり、インシデントレスポンスの後の段階に当たる。
・D
正しい。原因を取り除く前に、まず被害の広がりを止めるのが封じ込めである。
重要度：B
問5：自社をかたるフィッシングサイトが発見された。「テイクダウン」に該当する対応はどれか。
- A：自社サイトのトップページに、偽サイトへの注意を促す文書を掲載する。
- B：当該サイトの管理者やISPに依頼し、そのサイトを停止・閉鎖させる。
- C：自社の従業員に対し、当該サイトへアクセスしないよう周知する。
- D：自社のファイアウォールで、当該サイトあての通信を遮断する。
【第5問：正解と解説】
正解：B
・A
被害を抑える注意喚起ではあるが、攻撃基盤そのものは残る。
・B
正しい。テイクダウンは、外部にある攻撃基盤を停止・閉鎖させる措置である。
・C
自社内の被害は減るが、社外の利用者に対する攻撃は続く。
・D
自社からの通信を止めるだけで、サイト自体は稼働し続ける。
コメント