重要度：B
問6：C社のファイルサーバがランサムウェアに感染した疑いがあり、CSIRTの担当者が手順に沿って対応する。後の原因究明を考慮した対応として、最も適切なものはどれか。
- A：感染が疑われる機器をネットワークから切り離し、ログやメモリの状態を保全する。
- B：業務の復旧を最優先し、ただちにOSを再インストールして機器を初期の状態に戻す。
- C：原因を確かめるため、暗号化されたファイルを順に開いて内容と被害範囲を調べる。
- D：記録を残すため、感染した機器で業務を続けながら定期的に操作画面を撮影する。
【第6問：正解と解説】
正解：A
・A
正しい。被害拡大の防止と証拠の保全を両立させる対応である。
・B
必要な証拠保全より先に再インストールすると、機器上のログやマルウェアの痕跡などを失い、原因究明や再発防止が困難になる。必要な保全を行った後に復旧する。
・C
暗号化されたファイルを不用意に操作すると、アクセス時刻などのメタデータが変化する可能性がある。被害範囲は、保全した証拠やログを用いて調査する。
・D
使用を続けること自体が被害を広げ、証拠も上書きされていく。
重要度：C
問7：縮退運用の例として、最も適切なものはどれか。
- A：障害の原因が判明するまで、関係する全てのシステムを停止して待機する。
- B：予備の回線に切り替え、平常時と変わらない処理能力で運用を続ける。
- C：影響を受けた機能を止め、優先度の高い業務だけを限定的に継続する。
- D：復旧した後に、停止していた期間のデータをまとめて再投入する。
【第7問：正解と解説】
正解：C
・A
全面停止であり、限定的に継続する縮退運用とは異なる。
・B
能力を落とさずに継続しており、冗長構成による切替えに当たる。
・C
正しい。機能や能力を落として重要業務だけを続けるのが縮退運用である。
・D
復旧後のデータ整合を取る作業であり、運用形態の説明ではない。
重要度：B
問8：D社のサービスデスク担当者が、社内サーバへの不正アクセスの疑いがあるという連絡を受けた。担当者の権限では調査も通信の遮断もできない。このときの対応として、最も適切なものはどれか。
- A：判断がつかないため、記録を残した上で他の問合せと同じ順番で処理する。
- B：あらかじめ定められた基準に従い、CSIRTなど上位の対応組織へ引き継ぐ。
- C：マニュアルを参照しながら、自分の権限の範囲でログの確認だけを進める。
- D：誤報の可能性もあるため、連絡してきた社員に再確認を求めてから判断する。
【第8問：正解と解説】
正解：B
・A
他の問合せと同列に扱うと、緊急の対応が遅れて被害が拡大する。
・B
正しい。権限や専門性が足りない事象は、基準に従って速やかに引き上げる。
・C
権限内で受付情報を整理する場合はあるが、設問では担当者に調査権限がなく、不正アクセスの疑いがエスカレーション基準に該当する。ログ確認だけで対応を留めず、速やかに上位の対応組織へ引き継ぐ。
・D
確認を優先すると初動が遅れる。疑いの段階で引き上げるのが原則である。
重要度：C
問9：インシデントの原因調査で、端末の操作ログとネットワーク機器のログの時刻が大きくずれており、出来事の前後関係を特定できなかった。今後の改善策として、最も適切なものはどれか。
- A：各機器の時刻をNTPで同期し、タイムゾーンと記録形式をそろえる。
- B：NTPの導入は行うが、機器ごとのタイムゾーンと時刻形式は統一しない。
- C：収集時に時刻を補正するが、補正の方法と元の時刻は記録しない。
- D：主要なサーバだけを同期の対象にし、認証・ネットワーク機器は対象外にする。
【第9問：正解と解説】
正解：A
・A
正しい。時刻の同期と形式の統一が、複数ログの突き合わせによる調査の前提になる。
・B
タイムゾーンや記録形式が異なると、時刻を同期していても突き合わせの際に誤読が生じる。
・C
補正の方法と元の時刻を残さなければ、記録の信頼性を後から説明できない。
・D
侵入経路の特定には認証・ネットワーク機器のログも不可欠であり、対象を限定すると相関が取れない。
重要度：C
問10：インシデントの記録・管理台帳に記載する内容の組合せとして、最も適切なものはどれか。
- A：攻撃者と推定される人物の氏名、想定される動機、法的責任の見込み
- B：対応に要した費用の内訳と、部門別の予算への配賦、負担の割合
- C：関係した従業員の過失の程度と、人事評価や処分への反映の方法
- D：検知・報告の時刻、報告者と対応者、対象資産、判断と処置、確認結果
【第10問：正解と解説】
正解：D
・A
攻撃者の特定や法的評価は捜査・法務の領域であり、推測を正式な記録にすると誤りが固定される。
・B
費用の集計は管理上必要でも、初動からの対応経過を残すという台帳の主目的ではない。
・C
過失の追及を目的とすると報告がためらわれ、かえって検知が遅れる。
・D
正しい。時刻・関係者・対象資産・判断・処置・確認結果を記録し、引継ぎや報告先も残す。蓄積した記録は原因分析や再発防止、監査の裏付けに用いる。
コメント