ダウンローダ型マルウェアの対策｜情報処理安全確保支援士 平成27年 秋期午前Ⅱ試験 問16
出典：平成27年秋期 午前Ⅱ 問16
分野：セキュリティ ／ 情報セキュリティ対策
ダウンローダ型マルウェアが内部ネットワークのPCに感染したとき，そのマルウェアによってインターネット経由で他のマルウェアがダウンロードされることを防ぐ対策として，最も有効なものはどれか。
- ア：URLフィルタを用いてインターネット上の危険なWebサイトへの接続を遮断する。
- イ：インターネットから内部ネットワークに向けた要求パケットによる不正侵入行為をIPSで破棄する。
- ウ：スパムメール対策サーバでインターネットからのスパムメールを拒否する。
- エ：メールフィルタで他サイトへの不正メール発信を遮断する。
TSUNAGARU-ADVICE
まず押さえたいこと
ダウンローダ型マルウェアは、感染後にインターネット上の不正サイトなどへ接続し、追加のマルウェアを取得するタイプです。そのため、危険なURLや不正サイトへの外向き通信を遮断することが、追加マルウェアのダウンロード防止に有効です。
迷ったときの判断軸
IPSでインターネットから内部への不正侵入を防いでも、既に感染したPCから外部へ接続する通信までは直接防げません。スパムメール対策やメールフィルターも、Web経由で追加マルウェアを取得する通信とは別の論点です。感染後にどこへ通信するのかを見て、出口対策を選びましょう。
科目Bにつなげるために
科目Bでは、マルウェア感染・URLフィルタリング・プロキシ・出口対策・C&C通信などと組み合わせて問われることがあります。感染防止だけでなく、感染後の被害拡大を防ぐために、端末から外部への通信先や通信内容を制御するという多層防御の視点を持ちましょう。
ダウンローダ型マルウェアは、自身が感染した後に、インターネット上の外部サイトへ接続して別のマルウェアを追加でダウンロードするタイプのマルウェアです。
そのため、感染後の被害拡大を防ぐには、内部PCから外部の危険なWebサイトや配布サイトへの通信を遮断することが有効です。URLフィルターを用いれば、既知の危険サイトや不正なダウンロード先へのアクセスを制限できるため、追加のマルウェア取得を防ぎやすくなります。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：インターネットから内部ネットワークに向けた要求パケットによる不正侵入行為をIPSで破棄する。
⇒外部から内部への侵入を防ぐ対策です。今回問題となっているのは、既に内部PCへ感染したマルウェアが外部へ接続して別のマルウェアを取得する通信なので、方向が異なります。
ウ：スパムメール対策サーバでインターネットからのスパムメールを拒否する。
⇒スパムメール経由で最初にマルウェアへ感染することを防ぐ対策としては有効ですが、既に感染したダウンローダ型マルウェアが外部から追加のマルウェアを取得する通信を直接防ぐものではありません。
エ：メールフィルタで他サイトへの不正メール発信を遮断する。
⇒感染PCから不正メールを送信する活動を防ぐ対策です。ダウンローダ型マルウェアによる外部サイトからの追加マルウェア取得を防ぐ対策ではありません。