rootkit｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問12
出典：平成28年秋期 午前Ⅱ 問12
分野：セキュリティ ／ 情報セキュリティ
rootkitの特徴はどれか。
- ア：OSなどに不正に組み込んだツールを隠蔽する。
- イ：OSの中核であるカーネル部分の脆弱性を分析する。
- ウ：コンピュータがウイルスやワームに感染していないことをチェックする。
- エ：コンピュータやルータのアクセス可能な通信ポートを外部から調査する。
TSUNAGARU-ADVICE
まず押さえたいこと
rootkitは、攻撃者が侵入後に利用する不正なツールやバックドアなどをOSに組み込み、その存在や活動を利用者・管理者・セキュリティソフトから見えにくくするための仕組みです。ポイントは、侵入後の不正活動を隠蔽して潜伏を続けることです。
迷ったときの判断軸
カーネルの脆弱性分析はrootkitの定義ではなく、ウイルスやワームの感染確認はマルウェア対策ソフトなどの役割です。また、外部から通信ポートを調べるのはポートスキャンです。rootkitは、不正ツール・バックドア・プロセス・ファイルなどを隠すという特徴で判断しましょう。
科目Bにつなげるために
科目Bでは、マルウェア感染・権限昇格・バックドア・ログ改ざん・フォレンジックスなどと組み合わせて問われることがあります。rootkitを見つけるときは、通常のファイル一覧やプロセス一覧だけを信用せず、攻撃者が証拠や不正プロセスを隠している可能性まで考える視点を持ちましょう。
rootkitは、攻撃者がコンピュータへ侵入した後に、不正なプログラムや活動の痕跡を利用者や管理者から見えにくくするためのツール群です。
例えば、不正なプロセス・ファイル・通信などをOS上で隠蔽し、攻撃者が継続してシステムへアクセスできる状態を維持するために使われます。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：OSの中核であるカーネル部分の脆弱性を分析する。
⇒脆弱性分析に関する説明です。rootkitにはカーネルレベルで動作するものもありますが、目的はカーネルの脆弱性を分析することではなく、不正な活動やツールを隠蔽することです。
ウ：コンピュータがウイルスやワームに感染していないことをチェックする。
⇒ウイルス対策ソフトなどのマルウェア検査に関する説明です。rootkitは感染の有無を確認するものではありません。
エ：コンピュータやルータのアクセス可能な通信ポートを外部から調査する。
⇒ポートスキャンの説明です。ポートスキャンは、通信可能なポートや稼働しているサービスを調査するために行われます。