マルウェアのダウンロード対策｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問14
出典：平成30年春期 午前Ⅱ 問14
分野：セキュリティ ／ 情報セキュリティ対策
内部ネットワークのPCがダウンローダ型マルウェアに感染したとき，そのマルウェアがインターネット経由で他のマルウェアをダウンロードすることを防ぐ方策として，最も有効なものはどれか。
- ア：インターネットから内部ネットワークに向けた要求パケットによる不正侵入行為をIPSで破棄する。
- イ：インターネット上の危険なWebサイトの情報を保持するURLフィルターを用いて，危険なWebサイトとの接続を遮断する。
- ウ：スパムメール対策サーバでインターネットからのスパムメールを拒否する。
- エ：メールフィルターでインターネット上の他サイトへの不正な電子メールの発信を遮断する。
TSUNAGARU-ADVICE
まず押さえたいこと
ダウンローダ型マルウェアは、感染後にインターネット上の不正サイトへ接続し、追加のマルウェアを取得しようとします。そのため、追加ダウンロードを防ぐには、危険なWebサイトへの接続を遮断するURLフィルターが有効です。
迷ったときの判断軸
この問題は、インターネットから内部への侵入を防ぐ話ではなく、感染した内部PCが外部へ接続する通信を止める話です。スパムメール対策やメール送信の遮断も、Webサイトからマルウェアをダウンロードする動きとは直接対応しません。判断するときは、マルウェアがどの向きに、何をしようとしているかに注目しましょう。
科目Bにつなげるために
科目Bでは、感染端末の外部通信・C&Cサーバとの通信・プロキシログ・URLフィルタ・出口対策などが問われることがあります。侵入を完全に防ぐだけでなく、感染後に被害を広げないために、内部から外部への不審な通信を検知・遮断する視点を持ちましょう。
ダウンローダ型マルウェアは、感染後に外部のWebサイトなどへ接続し、別のマルウェアをダウンロードします。そのため、感染PCから危険な配布サイトへの通信を遮断する対策が有効です。
URLフィルターを用いれば、既知の危険なWebサイトやマルウェア配布サイトへのアクセスを制限できるため、追加のマルウェアがダウンロードされる可能性を低減できます。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：インターネットから内部ネットワークに向けた要求パケットによる不正侵入行為をIPSで破棄する。
⇒外部から内部への不正侵入を防ぐ対策です。本問では、既に感染したPCからインターネットへ向かう通信を利用してマルウェアをダウンロードするため、通信の方向が異なります。
ウ：スパムメール対策サーバでインターネットからのスパムメールを拒否する。
⇒スパムメールを経由した新たな感染を防ぐ対策です。既にダウンローダ型マルウェアに感染したPCが、Webサイトなどから別のマルウェアを取得する通信は防げません。
エ：メールフィルターでインターネット上の他サイトへの不正な電子メールの発信を遮断する。
⇒感染PCなどから外部へ送信される不正メールを防ぐ対策です。Webサイトなどから別のマルウェアをダウンロードする通信への対策ではありません。