正解：ウ
各選択肢の解説
アファイアウォールの規則に誤りがあり、外部からの侵入を許していた。
誤り。許可していない外部からの接続の記録は無く、マルウェアは業務で許可している メールに添付されて入ってきました。規則どおりに動いていても、 許可した通信に紛れて入るものは止められないことを示す事例です。
イ外部への通信もすべて止めていれば、感染は防げた。
誤り。外部への通信を止めても、メールの受信を許している限り添付ファイルは届きます。 また、PCから社内サーバへの広がりは境界を通らない社内どうしの通信なので、 外部への通信の扱いとは関係なく起きます。
ウ境界防御は境界を通る通信しか見ないので、内側での広がりには別の対策が要る。
正解。ファイアウォールが見張るのは社外と社内の境目だけです。 一度内側に入られると、社内どうしの通信には手が届かないので、 端末での対策や社内の区切りを組み合わせる必要があります。
エファイアウォールをIPSに替えれば、社内どうしの通信も検査できた。
誤り。IPSは通信の中身まで調べられますが、それは自分を通る通信に限られます。 境界に置いたままでは、PCから社内サーバへの通信はIPSを通らないので、 装置の種類を替えても見えない範囲は変わりません。
理解を深めるために
城門を固めても、城内に入った者は止められない
城壁と城門で外敵を防ぐ守り方は、門を通る者しか調べられません。 商人の荷物に紛れて入った者が城内で暴れたら、城門の守りは何もできません。 境界防御は、社外と社内の境目にファイアウォールなどを置いて守る考え方で、 同じ弱点を持っています。
事例のどこで境界防御が効かなかったのか
感染の流れを境界との関係で分けると、次のようになります。
- マルウェアは、業務で受信を許可しているメールの添付ファイルとして境界を通過した
- 社員が開いてPCが感染した（境界の内側での出来事）
- PCから社内の別のサーバへ感染が広がった（境界を通らない社内どうしの通信）
1は規則どおりに許可された通信、2と3はそもそも境界の装置を通りません。 ファイアウォールの規則に誤りがなくても、この流れは止められないということです。 そのため、境界防御に加えて、端末のマルウェア対策、社内のネットワークを区切って 広がりを抑える仕組み、内側の振る舞いを監視する仕組みなどを重ねて守ります。
混同しやすいものとの違い
| 見方 | この事例に当てはまるか |
|---|---|
| 境界防御は境界を通る通信しか見ない | 当てはまる。内側での感染と広がりは境界を通らない |
| ファイアウォールの規則の誤り | 当てはまらない。許可外の接続の記録は無い |
| 外部への通信の全面遮断 | 当てはまらない。受信したメールで入り、社内で広がった |
| IPSへの置き換え | 当てはまらない。境界に置く限り社内どうしの通信は通らない |
試験では、被害が境界を「通った通信」によるのか、境界を「通らない通信」によるのかを読み分けます。 内側で広がった事例では、境界の装置を強くする選択肢は答えになりません。