正解：ウ
各選択肢の解説
アOSや業務ソフトに修正プログラムを速やかに適用し、脆弱性を塞ぐ。
誤り。脆弱性の悪用への対策としては基本ですが、今回は脆弱性を使わず、 正規の機能を本来の使い方どおりに動かしています。修正プログラムで 塞がる欠陥がそもそも無いので、この攻撃は止まりません。
イウイルス対策ソフトの定義ファイルを更新し、既知の不正プログラムを検出する。
誤り。定義ファイルによる検出は、既知のマルウェアの特徴との照合です。 今回使われたのはOSの管理ツールと契約中のクラウドサービスという正規の ソフトウェアなので、不正プログラムとして検出されません。
ウ管理ツールや共有機能を使える者を業務上必要な範囲に絞り、操作の記録を監視する。
正解。正規の機能は「悪いもの」として検出できないので、使える人を絞って 悪用の余地を減らし、普段と違う使い方を記録から見つけます。 機能の悪用に対しては、権限の最小化と利用状況の監視が軸になります。
エファイアウォールで、社外から社内への通信をすべて遮断する。
誤り。持ち出しは社内から契約中のクラウドサービスへの通信で行われており、 業務で許可されている通信に紛れます。社外から社内への通信を止めても、 内側から外へ向かうこの通信は防げません。
理解を深めるために
合鍵でも壊した鍵でもなく、備え付けの道具を使う
泥棒が、店にもともと置いてある台車と配送伝票を使って商品を運び出したとします。 鍵を壊していないので壊れた鍵を直しても防げず、持ち込んだ不審物も無いので 持ち物検査にも引っかかりません。防ぐには、台車や伝票を使える人を決め、 使われ方を見張るしかありません。
なぜ従来の対策をすり抜けるのか
サービス及びソフトウェアの機能の悪用は、OSの管理ツール、リモート操作の機能、 クラウドサービスの共有機能など、正規に備わった機能を本来の目的外に使う攻撃です。
- 脆弱性を突かないので、修正プログラムでは塞がらない
- 正規のソフトウェアなので、定義ファイルによる検出に引っかからない
- 業務で許可された通信に紛れるので、通信の遮断でも止めにくい
対策の考え方は「悪いものを見つけて止める」から、正規の機能の使われ方を管理することへ 移ります。管理ツールや共有機能を使える利用者を必要な範囲に絞り、操作の記録を残して、 普段と違う時間帯・量・宛先の利用に気づけるようにします。
混同しやすいものとの違い
| 対策 | 効く相手 | 今回の攻撃に効くか |
|---|---|---|
| 権限の最小化と利用の監視 | 正規機能の悪用 | 効く |
| 修正プログラムの適用 | 脆弱性の悪用（ゼロデイ攻撃を除く） | 効かない（脆弱性が無い） |
| 定義ファイルの更新 | 既知のマルウェア | 効かない（正規のソフトウェア） |
| 外から内への通信遮断 | 外部からの侵入の通信 | 効かない（内から外への正規通信） |
試験では「脆弱性もマルウェアも使っていない」という条件が出たら、 正規の機能が悪用されたと読み、使える範囲と使われ方を管理する対策を選びます。