平成15年午後II問１　セキュリティ事件への対応：情報セキュリティアドミニストレータ試験対策

　A社は、社員数が300名ほどの健康食品の輸入と販売を行う商社である。これまで、
A社では、Webを利用した商品の宣伝や社外との電子メール（以下、メールという）
のやり取りのために、インターネットサービスプロバイダ（以下、ISPという）が提
供する小規模事業者向けの各種のサービスを利用してきた。具体的には、ダイヤルア
ップによるインターネット接続サービス、ISPが提供するWebサーバのホスティング
サービスやメールアカウント利用サービスなどである。しかし、ダイヤルアップによ
る接続では、顧客とのメールのやり取りが遅れがちで業務に支障が出始めていた。そ
こで、昨今、高速なインターネット常時接続サービスが低価格で利用できるようにな
ってきたことや、A社内の情報システムの拡充に伴って情報システム課の課員が増強
されたことなどから、自社内にWebサーバやメールサーバなどのインターネット向け
情報システム（以下、新システムという）を構築し、インターネットに常時接続する
ことにした。A社の情報システム課のB課長をリーダとする3名でチーム（以下、構
築チームという）を組み、新システムの構築を推進することになった。図1に、新シ
ステムの構成を示す。

　構築チームによる検討の結果、新システムは、図2に示すような方針で運用するこ
とにした。

　情報システムへの投資に対する予算の制約もあり、必要なハードウェアやソフトウ
ェアの選定、調達及び設定まで,構築チームがすべての作業を実施することになった。

〔新システムのぜい弱性の検査〕

　3か月ほどの期間を経て、新システムの構築がほぼ一段落した。そこで、構築チー
ムのメンバである情報システム課のC主任が、新システムをインターネットに接続す
る前に、新システム全体の情報セキュリティの状況について確認することになった。
　C主任は、新システムで利用するOSやアプリケーションソフトウェアに関連した
ぜい弱性の情報を集め、各種の設定ファイルの内容や修正パッチの適用状況などを調
査した。その結果、Webサーバに関連するセキュリティ上の問題が二つ発見された。
　次は、それらの問題に関するB課長とC主任の会話である。

C主任：新システムのWebサーバで、セキュリティ上の問題が二つ発見されました。
　　　　インターネットに接続する前に、これらの問題を解決しておく必要がありま
　　　　す。
B課長：それはどのような問題かね。もう少し具体的に説明してほしい。
C主任：一つは、クロスサイトスクリプティング（以下、XSSという）と呼ばれるぜ
　　　　　い弱性に関する問題です。このぜい弱性を悪用されてしまうと、【　a　】
　　　　　といった被害の発生する可能性が考えられます。
B課長：それは大きな問題だな。この間題を解決するには、どのような対策を実施す
　　　　　ればよいのだろう。
C主任：XSSの問題を解決するためには、幾つかの対策を実施しなくてはなりません。
　　　　　詳細は、改めて文書で報告いたしますが、一つだけ例を挙げますと、Webブ
　　　　　ラウザからのリクエストに対してWebサーバが返すWebコンテンツ中に
　　　　　【　b　】が存在した場合には、それらに対する【　c　】処理をWeb
　　　　　サーバが実施しなければならないといったことがあります。
B課長：ほかにも問題はあったのかね。
C主任：もう一つは、バッファオーバフロー（以下、BOFという）と呼ばれるぜい弱
　　　　　性に関する問題です。このぜい弱性を悪用されてしまうと、遠隔地からイン
　　　　　ターネットを経由した不正な【　d　】や、【　e　】といった被害の発
　　　　　生する可能性が考えられます。
B課長：それでは、新システムへの移行時期を少し延期した方がよさそうだな。
C主任：2週間ほど時間をいただけないでしょうか。その間に、XSSやBOFの対策と
　　　　　して必要な修正を加えた上で、再度、確認試験を行いたいと思います。
B課長：分かった。それでは、担当役員を通じて取締役会に報告し、承認を得た上で
　　　　　延期することにしよう。

〔新システムヘの移行〕

　2週間ほどたって、C主任からB課長にWebサーバで発見されたぜい弱性への対策
を終了したとの報告があった。B課長は、その結果を担当役員を通じて再度取締役会
に報告し、新システムヘの移行について承認を得た。
　この承認を受けて、A社では、新システムへの移行が実施された。B課長は引き続
き新システムの運用責任者に任命され、構築チームは解散した。新システムでは、イ
ンターネットとの常時接続や回線速度の増強などが実現され、顧客や社員に極めて好
評であった。新システムヘの移行が終了してから数週間は、大きなトラブルもなく、
順調であった。

〔事件の発生〕

　新システムに移行してから数週間が過ぎたある日、某社（以下、X社という）のサ
イト管理者からA社のサイト管理者のメールアドレスあてに、図3に示すようなメー
ルが届いた。

　このメールは、直ちに情報システム課のメンバに伝達され、状況調査が行われた。
図4に、新システムの状況調査の結果を示す。

　C主任は、①Webサーバに置かれていた不審なデータファイルを削除し、再度Web
サーバ上のOSやアプリケーションソフトウェアについて、各種の設定ファイルの内
容や修正パッチの適用状況なとの確認作業を行ったが、ほかに問題は発見できなかっ
た。

〔事件の再発〕

　C主任が確認作業を行ってから数時間後に、Webページを見た顧客からの連絡で、
Webサーバのコンテンツが改ざんされたことが分かった。インターネットに接続した
状態では更に何が起こるか分からなかったので、C主任は、B課長と相談の上、Web
サーバのネットワーク接続を一時的に切断し、徹底的な原因の究明を行って、再発防
止の対策を実施することにした。
　B課長は、直ちに情報システム課のメンバを召集して対策会議を開いた。しかし、
このような事件に対してどのようなステップで対応すべきかについて、経験のあるメ
ンバがおらず、明確な対策を打ち出せずにいた。
　そこで、B課長は、このような事件に対する一般的な対応手順について、C主任に
至急情報を収集するように命じた。C主任は、情報システム課のメンバのD君と協力
して情報を収集し、図5に示す一般的な対応手順を取りまとめ、B課長に報告した。

　B課長は、C主任から報告を受けるとすぐに、新システムに関する事件発生時の全
サーバ、ルータ及びFWを対象にした対応手順を、図5を参考にして検討するようC
主任に指示した。図6に、事件発生時の対応手順の検討結果を示す。

　C主任は、B課長に図6の検討結果を報告して判断を仰いだ。B課長は、C主任が
作成した②図6の対応手順を見て、二つの重大な技術上の問題点を指摘した。C主任
は、B課長の指摘を受けて対応手順を修正し、直ちにその対応手順に従って対策を開
始した。
　翌日になり、Webサーバが復旧したところで、B課長が事件の経過を担当役員を通
じて取締役会に報告したところ、情報セキュリティ対策に関する対応の不備について
厳しい指摘を受けた。また、取締役会では、社長を委員長とする情報セキュリティ委
員会を直ちに設置して、情報セキュリティポリシの策定をはじめ、総合的なセキュリ
ティ対策を推進することが決議された。

設問１

本文中の【　a　】～【　e　】に入れる適切な字句を解答群の中から選
び、記号で答えよ。

　　　解答群
　　　ア　URL フィルタリング　　　イ　暗号化　　　　　　　ウ　エスケープ
　　　エ　機密情報の漏えい　　　　オ　コマンドの実行　　　カ　サービスの妨害
　　　キ　メール中継　　　　　　　ク　メタキャラクタ　　　ケ　レイティング

設問２

本文中の下線①で実施した処置は、重大な誤りであった。そのため、A社が本
来実施すべきであった対応を実施できない可能性がある。図6中の（5）に沿って、
A社が本来実施すべきであったのはどのような対応か。A社の状況を踏まえて、
80字以内で具体的に述べよ。

設問３

B課長が本文中の下線②で指摘した二つの重大な技術上の問題点を、図6中か
ら選び、それぞれ番号で答えよ。また、それらの問題点を回避するために実施す
べき対応を、問題点の内容も含めて、それぞれ80字以内で述べよ。

設問４

図4に示した状況調査の結果だけでは、事件の影響範囲を特定し、再発を防止
するには不十分であった。X社のサイト管理者からメールを受け取った時点で、
更に調査の対象とすべきであった新システムの構成要素を、SYSLOGサーバ以外
に二つ挙げ、図1中の字句を用いてそれぞれ答えよ。また、それらに対する調査
の内容を三つ挙げ、図6中の字句を用いて、それぞれ15字以内で述べよ。

設問５

事件発生時のB課長の行動や判断には、情報セキュリティマネジメントを実施
する上で問題がある。あなたがA社の担当役員から依頼を受けた情報セキュリテ
ィアドミニストレ一タであるとしたら、どのような点を助言するか。重大と思わ
れる問題を二つ挙げ、B課長が本来実施すべきであった対応も含めて、それぞれ
70字以内で述べよ。