【登録セキスペ】令和4年度秋期午後2問1の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和4年度春期午後2問1」の解説をします。

模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。

この問題良かった、というか、過去問に出た手口なので簡単でした設問3(2)(3)。若干失点する問題もありますが、午前や他資格に昔から出てたので理不尽さも感じません。

逆に言えば「学び」は少ないかと。もし点数が悪ければ、テキストと午後1演習を今一度念入りにして下さいね。または問2にも挑戦してみてください。＞令和4年度秋期午後2問2の解説Note（準備中＊）

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。

※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法

設問1(1) | 消去法でも充分

正答は、エ（ファイルレスマルウェア）。

＞AP令和6年春午後問1の解説Note で、今後出る可能性が高いと紹介しましたが、種別を超えて出てきました。SC午後2で出てから、お下がりで出たようです。

暗号資産採掘マルウェアと「クリプトジャッキング」

「暗号資産採掘マルウェア」は、名前の通り暗号通貨のマイニングをします。

午前問題で出てきた「クリプトジャッキング」を実行するマルウェアなので「クリプトマイナー」とも呼ばれます。Iパスでも既にお馴染み。＞【Iパス9問】攻撃手法Note

多数のマルウェアが Iパスからずっとお馴染み

他のマルウェアもIパス/FEでお馴染みなので大丈夫ですね。

• アドウェア：「広告」が多数/詐欺や、スパイウェアである場合。

• トロイの木馬：正常なソフトと見せかけて裏工作する。

• ランサムウェア：「ファイルを勝手に暗号化」して使えなくし、解除するための金銭を「脅迫」する。

＞73種攻撃Note（マルウェア節）
＞【Iパス3問】基本マルウェア3種Note
＞【Iパス7問】ランサムウェアNote
＞【Iパス5問】スパイウェアNote
＞【Iパス9問】ボット/マクロウィルスNote
＞【Iパス9問】攻撃手法Note

設問1(2) | 別解も考える

模範解答は「C&CサーバのIPアドレス」。

模範解答の主旨。検体αは、表4「C&Cサーバに接続し、プログラムコードをダウンロード」「プログラムコードはディスクには展開されずメモリ内だけ」なので、シャットダウンするとプログラムコードが消失します。

再現するには、次回もC&Cサーバに接続して同じプログラムコードをダウンロードしてもらわねばなりません。

以上より模範解答。C&CサーバのIPアドレスが変更され、検体αに登録されたIPアドレスで接続できなくなったら、コードがダウンロードできず再現できない。

C&CサーバのIPアドレスを変える理由は、攻撃元を特定/追及するのを避けたいから。詐欺の電話番号や住所を転々とするようなものですね。

ただ過去問で、検体がC&CサーバのFQDNを複数記録している場合もあるので、土日挟んだぐらいならダウンロードできる気もします。＞SC平成27春午後1問2設問2(2)の解説Note にて「マルウェア内にC&Cサーバの～五つの異なるFQDNが確認できた」。

問題文から発想しにくいかなと思うので別解も考えてみます。

私はIPアドレスに発想できず、メモリやプログラムコードに注目しました。

電源を切るとメモリ状態がリセットされちゃいますから。今回の「プログラムコードはディスクには展開されずメモリ内だけ」なファイルレスマルウェアなら尚更。

プログラムコード。C&Cサーバからダウンロードするので、攻撃者がプログラムを改造or別物にしたら、今までの被害とは違うのかなと。

私の解答は後者のコードで。「ダウンロードされるプログラムコード」17文字なので、「ダウンロードされるプログラム」14文字。改造なのか別物なのか、曖昧な解答ですが。

メモリでも書いてみたいですが、設問の「攻撃者によって何が変更されるか」と噛み合わないのでナシ。

なお、マシンをシャットダウンし翌週起動するので、メモリ状態が異なるので、調査は最初からやるのが良いでしょうね。

設問1(3) | 「実機」という言葉

模範解答は「仮想マシンではない実機環境を使う」

頑張って作文して正解しましょう。「実機」という言葉が書けると良いですね。ゲーム配信してると分かるかも。

一応丁寧に情報を集める経緯を。

下線③前「検体γは現在の解析環境ではこれ以上解析できない」ので、検体γの特徴を表4「自身が仮想マシン上で動作していることを検知すると～解析を回避するため」。

よって、現在の「解析環境（図1）」の表1「仮想マシンで構成されている」では無理だと。なお「Dシステム（図1）」も表1「仮想マシン（以下、OF機器）」なので、無理ですね。

やるなら、L社にPC実機を設けて無線LANルータから通信させるですかね。データセンタのFWに接続しても良いですが、L社DｰPCから遠隔操作する設定など大変かも。

設問2abcd | 他サイトで語れてない理由

正答は
a：ア（OF機器→検疫PC）
b：ウ（OF機器をシャットダウン）
c：エ（OFルータを内部モード）
d：イ（検疫PC→ファイルサーバ）

メチャクチャ難しいですよ。正直分からなくて、他サイト様を何件か見たんですが、もっと深いです。少なくとも表3ルールに言及せんと正解できません。

まずざっくり。ア（OF機器→検疫PC）、イ（検疫PC→ファイルシェアサーバ）なので、アが先・イが後です。

問題はウ（OF機器シャットダウン）とエ（OFルータを内部モードへ）をどこに挟むか。

肝になる文章は6頁末の2つ。
❶「検疫PCは、表3～については、OF機器として扱う」
❷「検体PC以外のOF機器と、ファイルシェアサーバとは直接通信させない」

表3の内部/外部モードを見比べます。

• 表3-項番4：内部モードにした時、OF機器からファイルシェアサーバが許可に切り替わります。❷に反します。

• ❶より、検疫PCはOF機器と同じなので、OF機器→OF機器は表3ルールに縛られません。つまりOF機器→検疫PCのために内部モードにしなくてOK。

• 検疫PC(=OF機器)→ファイルシェアサーバのために内部モードに切り替える。ただし、❷に反するので、OF機器をシャットダウンして、通信できないようにする

よって、ウ（OF機器をシャットダウン）して、エ（内部モードに切り替え）して、イ：検疫PC(=OF機器)→ファイルサーバの転送をします。

以上より、
a：ア（OF機器→検疫PC）：公開モードで通信可。
b：ウ（OF機器をシャットダウン）：次の内部モードで通信させないために。
c：エ（OFルータを内部モード）：次の通信のために。
d：イ（検疫PC→ファイルサーバ）

私は間違えました。図4-2で内部モード切替が先、図4-5でシャットダウンでしたから、深く考えずそのままの順番にしました。

図4を解釈するのも過去問演習です。

図4-2：内部モードへ切替：次の通信のために。
図4-4：OF機器→ファイルシェアサーバ
図4-5：OF機器シャットダウン
※公開モードに切替ても良いはず。ひょっとしたら表4のスナップショット機能で復元するためのシャットダウン？

点数に関係なくても、問題を読む込むスキル/深い理解に繋がりますから。

設問3(1)e

正答は、1（プローブ機能）。

空欄e前「ネットワーク内の機器の情報を得たい」時、表5-1「プローブ機能」でARP要求（このIPアドレスの方、MACアドレス答えて！）で情報収集するしか。

表5-2の偽ARP応答、表5-3のパケット中継は、ネットワーク構造や標的が分かってからの攻撃手段。

表5-2の偽ARP応答で、標的PCのARPテーブルに偽情報を載せさせる（ポイズニング）。表5-3で、DNSやPCになりすまし（スプーフィング）て、通信を中継しつつ内容を窃取や改ざん。

設問3(2)fghi | 過去問に出てた手口