【登録セキスペ】令和6年秋午後問1の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和6年秋午後問1」の解説をします。

マルウェアの挙動分析と対策がテーマ。

4～5割は必ず取れるので、問題文から片っ端から拾いあげたり、問題文の情報から別解を捻りだしたりして、なんとか6割を超えたいです。

旧SC午後1ほど「誘導」はしてくれないので、結局問題文を総ざらいすることが多かった印象です。

テーマ・問題構成・設問形態は良い方。解き始めが超遅いのだけ超デメリット。しかし問2がメールのディープな技術問題だったので、私は問1は必ず解きます（問2をどうするかは後で決める）。

新SCになり、作文問題に文字数制限がなくなりました。また、以前よりも「誘導」や「ヒント」が希薄な印象。逆に言えば、解答の自由度が上がったので、理屈が採点者に伝われば正解にしてくれると感じます。

このNoteでは、模範解答に至る考え方を解説しつつ、模範解答にケチをつけたり、別解を提案したりします。

理屈を以って解答を組み立て、粘り強く点を積み立てて、合格ラインを超えていきたい。参考になったら嬉しいです。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

長文問題なので、以下のテクニックを使います。解説の中でも適宜リンクしてますので、気が向いたら読んでみてくださいね。
＞長文問題を読む６つのテクニック
＞長文問題を解く６つのテクニック

＞午前2対策Noteのリスト

問題選び | 解き始めの遅さだけが懸念点

解き始めが切望的に遅いのだけ超気になる。

テーマや設問は呑める方なので、他の問題次第。私はPG系は解きたくないので、問3, 4をなるべく切りたい。できれば問1, 2で決めたいところ。

問題の「見た目判定」の流れ。

APや午後1では、「❶解き始めの速さ」「❷設問の構成」で8割方決めますが。

新SC午後は時間があるので、もう少し深くまで見ます。問題もディープな分、後戻りロスも大きいので。

「❸話題と提示情報が馴染みあるか」「❹図表が分かり易いか」。❺今回は表が多くて「うっ」となります。しかし機器の仕様表とログが半々。呑める量かな。

設問1(1)を空欄aを解くまでに、6.5頁。私は表スキップするので、実質2頁。とはいえ、空欄aを答えるために読み返すのは分かりきってる。

空欄aまでの到達は「実質」速くできますが、解き終えるまでに読む文章量は多い。もし退却する場合の時間ロスも大きい。

なるべく問1, 2でいきたいのですが、他の問題次第。問2がもっとヤバイ場合は問1を選ぶ。問2が良ければ問2を解いて、問1か他から選ぶかを考えます。

実際問2は知識重視で知らないと大失点になる系。私は問2より問1を優先します。問2を解くかは問3と4次第。

読み | 目的を持ち「なるはや」で辿り着く

設問1(1)は、ホスト名を答える。簡単なので(2)や(3)も見ます。ホスト名とアカウント名に注目しながら読むと良いですね。

空欄aは、PC-A以外のホスト名（コンピュータ）。空欄bはファイルが問題になるコンピュータ。空欄cはファイルへのアクセス権限があるアカウント。

では、問題文を読んでいきます。

空欄aまで長いので、なるべく早く読んでいきます。

ホスト名やアカウント名に注意しながら。

高度資格、特に午後2クラスでは、表の全情報を使うわけではないので。また、長い表を読んでも覚えきれません。解く時に読み直すので時間が2重にかかるのは避けたいです。＞長文を読む６つのテクニック（６）

空欄や下線に到達するまでは表を「適度に」スキップ。「機器の仕様が書いてるのね」ぐらい。どんな機器があるかは、ネットワーク図を見ればすぐに分かります。気になったら、項目や1行目ぐらいを読んで「いつものプロキシね」と把握してもOK。

飛ばしすぎてさっぱり分からないのも困りますし、がっつり読んで時間がかかるのも良くありません。緩急は過去問演習で身に着けていきます。

1頁目（2頁）。序盤を読んで「インシデントがテーマね」。

図1を見て「まぁわかる」。一方で疑問もでます。

「仮想PCを使うのはオフィスLANだけかな？ 在宅ワークとかで、外部からのアクセスはないの？」「サーバLANのドメインサーバってなんだ？E社SaaSにDNSが外部DNS（権威）で。ドメインサーバは内部DNS（キャッシュ）ってこと？ リゾルバは、プロキシがE社だから、外部DNS側だろうね」

図は文章よりも速く情報が入り、一瞬であれやこれと推測できます。

2頁目（3頁）の表1。基本的にスキップですが、気になった仮想PCとドメインサーバ（とDNSサーバなど）を、ちらっと見ます。

できれば概要1行。詳細までは読まないです。とはいえ、知っておきたい範囲まで読みます。

ドメインサーバは「L社の社内ドメインを管理」より、社内アクセスのためと判断。また、ユーザの認証もすると理解。

仮想PCは「シンクライアントPCから～仮想PCにアクセス」すると理解。シンクライアントPCの持ち出しは書かれていない。外部からの業務アクセスは考えなくて良いのかな。

他は、解答を作る時に必要があれば読めばいいや、解答を作った後に確認する時に読めばいいや、とスキップ。

3頁目（4頁）の【ツールの開発】。

Fツールの概要は知っておきます。基礎知識ではなく、この問題オリジナルの要素なので。

図2の最初をチラ見して「仮想PCのログなどを収集・ファイル出力する」。以降の表1「使い方」や表2「ファイル」は読みません。

ここで空欄a周辺にあった「ファイル」って言葉が出てきました。Fツールのファイルなのか、ファイルサーバーのファイルなのかは、未だ分かりませんが。

4頁目（5頁）。いよいよインシデントが出ます。

「アラートメール」「PC-A」「https://○○○○.com/」「ベンダー拒否リスト」など。表1を読んでないので、機能の詳細は分かりませんが想像はできます。あとでは確認するためにマーキング。

ここで空欄a周辺にあった「PC-A」が出てきました。

処置は良いですね。PC-Aがマルウェア感染しそうなURLにアクセスしたので、仮想スイッチから切断。感染防止のネットワーク切断・現場保存（電源OFFしない）は基本。

今回はFツールがあったので記録取得まで進みました。

5頁目（6頁）の表3スキップ。
6頁目（7頁）の表4スキップ。
7頁目（8頁）の表5スキップ。

どんなのが載ってるかぐらいは把握しても良いですが、読み込まないで下さい。どうせ設問で調査します。いつ感染したとか。

やっと7頁目（8頁）後半。空欄aに到達。

解き | 設問1(1)aと表3

空欄a周辺、bやcも含めて読みます。

PC-Aがマルウェアに感染し、空欄aやbのコンピュータもマルウェアに感染してそうですね。

マルウェア感染の情報は、インシデント発生後に書かれているはずなのでので、5頁（4頁目）以降にヒントがあるかな、と。スキップした表を詳しく見始めます。

5頁に「PC-Aがhttps://○○○.comにアクセスしようとしてアクセスが拒否」。

6頁の表3にPC-Aの動作。マルウェアの感染や挙動が書かれているはず。どこからがマルウェア感染か分かりませんが、見て行きましょう。

最初に「https://○○serach.com/」「https://△△△.com/」への接続。そして「install」タスク。何かソフトがインストール（導入）されてます。さらに「VSCAN_SVCが停止」、注1より「マルウェア対策ソフト」。これでもう黒。

しばらくPC-A内の探索がなされ、他PCへ接続を試みているログがあります。PC-B, C, D, E, F, Gへアクセス。空欄aやbに入るホスト名の候補になりそう。

各PCへのログに違いがないかを見ると、PC-Cだけログが2つ。他PCが3つなのに。怪しい。そして「administratorアカウントで接続が許可された」旨が書かれてます。管理者アカウント、まずい。

PC-CはRDPアクセスされ感染した可能性があります。

空欄a（または空欄b）は、PC-Cでしょう。あともう1つホストを見つけたいですが、とりあえず後回し。まだ見てない表があるので。

表3の続き。

表3ログの最後は「https://○○○.com/」「https://□□□.com/」へのアクセス。

「https://○○○.com/」は、5頁でアクセス拒否されたサイト。情報漏えいする先のサーバでしょうね。

「https://□□□.com/」は不明。「https://○○○.com/」後に試みる、第二の情報漏えい先かも。

以上より、流れをまとめると。

1. 「https://○○serach.com/」。たぶん検索サイト。白。

2. 「https://△△△.com/」。マルウェア感染させたサイト。黒。

3. マルウェアインストールされ、対策ソフト（VSCAN_SVC）を停止。

4. s.rar作成して、「https://△△△.com/」、s.rar削除。
   rarは圧縮ファイルなので、多分情報漏えい。削除は隠ぺい。黒。

5. PC-Bなど6台に接続試行。PC-Cに成功したかも。

6. 「https://○○○.com/」「https://□□□.com/」にアクセス。成功したかもしれない。ただし「https://○○○.com/」は拒否リストに載ってアラートが出たので失敗で終わってるかもだけど。

ひとまず空欄a（か空欄b）はPC-C。分からなければ両方ともPC-Cと解答して半分得点しましょう。実際空欄bは難しかったです。

なお、rarは複数のファールを1つのファイルにまとめる形式（アーカイブ）。

表3より、rar作成前に、Dドライブやfilesv内のファイルが参照されているので、それらのファイルをアーカイブして、△△△.comに送信しています。

知識を補強します。

Linuxを使ってると「.tar.gz」に遭遇します。拡張子が2重になってますね。tarはアーカイブのみで圧縮しませんが、gzは圧縮。2回処理を施したファイルです。

Windowsの方は「拡張子を表示」しとくと良いですよ。学びになりますし、そもそもセキュリティ的にお薦め。

何かの過去問に見た気がするんですが。拡張子を表示してなくて、アイコンから文書や画像ファイルだと思って開いたら、実行形式（.exe）でしたってケース。

私は、拡張子を表示・隠しファイルも表示させてます。