※令和3年度秋期の情報処理安全確保支援士試験（SC）の解答は、本記事作成時点（2021年10月29日時点）で公開されていないため、筆者の解答例となります。そのため、解答が間違っている可能性があります。
※本記事は問題を解いた考え方と解答を記載していますので、事前に令和3年度秋期の情報処理安全確保支援士試験（SC）の午後一を解いてからご確認ください。
令和3年度秋期の情報処理安全確保支援士試験（SC）の午後問題
令和3年度秋期の情報処理安全確保支援士試験（SC）の午後問題は以下の5つあります。
それぞれの問題について、解説を記載しました。
情報処理安全確保支援士試験（問３ PCのマルウェア対策）
問３はPCのマルウェア対策に関する記載を通して、以下の内容に関する知識を問う問題でした。
(a) マルウェア感染時の対応
(b) ファイアウォールの設定
(c) URLフィルタリングの設定
(d) マルウェアの種類
設問１では、マルウェア感染時の対応やフォレンジックに関する知識を問う問題です。
設問２では、ファイアウォールやURLフィルタリングの設定に関する問題です。
設問３では、マルウェアの対策に関する問題です。
情報処理安全確保支援士試験（問３の設問１の解答）
(1)
マルウェア感染時の初動対応を問う問題です。
マルウェアに感染した機器があった場合は、その機器をネットワークから切断して他に機器に二次感染させないようにすることが重要です。
IPAの「インシデントマネジメント」にインシデント対応時の流れが記載されていますので、一読することをお勧めします。
また、余談ですが、デジタルフォレンジックの観点では情報収集が終わるまで、OS停止及びネットワークの切断をしないことが推奨されています。しかし、一般的には感染拡大を防ぐことが優先されます。
【解答例】
PCをネットワークから切断する
(2)
デジタルフォレンジックをする際に必要な情報を問う知識問題です。
マルウェア感染時の調査として、以下のような情報を用います。
・ファイアウォールを経由した通信のログ
・PC上のログファイル、メモリダンプ、マルウェアのファイル等
今回は文中からPCに関する情報を問われていますので、PC内の全てのデータを取得できる「ディスクイメージ」が必要な情報です。
【解答例】
ディスクイメージ
(3)
マルウェア感染時のマルウェア対策ソフトでの対処方法に関する問題です。
a、b、cの穴埋め問題になっており、本文の構成は以下のように「感染したPC-Gに関する対策」と「その他の機器に二次感染していた場合の対策」の２つに分けて記載されています。
本文中にマルウェア対策ソフトについて、以下の記載があります。
マルウェア対策ソフトのマルウェア定義ファイルを手動で更新するための手段は以下の2つあります。
・最新のマルウェア定義ファイルを保存したDVD-Rを用いる
・マルウェア対策ソフトの画面を操作する
ここで「感染したPC-Gに関する対策」をする際の注意事項として、感染拡大リスクを防ぐためにネットワークを切断した状態で実施する必要があります。
PC-Gはネットワークに接続せずに、他の機器は効率的に「定義ファイルを更新してフルスキャンを実施する」と考えると、a、b、cの内容は解答例のようになります。
【解答例】
a ： 最新のマルウェア定義ファイルを保存したDVD-Rを用いる
b ： マルウェア定義ファイルの更新
c ： マルウェア対策ソフトの画面を操作する
(4)
プロキシサーバのアクセスログの調査の漏れに関する問題です。
図3に調査結果が記載されていますので、調査した内容を確認します。
以下の図3の(4)に「アクセス元IPアドレスがPC-Gであるアクセス」のみ確認していますので、他の機器からアクセスしていた場合はわからないことになります。
そのため、他のPCが感染していないか確認するために、「PC-G以外からC&CサーバのURLのリスト（Cリスト）に送信されたログの有無を確認」するという内容が答えです。
【解答例】
PC-G以外のCリストへのアクセスログの有無
情報処理安全確保支援士試験（問３の設問２の解答）
(1)
ファイアウォールの設定を問う問題です。
文中にFサーバ1とFサーバ2の利用者をそれぞれ以下のように振り分ける旨の記載があります。
・Fサーバ1の利用者を総務部員及び営業部員
・Fサーバ2の利用者を技術部員
現行のファイアウォールの設定は以下のようになっていますので、「項番3」と「項番4」の送信元を制限できます。
【解答】
[変更箇所１]
項番 ： 3
送信元 ： 総務部LAN、営業部LAN
[変更箇所２]
項番 ： 4
送信元 ： 技術部LAN
(2)
URLフィルタリングの設定に関する問題です。
プロキシサーバのURLフィルタリングの機能概要は表1に記載されているため、その内容を理解した上で問題を理解する必要があります。
文中にサーバから外部サイトにアクセスする必要がある操作は以下の赤線の「マルウェア定義ファイル更新のためにV社配布サイトへのアクセス」のみですので、その内容をURLフィルタリングに設定します。
【解答】
d ： V社配布サイト
e ： 全て
情報処理安全確保支援士試験（問３の設問3の解答）
(1)
ファイルのハッシュ値を用いたホワイトリストの注意事項に関する問題です。
ファイルの一部でも変わるとハッシュ値が変わって、ホワイトリストに登録しているハッシュ値と一致しなくなり、ファイルが実行できなくなります。
プログラムのバージョンアップなどで実行ファイルが変わった場合にハッシュ値が変わりますので、その旨を回答します。
【解答】
実行ファイルのバージョンアップなどでハッシュ値が変更した場合
(2)
マルウェアの種類に関する問題です。
マルウェア感染後にファイルが存在せずに、メモリ内に常駐するマルウェアのことを「ファイルレスマルウェア」といいます。
ファイルレスマルウェアはファイルのホワイトリストでは実行を防ぐことができないため、ファイルレスマルウェアの概要が答えになります。
【解答】
ファイルを作成せずにメモリ上に保存してコードを実行するマルウェア
