(登録セキスペ)の午後問題の頻出分野「サーバセキュリティ」の攻略ポイントと過去問についてまとめました。アプリケーションのプロトコル(HTTP,FTP,SMTPなど)ごとにゲートウェイ機能の設定が必要。トランスポート層レベルでコネクションを中継する。パケットのヘッダ部の内容に基づいてフィルタリングを行う。(電子メールの内容などはパケットのペイロード部に格納されているためチェックできない。通信内容の通過可否(ポートの開閉)を動的に判断するファイアウォールの方式。セッション毎に通信順序が矛盾した攻撃パケットを遮断することができたり、最小限の許可ルール設定で済むため「設定不備に対するサイバー攻撃に強い」という利点がある。システム障害時に別のファイアウォールへ通信を引き継ぐ機能。既知ウイルスのシグネチャと比較し、ウイルスを検出します。感染前のファイルと感染後のファイルを比較し、ファイルに変更が加わったかどうかを調べてウイルスを検出します。既知の検体と同一のウイルスのみ検出可能です。ウイルスに起因する異常現象を監視し、ウイルスを検出します。ファイルのチェックサムと照合し、ウイルスを検出します。設置され、情報セキュリティインシデントの報告を受け付け、それを元に調査と対応活動を行う組織。日本で利用されている、ソフトウェアの脆弱性情報を提供しているポータルサイト。(脆弱性そのものの特性評価)、現状評価基準(脆弱性の現在の深刻度を評価)、環境評価基準(利用環境を考慮した最終的な脆弱性の深刻度を評価)の3種類の基準がある。「通過するパケットのIPアドレス」「ポート番号」「ペイロード部(データ部分)」をチェックして、Webアプリケーションに対する攻撃を検知し、通信をブロックできるファイアウォール。HTTPS通信が行われている経路上のパケットは暗号化されているため、これらの検知手法が使えない。そのためHTTPの経路に設置する。SSL/TLS通信におけるパケットの暗号化/復号を高速に行う専用機器。Webサーバの処理負荷を軽減する目的で「ファイアウォールとWebサーバーの間」に設置される。SSLアクセラレータのWAN側はHTTPSとなる(LAN側はHTTP)。Management)。Management)。Moduleの略で、PCのマザーボード上に直付けされ「RSA暗号の暗号/復号」や「鍵ペアの生成」、「SHA-1ハッシュ値の計算」「デジタル署名の生成・検証」などの機能を有したセキュリティチップです。Group)によって仕様が策定されています。Network)の略で、ネットワーク上の様々な通信機器を集中的に制御しネットワーク構成やセキュリティ設定などを動的に変更します。Zone(非武装地帯)の略で、公開サーバなどの外部からアクセスされる可能性のある情報資源を設置するための、外部でも内部でもない中間的な位置に存在するセグメントです。インターネットと内部ネットワークおよびDMZは、ルータやファイアウォールで隔てられています。外部からのアクセスを受け付ける公開サーバを内部ネットワークに設置すると、攻撃を受けた際の被害が、内部ネットワークの他のサーバに波及する恐れがあるため、Webサーバは被害発生時の影響を最小限にするためDMZに設置するのが一般的です。DBサーバへのアクセスはWebサーバを介して行われるため、外部から直接アクセスさせる必要がなく内部ネットワークに設置するのが一般的です。Translationの略で、プライベートIPアドレスとグローバルIPアドレスの相互変換するNATの考え方にポート番号を組み合わせた技術。NAPT機能には内部ネットワークを秘匿できるというセキュリティ上の副次的効果がある。PCのマザーボード上に直付けされ、RSA暗号の暗号/復号や鍵ペアの生成、ハッシュ値の計算、デジタル署名の生成・検証などの機能をもつセキュリティチップです。【情報セキュリティ対策とは】マルウェア・不正プログラム、不正アクセスなど情報セキュリティ対策とは?マルウェア・不正プログラム、不正アクセスなどについてまとめました。SSH接続の際に警告メッセージは表示されているため、サーバまで通信は届いています。よって、警告メッセージが表示される可能性として「保守用中継サーバのフィンガープリントが変更された」「接続先が保守用中継サーバではない(他のサーバに接続しようとしている)」があります(前者は既に記載されているので後者が正解)。図2の「ログ」で、「SSH認証ログ及び操作ログへのアクセスには特権利用者の権限が必要であり、それらのログの確認はJ社のシステム管理者が実施する。よって、外部の保守員に一般利用者権限を与える理由は、「操作ログの改ざんや削除を防止するため」だとわかる。保守用中継サーバへのアクセスを許可するのは、「保守PC-A」のみ。FWのフィルタリングルールで「保守PC-B又は保守PC-Cからの保守作業の際は、事前申請にきさいされた作業時間だけ、J社のシステム管理者が”許可”に変更する」とあるため、保守PC-B又は保守PC-Cは通常時は許可せずインターネットからも拒否。保守用中継サーバからインターネットに向けた通信なので、「DMZからインターネット向けの通信(FWで拒否)」となる。J社のシステム管理者は事前申請に従って、インターネットから保守用中継サーバのアクセスを許可しているため、「6月14日の7時0分から6月14日の9時30分まで」となる。表1のルールを利用している(FWのアクセス制限)なので、インターネット経由の接続を他の接続と見分けるには、接続元に固定のIPアドレスを付与します。SSH接続の過程でホスト認証が行われ、そのときの「サーバー(接続先)の公開鍵から計算されたハッシュ値」がフィンガープリントとなる。被害拡大防止のために「LANから切り離す」のは、マルウェアに感染した恐れのあるPC端末の初動対応として定番。ログの答えてしまいそうだが、デジタル・フォレンジックに必要なのは「ディスクイメージ」。調査すべき証拠が消失、改変されないよう、証拠を保全するために「ディスクイメージ」を取っておけば、解析に失敗してもデータを復旧できる。何らかの方法により「フルスキャンを実施する」ので、マルウェアの定義ファイルを更新する必要があることがわかります。そのためには、LANから切り離したPC-Gのマルウェアの定義ファイルを、インターネットに接続しない方法で最新にする必要があります。ウイルス対策ソフトの使用より、それを可能にするのは、「別の正常なPCを用いて、インターネットからマルウェア定義ファイルを入手し、DVD-Rに保存し、DVD-R経由でPC-Gに最新のマルウェアの定義ファイルを渡して更新します。調査対象とする接続元IPアドレスがPC-Gのみとなっている。12月9日17時でのQ社全体でのフルスキャンによりマルウェアが検出されなかったが、12月9日17時以前にマルウェアに感染したPCがなかったとは限らない。よって、全アクセスの調査が必要となる。利用できるサーバを部署ごとに振り分けるため、それぞれに対してFWの設定を行う。問題文中で、サーバからの通信が必要なのは、「マルウェア定義ファイルの更新時だけ」と記載されているため。(登録セキスペ)の概要、攻略法についてまとめました。A社公開Webサーバの名前解決ができなくなる。表1より、外部DNSサーバの機能は「A社ドメインの権威DNSサーバ及び再帰的な名前解決を行うフルサービスリゾルバ」とあります。外部端末がA社公開Webサーバへアクセスする場合、まず、A社の外部DNSサーバで名前解決を行い、A社の公開WebサーバのIPアドレスを取得することでアクセスできるようになります。外部DNSサーバがサービス停止すると、この名前解決ができなくなります。「2送信元のIPアドレスを偽装した名前解決要求を〜Dos攻撃」とはまさにDNSリフレクション攻撃のことです。DMZ上のフルサービスリゾルバ(DNS-F)は、クライアントからの要求に対して、インターネットを経由して他の権威サーバとやり取りを行う必要があります。よって、FW(DMZとインターネットの間)DNS-F→インターネットのDNS通信を許可します。DMZ上の権威DNSサーバ(DNS-K)は、インターネットを経由した問合せに応答を返すため、インターネット→DNS-FのDNS通信を許可します。問題文でIPv4で記載されているので『A』レコードであると判断できます。フルサービスリゾルバからインターネットにある権威サーバ宛にDNS問い合わせで通信する際、宛先ポート番号はデフォルトだとDNSなので53が用いられます。問い合わせ結果を受信する際は宛先ポート番号と送信元ポート番号が反転となります。よって、送信元ポート番号が固定の場合は容易に推測されてしまうtまえ、送信元ポートをウェルノウンポート以外の1024~65535のいずれかをランダムに使用します。DNSSECはディジタル署名を用いて、DNSサーバの偽装及びレコードの改竄を検証します。TLS)とは、スタブリゾルバ(クライアント)とフルサービスリゾルバ(DNSキャッシュサーバ)の間のDNS通信をTLSで暗号化する技術です。権威DNSサーバをプライマリとセカンダリと二重化(冗長化)することで、プライマリDNSサーバに障害が発生した場合、セカンダリDNSサーバで名前解決できるようになります。問題文中からA社のドメイン(a-sha.co.jp.)とDNS-Kのホスト名(dns-k)がわかります。同じように考えると、hもNSレコードなので、セカンダリのDNS-Sについて記載する必要があるとわかります。DNS-SはA社内ではなく、X社のホスティングサービス(ドメインがx-sha.co.jp.)でDNS-Sのホスト名(dns-s)なので「dns-s.x-sha.co.jp.」であるとわかります。MXレコード(メールサーバを指す)であり、問題文中からメールサーバのホスト名は「mail」でメールサーバはA社に帰属するもので、ドメインは「a-sha.co.jp」なので、「mail.a-sha.co.jp.」だとわかる。記述問題だと、末尾に「.」を付け忘れるので注意。ゾーン転送は基本的にはプライマリからセカンダリに対して同期を行います。プライマリは要求先、セカンダリは要求元となります。