侵入者の挙動調査に使う仕組みはどう見分けるか
基本情報技術者試験 平成31年度春期 午前 問44 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
侵入者やマルウェアの挙動を調査するために，意図的に脆弱性をもたせたシステム又はネットワークはどれか。
- ア
DMZ
- イ
SIEM
- ウ
ハニーポット
- エ
ボットネット
会話形式の解説
講師この問題では、調査という目的に加えて、攻撃を誘うための環境を用意する点に注目します。
受験者調査なら、ログを分析するSIEMが近いと思いました。どこが違いますか。
講師SIEMは複数の機器やシステムからログを集めて分析する仕組みです。問われているのはログの分析ですか、それとも攻撃を誘うおとりそのものですか。
受験者意図的に脆弱性を設けるという条件があるので、おとりそのものです。
講師その条件に合うのがハニーポットです。攻撃者を誘い、その行動を観察するためのおとりで、侵入者やマルウェアの挙動の記録・調査に使います。
受験者DMZも外部に関係する領域ですが、おとりとは違うのですか。
講師DMZは外部向けのサーバを置くネットワーク領域です。攻撃を誘って挙動を調べるために用意する仕組みを指す名称ではありません。
受験者ボットネットは、攻撃者が制御する機器に関係する言葉だったと思います。
講師はい。ボットネットは攻撃者の制御を受ける感染機器の集まりです。調査のために用意したおとりとは区別します。
受験者攻撃を誘って観察するならハニーポット、集まったログを分析するならSIEMと、役割で判断できますね。
講師そのとおりです。「分析する」「外部向けサーバを置く」「感染機器の集まり」といった別の役割に引っ張られず、何のために環境を用意するのかを確かめましょう。
まとめ
正解はハニーポットです。攻撃者を誘って行動を観察するためのおとりで、意図的に脆弱性を設けることがあります。SIEMはログの収集・分析、DMZは外部向けサーバを置く領域、ボットネットは攻撃者の制御を受ける感染機器の集まりです。調査のために攻撃を誘うという目的が、名称を選ぶ決め手になります。
解答・解説
正解はウです
この問題のテーマ
侵入者やマルウェアの挙動を調べるために用意する仕組みの名称を問う問題です。
解き方の考え方
問題文の手掛かりは、調査を目的として意図的に脆弱性を設ける点です。候補が「攻撃を誘って観察するおとり」なのか、それとも別の役割をもつものなのかを確認します。
選択肢ごとの解説
- ×ア DMZDMZは、外部向けのサーバを置くネットワーク領域です。侵入者を誘って挙動を調査するために用意する仕組みを指すものではありません。
- ×イ SIEMSIEMは、複数の機器やシステムからログを集めて分析する仕組みです。分析には関係しますが、問題文が尋ねる、意図的に脆弱性を設けたおとりそのものではありません。
- ○ウ ハニーポットハニーポットは、攻撃者を誘い、その行動を観察するためのおとりです。意図的に脆弱性を設けることがあり、侵入者やマルウェアの挙動を記録・調査するという条件に合います。
- ×エ ボットネットボットネットは、攻撃者の制御を受ける感染機器の集まりです。調査のために用意したおとりのシステムやネットワークを表す名称ではありません。
POINT
- 「調査のために攻撃を誘う」という目的が、名称を選ぶ決め手になります。
- ログを集めて分析する仕組みと、観察対象を誘い込む仕組みは役割が異なります。
- 感染機器の集まりを指す名称は、調査用に用意した環境の名称とは区別します。