マルウェア感染が疑われるときの初動を考える
ITパスポート試験 令和4年度 問100 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
社内に設置された無線LANネットワークに接続している業務用のPCで，インターネット上のあるWebサイトを閲覧した直後，Webブラウザが突然終了したり，見知らぬファイルが作成されたりするなど，マルウェアに感染した可能性が考えられる事象が発生した。このPCの利用者が最初に取るべき行動として適切なものはどれか。
- ア
Webブラウザを再インストールする。
- イ
マルウェア対策ソフトのマルウェア定義ファイルを最新にする。
- ウ
無線LANとの通信を切断し，PCをネットワークから隔離する。
- エ
無線通信の暗号化方式を変更する。
会話形式の解説
講師この問題は、感染が疑われるときに「最初に」何をするかがポイントです。
受験者ブラウザが突然終了したなら、再インストールして直すのが先でしょうか。
講師症状はブラウザに出ていますが、原因がブラウザだけとは限りません。再インストールでPC内のマルウェアまで除去できるとも限りません。
受験者では、対策ソフトの定義ファイルを最新にして調べるべきですか。
講師その更新も、PCをネットワークから隔離する行動ではありません。接続を続けると、他の機器に被害が広がったり、情報が外部へ送られたりするおそれがあります。
受験者先に、ほかの機器や情報への影響を抑えるのですね。無線通信の暗号化方式を変える方法はどうですか。
講師暗号化方式を変えても、感染が疑われるPCを隔離したことにはなりません。まず無線LANとの通信を切断し、PCをネットワークから隔離します。
受験者最初にするのは無線LANとの通信の切断ですね。修復を考えるより先に、接続を止めて被害の拡大を抑えます。
講師そのとおりです。隔離した後は、組織の担当者へ報告します。
まとめ
マルウェア感染が疑われる業務用PCでは、まず無線LANとの通信を切断してネットワークから隔離します。接続を続けると、他の機器への被害拡大や情報の外部送信が起こり得るためです。ブラウザの再インストール、定義ファイルの更新、暗号化方式の変更はいずれも最初に行う隔離にはなりません。隔離した後は、組織の担当者へ報告します。
解答・解説
正解はウです
この問題のテーマ
マルウェア感染が疑われる業務用PCで、利用者が最初に取るべき行動を問う問題です。
解き方の考え方
「最初に」という条件に注目します。感染の可能性があるPCをネットワークにつないだままにすると、他の機器への被害拡大や情報の外部送信が起こり得ます。まず通信を切断してPCを隔離し、その後に組織の担当者へ報告します。
選択肢ごとの解説
- ×ア Webブラウザを再インストールする。Webブラウザの再インストールは、突然終了する症状への対処には見えます。しかし、PC内のマルウェアまで除去できるとは限らず、最初に行うべき隔離にもなりません。
- ×イ マルウェア対策ソフトのマルウェア定義ファイルを最新にする。マルウェア定義ファイルの更新は、感染が疑われるPCをネットワークから隔離する行動ではありません。被害が広がる可能性を抑えるため、まず接続を切ります。
- ○ウ 無線LANとの通信を切断し，PCをネットワークから隔離する。無線LANとの通信を切断すれば、PCをネットワークから隔離できます。これにより、他の機器への被害拡大や情報の外部送信を抑えられます。
- ×エ 無線通信の暗号化方式を変更する。無線通信の暗号化方式を変更しても、感染が疑われるPCをネットワークから隔離したことにはなりません。この場面で優先するのは、無線LANとの通信を切断することです。
補足
症状がWebブラウザに現れても、原因がブラウザだけにあるとは限りません。設問が初動を尋ねているときは、個別の修復作業より先に被害の拡大を抑える行動を選びます。
POINT
- 感染が疑われるPCは、まずネットワークから隔離します。
- 接続を続けると、他の機器に被害が広がるおそれがあります。
- 接続を続けると、情報が外部へ送られるおそれがあります。
- 隔離した後は、組織の担当者へ報告します。