ルートキットとは何か？隠す道具と調べる道具の違い
情報セキュリティマネジメント試験 2022年 サンプル問題 問12 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
ルートキットの特徴はどれか。
- ア
OS などに不正に組み込んだツールの存在を隠す。ぜい
- イ
OSの中核であるカーネル部分の脆弱性を分析する。
- ウ
コンピュータがマルウェアに感染していないことをチェックする。
- エ
コンピュータやルータのアクセス可能な通信ポートを外部から調査する。
会話形式の解説
講師今回はルートキットという用語の問題です。選択肢に並んでいるのが攻撃者側の道具の説明なのか、守る側や調べる側の道具の説明なのか、ここに注目して読んでみましょう。
受験者名前は聞いたことがありますが、中身はあいまいです。「ルート」と付いているので、OSの中核に関わるものだと思っていました。だから、カーネル部分の脆弱性を分析するという選択肢も気になっています。
講師そこが迷いやすいところです。ルートキットはOSの深い部分に入り込むことがあります。ただ、役割は脆弱性、つまりセキュリティ上の弱点を分析することではありません。弱点を分析するのは脆弱性検査ツールの仕事です。この選択肢は「カーネル」という言葉でルートキットを連想させてきます。
受験者では、ルートキットは何のための道具なのですか。
講師攻撃者が侵入した後に使うソフトウェア群で、主な役割は「隠すこと」です。稼働中のプロセスやファイル、ログなどを隠して、侵入の痕跡を消します。そのため、OSなどに不正に組み込んだツールの存在を隠すという選択肢が正解です。
受験者痕跡が消されると、管理者は侵入に気付きにくくなりますね。
講師そのとおりです。痕跡が隠されると、攻撃者は管理者権限を持ったまま侵入状態を続けやすくなります。隠して居座るための道具、と覚えておくとよいです。
受験者そうすると、マルウェアに感染していないことをチェックするという選択肢は、ウイルス対策ソフトの説明ですね。ルートキットは不正なものを隠す側なので、正反対だと思います。
講師正しい見方です。残りの、アクセスできる通信ポートを外部から調べるという選択肢はどう考えますか。
受験者通信の出入口であるポートが開いているかを調べるので、ポートスキャンのことでしょうか。これも調べる側の行為なので、ルートキットではないと思います。
講師はい。ポートスキャナーというツールの機能で、その行為をポートスキャンと呼びます。脆弱性の分析、感染の有無のチェック、ポートの調査は、どれも検査や調査をする側の行為です。隠ぺいを説明しているのは一つだけなので、そこから正解を選べます。
受験者用語の問題では、その道具が「隠す・居座る」ためのものか、「調べる・見つける」ためのものかで分ければよいのですね。
講師そうです。この分け方を使えば、知らない用語が混ざっていても選択肢を絞り込みやすくなります。この問題のカーネルの選択肢のように、ルートキットを連想させる言葉に引っ張られず、その道具の役割で判断してください。
まとめ
ルートキットは、攻撃者が侵入した後に使うソフトウェア群で、不正に組み込んだツールの存在を隠すことが主な特徴です。稼働中のプロセスやファイル、ログなどを隠して侵入の痕跡を消すため、攻撃者は管理者権限を持ったまま侵入状態を続けやすくなります。カーネルの脆弱性分析は脆弱性検査ツール、感染していないことの確認はウイルス対策ソフト、外部からの通信ポートの調査はポートスキャナーの役割で、どれもルートキットではありません。攻撃者が「隠す・居座る」ための道具か、防御側が「調べる・見つける」ための道具かで分けると判断しやすくなります。
解答・解説
正解はアです
この問題のテーマ
ルートキットというマルウェア関連の用語について、その特徴を正しく説明している選択肢を選ぶ問題です。ポートスキャナーやウイルス対策ソフトなど、似た場面で出てくる用語と区別できるかが問われています。
解き方の考え方
まず、ルートキットは攻撃者が侵入した後に使う道具で、その主な役割は「隠すこと」だと押さえます。そのうえで、各選択肢が攻撃者側の隠ぺいの道具を説明しているのか、防御や調査に使うツールを説明しているのかを見分けます。脆弱性の分析、感染の有無のチェック、ポートの調査は、どれも検査や調査をする側の行為です。隠ぺいについて書いているのはアだけなので、アを選べます。
選択肢ごとの解説
- ○ア OS などに不正に組み込んだツールの存在を隠す。ぜいOSなどに不正に組み込んだツールの存在を隠すという説明は、ルートキットの特徴そのものです。ルートキットは侵入後の不正な活動をしやすくするためのソフトウェア群で、不正なツールや活動が管理者に見つからないようにします。
- ×イ OSの中核であるカーネル部分の脆弱性を分析する。カーネル部分の脆弱性を分析するという説明は、脆弱性検査ツールにあたります。ルートキットはOSの深い部分に入り込むことがありますが、脆弱性を分析するための道具ではありません。「カーネル」という言葉に引っ張られないよう注意が必要です。
- ×ウ コンピュータがマルウェアに感染していないことをチェックする。マルウェアに感染していないかをチェックするという説明は、ウイルス対策ソフトの役割です。ルートキットはむしろ不正なものを隠す側なので、感染していないことを確かめる働きとは正反対です。
- ×エ コンピュータやルータのアクセス可能な通信ポートを外部から調査する。アクセスできる通信ポートを外部から調べるという説明は、ポートスキャナーの機能です。開いているポートを調べるこの行為はポートスキャンと呼ばれ、ルートキットとは別のものです。
補足
用語の問題では、その道具が攻撃者側の「隠す・居座る」ためのものか、防御側の「調べる・見つける」ためのものかで分けると判断しやすくなります。ルートキットはOSの中核に関わることもあるため、イのようにカーネルという言葉を含む選択肢が引っかけとして出されることがあります。
POINT
- ルートキットは、侵入後に不正なツールや活動の存在を隠すためのソフトウェア群です。
- ルートキットは稼働中のプロセスやファイル、ログなどを隠し、侵入の痕跡を消します。
- 痕跡が隠されると、攻撃者が管理者権限を持ったまま侵入状態を続けやすくなります。
- 外部から通信ポートを調べるのはポートスキャン、感染の有無を確かめるのはウイルス対策ソフトの役割で、ルートキットとは区別します。