午前I問題

情報セキュリティインシデント対応に関する記述として、適切なものはどれか。

ア）インシデント発生時はまず被害拡大を防ぐためにシステムを即座にシャットダウンし、その後に証拠保全を行うべきである。

イ）フォレンジック調査では、揮発性の高いデータ（メモリ・実行中プロセス・ネットワーク接続）から順に収集するのが原則である。

ウ）インシデント対応において、攻撃者の手口や侵入経路を特定することは復旧作業完了後に行えばよく、初動対応では不要である。

エ）CSIRT（Computer Security Incident Response Team）は、インシデント発生時のみ活動する組織であり、平時の脆弱性管理や情報収集は担当しない。

午前I の解答・解説を見る

正解： イ

解説： フォレンジック調査では「揮発性の順序（Order of Volatility）」の原則に従い、消えやすいデータから順に収集します。ア）システムを即座にシャットダウンするとメモリ上の揮発性データが消滅するため、まず証拠保全を行うのが正しい順序です。ウ）攻撃者の手口・侵入経路の特定は初動対応と並行して行う必要があります。エ）CSIRTは平時の脆弱性情報収集・セキュリティ情報共有・啓発活動も担当します。

インシデント対応フェーズ主な活動
準備（Preparation）CSIRT整備・手順策定・訓練
検知・分析（Detection）異常検知・影響範囲特定
封じ込め（Containment）被害拡大防止・ネットワーク隔離
根絶（Eradication）マルウェア除去・脆弱性修正
復旧（Recovery）システム復元・監視強化
事後対応（Lessons Learned）再発防止策・報告書作成

午前II問題

マルウェア感染インシデントの調査に関する記述として、適切なものはどれか。

ア）IOC（Indicators of Compromise）とは、攻撃者が使用するC2サーバへの接続を遮断するための技術的制御であり、ファイアウォールルールとして実装される。

イ）メモリフォレンジックでは、プロセスインジェクションやファイルレスマルウェアのように、ディスクに痕跡を残さない攻撃の証拠を取得できる場合がある。

ウ）ネットワークフォレンジックにおいて、通信がTLSで暗号化されている場合は通信内容の解析が不可能であるため、暗号化通信はインシデント調査の対象外とする。

エ）SIEM（Security Information and Event Management）は、複数のシステムからログを収集・相関分析する機能を持つが、リアルタイムでのアラート発報には対応していない。

午前II の解答・解説を見る

正解： イ

解説： メモリフォレンジックはRAMのダンプを取得・解析する手法です。ファイルレスマルウェアはディスクにファイルを書き込まずメモリ上で動作するため、ディスク調査では検出できません。ア）IOCは「侵害の痕跡・指標」であり、攻撃が発生したことを示す証拠情報（ファイルハッシュ・C2のIPアドレス・ドメイン名等）です。ウ）TLS暗号化通信でも通信先IP・ポート・通信量・SNI・JA3フィンガープリントは解析可能です。エ）SIEMのリアルタイムアラート発報はSIEMの主要機能の一つです。

IOCの種類例
ファイルハッシュマルウェアのSHA-256値
IPアドレスC2サーバのIPアドレス
ドメイン名悪意あるドメイン
レジストリキー永続化のための改ざん箇所

午後問題

E社（従業員300名）のシステム管理者F氏は、2026年6月18日午前9時に出社したところ、社内の複数のファイルサーバで以下の状況を確認した。ファイルの拡張子が .locked に変更され、各フォルダに身代金要求のメモが作成されており、一部の業務PCが起動しない状態であった。

F氏はSIEMのログを確認し、以下の情報を得た。

[06/17 23:41] 外部IP 198.51.100.22 → DMZ上のVPN装置 (TCP:443) 認証成功
[06/17 23:43] VPN接続元IP 198.51.100.22 → 内部ファイルサーバ (TCP:445) 接続
[06/17 23:45] ファイルサーバ上で PowerShell スクリプト実行 (プロセス: powershell.exe -enc <Base64文字列>)
[06/17 23:47] 内部ネットワーク内での横展開（ラテラルムーブメント）検知
[06/17 23:58] 大量のファイル書き込み・拡張子変更を検知
[06/18 00:12] C2サーバ 203.0.113.99 への通信を検知

VPN認証に使用されたアカウントは退職済み社員Gのアカウントであり、退職後も無効化されていなかった。また社内にはEDRが導入されていなかった。

設問1

このインシデントの攻撃チェーンを、SIEMログをもとに時系列で整理し、初期侵入から暗号化までの流れを4段階で簡潔に述べよ。

設問1の解答・解説を見る

正解例：

段階時刻内容
① 初期侵入23:41退職済み社員の無効化されていないVPNアカウントで外部から認証成功
② 内部探索・実行23:43〜23:47VPN経由でファイルサーバに接続し、Base64エンコードされたPowerShellスクリプトを実行してラテラルムーブメントを実施
③ 暗号化23:58ランサムウェアが起動しファイルサーバ上のファイルを大量に暗号化・拡張子を.lockedに変更
④ C2通信00:12暗号化鍵や被害情報を外部C2サーバへ送信

解説： 本インシデントはMITRE ATT&CKフレームワークの「Valid Accounts（初期侵入）→ PowerShell難読化実行→ Lateral Movement→ Data Encrypted for Impact→ C2通信」という典型的なランサムウェア攻撃チェーンです。

採点基準： 各段階にログの事実が対応し「VPN認証→ラテラルムーブメント→暗号化→C2通信」の流れが読み取れる（各2点）

設問2

このインシデントの根本原因となったアクセス管理上の問題点を1つ答え、再発防止策を2つ具体的に述べよ。また、EDRが導入されていた場合に検知・阻止できた可能性があるログの事象を1つ挙げよ。

設問2の解答・解説を見る

正解例（問題点）： 退職済み社員のVPNアカウントが無効化されずに残存しており、第三者に悪用された（アカウントのライフサイクル管理の欠如）。

正解例（再発防止策）：

  1. 退職日当日にVPN・AD・クラウドサービスを含む全アカウントを無効化するオフボーディングプロセスを人事・IT部門が連携して確立する。
  2. VPN認証にTOTPやFIDOによる多要素認証（MFA）を必須化し、認証情報が漏洩しても不正ログインを防止する。

正解例（EDRで検知できた事象）： powershell.exe -enc <Base64文字列> によるエンコードされたスクリプトの実行。EDRはプロセス監視によりこのような難読化コマンドの実行を検知・ブロックできる。

採点基準：

  • 問題点に「退職者アカウントの未無効化」の言及（2点）
  • 再発防止策が具体的（各2点）
  • EDRの検知事象が「PowerShell難読化」「ラテラルムーブメント」「ファイル暗号化」のいずれか（2点）

重要キーワード

用語説明
IOC（Indicators of Compromise）侵害の痕跡・指標。ファイルハッシュ・C2のIPアドレス・ドメイン名など攻撃を示す証拠情報
メモリフォレンジックRAMダンプを取得・解析する手法。ファイルレスマルウェアやプロセスインジェクションの証拠取得に有効
ラテラルムーブメント侵入後に内部ネットワーク内で横展開し、権限昇格や他システムへの侵入を行う攻撃手法
EDRエンドポイントの脅威をリアルタイムで検知・対応するセキュリティソリューション
SIEM複数システムのログを収集・相関分析しリアルタイムにアラートを発報するセキュリティ管理基盤
オフボーディング退職者のアカウント・アクセス権を速やかに無効化する手続き

まとめ

  • 午前I視点： インシデント対応の6フェーズと各フェーズの活動内容、フォレンジックの揮発性順序（メモリ→ディスク）を整理する。CSIRTは平時も活動する点に注意
  • 午前II視点： IOCは「検知の指標」でありファイアウォールルールではない。メモリフォレンジックはファイルレスマルウェア調査で有効。SIEMはリアルタイムアラートに対応している
  • 午後視点： SIEMログから攻撃チェーンを時系列で読み取り、根本原因（アカウント管理の不備）と再発防止策をセットで論述する能力が問われる。MITRE ATT&CKフレームワークの知識も補助になる