午前I問題

NIST SP 800-61に基づくインシデント対応ライフサイクルにおいて、「根絶（Eradication）」フェーズで実施する活動として、最も適切なものはどれか。

ア）感染端末をネットワークから物理的に切断し、被害の横展開を防ぐ

イ）マルウェアの感染経路を特定し、感染ファイルや不正アカウントを除去する

ウ）バックアップからシステムを復元し、業務を通常状態に戻す

エ）インシデントの経緯を文書化し、再発防止のための恒久対策を策定する

午前I の解答・解説を見る

正解： イ

解説： NIST SP 800-61のインシデント対応フェーズは「準備 → 検知・分析 → 封じ込め → 根絶 → 復旧 → 事後対応」の順で構成される。

  • ア（誤り）：ネットワーク切断は「封じ込め（Containment）」フェーズの活動。被害の拡大防止が主目的。
  • イ（正解）：「根絶（Eradication）」フェーズでは、マルウェアの完全除去・感染経路の排除・不正アカウントの削除など、脅威そのものを撲滅する作業を行う。
  • ウ（誤り）：バックアップからの復元は「復旧（Recovery）」フェーズの活動。
  • エ（誤り）：経緯の文書化と恒久対策は「事後対応（Post-Incident Activity）」フェーズの活動。

フェーズ名とその代表的な活動内容を正確に対応付けることが、SC試験では頻出の問われ方である。

午前II問題

情報セキュリティの分野で用いられるTLP（Traffic Light Protocol）に関する記述として、最も適切なものはどれか。

ア）TLP:REDは、受信者の属する組織内であれば部門をまたいで共有してよい。

イ）TLP:AMBERは、受信者の組織および業務上必要なクライアントに限定して共有できる。

ウ）TLP:GREENは、インターネット上での公開を含めいかなる媒体でも配布できる。

エ）TLP:CLEARは、コミュニティ内のみで共有可能であり、外部への開示は認められない。

午前II の解答・解説を見る

正解： イ

解説： TLP（Traffic Light Protocol）はCTI情報を共有する際の開示範囲を統一するための規約で、FIRST（Forum of Incident Response and Security Teams）が標準化している。

  • ア（誤り）：TLP:REDは受信者個人（または特定の場に居合わせた参加者）のみに限定され、組織内への共有も原則不可。最も厳格な区分。
  • イ（正解）：TLP:AMBERは受信者の組織内および業務上必要とされる取引先・クライアントへの限定共有が可能。組織横断的に使われる一般的な区分。
  • ウ（誤り）：インターネット公開が認められるのはTLP:CLEAR（旧TLP:WHITE）。TLP:GREENは「コミュニティ内での共有は可、インターネット公開は不可」。
  • エ（誤り）：TLP:CLEARは制限なし。パブリックな情報として自由に配布・掲載できる。

TLPは脅威情報の適切な流通管理に不可欠であり、SOC・CSIRTのアナリストが日常的に参照するため、SC試験でも定期的に出題される。

午後問題

A社（従業員520名の製造業）では、グループ全社で利用しているIT運用管理ソフトウェア「NMS-X」を定期アップデートした。アップデートから3週間後、SOCのSIEMが社内の複数サーバから外部の不審なIPアドレス（C2サーバと推定）への通信を検知した。

CSIRTが調査を開始したところ、NMS-Xの正規アップデートファイルにバックドアが混入されており、ビルド工程でサプライチェーン攻撃を受けていたことが判明した。バックドアはアップデート後に自動起動し、C2サーバへの定期ビーコン通信を行っていた。SIEMのアラートを分析すると、被疑通信は15分おきに発生しており、対象サーバは社内の20台に上ることが分かった。

A社のCSIRTはNMS-Xのベンダと連絡を取り、IOC情報（マルウェアのSHA-256ハッシュ値・C2サーバのIPアドレス・使用ポート番号）の提供を受けた。また、業界ISACからTLP:AMBERで共有された同攻撃グループのTTPsレポートも入手した。現在、CSIRT担当者は対応の優先順位を検討している。

設問1

インシデント対応フェーズにおける「封じ込め（Containment）」段階で、CSIRTが最初に実施すべき対応策を40字以内で具体的に述べよ。

設問1の解答・解説を見る

正解例： NMS-Xが稼働する20台のサーバのネットワークを遮断し、C2サーバへのビーコン通信を即時停止させる。（46字 → 要点は「ネットワーク遮断による通信停止」）

短縮例（40字以内）： バックドアが稼働する20台のサーバをネットワークから隔離し外部通信を遮断する。（38字）

解説：

封じ込めフェーズの第一目標は「被害の横展開防止」と「攻撃者の制御維持の遮断」。サプライチェーン攻撃で多数のサーバが感染している場合、ネットワーク隔離（セグメント遮断またはNIC無効化）が最優先となる。

採点基準（10点）:

  • 「ネットワーク遮断」または「隔離」を明示的に記述：5点（必須）
  • 対象を「感染サーバ」「NMS-Xが稼働するサーバ」等と特定：3点
  • 「C2通信の停止」または「外部通信の遮断」に言及：2点

部分点: ネットワーク遮断のみ言及で6点、対象特定まで言及で9点、全要素含む模範解答で10点。

設問2

A社CSIRTがSIEMのアラート分析においてCTI（サイバー脅威インテリジェンス）を活用することの有効性を、2つの観点から各30字以内で述べよ。

設問2の解答・解説を見る

正解例：

  1. 提供されたIOC（ハッシュ値・IPアドレス）をSIEMで照合し、感染範囲を迅速に特定できるため。（→30字以内版：「既知のIOCとSIEMアラートを照合し、感染サーバを迅速に特定できる。」）

  2. 攻撃グループのTTPsを参照し、次の侵害ステップや横展開手口を予測して先手を打てるため。（→30字以内版：「TTPsを参照することで攻撃者の次のステップを予測し先手対応できる。」）

解説：

CTIの活用は次の2軸で有効性を整理する。

①IOCの照合（戦術的活用）： マルウェアハッシュ値・C2 IPアドレス・ポート番号などのIOCをSIEMや検疫ツールに投入することで、全ログを手動分析せずに感染端末を網羅的かつ迅速に識別できる。

②TTPsの参照（戦略的活用）： 攻撃グループの戦術・技術・手順（MITRE ATT&CKのTTPs）を参照することで、次の攻撃フェーズ（ラテラルムーブメント・権限昇格等）を予測し、事前にアクセス制御強化などの防御策を講じられる。

採点基準（各5点 × 2 = 10点）:

  • IOCとSIEMの照合による迅速な感染特定（必須キーワード：「IOC」「照合」）：5点
  • TTPsによる攻撃予測・先手対応（必須キーワード：「TTP」「予測」または「先手」）：5点

部分点: 各観点でキーワードのみ言及は3点、根拠まで説明できれば満点。

重要キーワード

用語説明
PICERLPreparation・Identification・Containment・Eradication・Recovery・Lessons Learnedの頭文字。インシデント対応の6フェーズ。
CTI（サイバー脅威インテリジェンス）攻撃者のTTPs・IOC・動機などを分析した脅威情報。戦略・作戦・戦術の3層で分類される。
SOC / SIEMSOC（Security Operation Center）が24時間監視を担い、SIEMがログを集約・相関分析してアラートを生成するシステム。
ログ・監査証跡インシデント調査における証拠となるシステムログ。改ざん防止のためタイムスタンプ付与と安全な保管が必要。
TLP（Traffic Light Protocol）CTI情報の共有範囲を RED・AMBER・GREEN・CLEAR の4段階で規定するFIRST標準の規約。
IOC（侵害指標）マルウェアのハッシュ値・C2サーバのIPアドレス・不審なドメインなど、侵害の痕跡を示す技術的な指標。

まとめ

  • 午前I視点： インシデント対応フェーズ（NIST SP 800-61）の名称と代表的活動を正確に対応付ける。特に封じ込め・根絶・復旧の順序と区別が頻出。
  • 午前II視点： TLP（Traffic Light Protocol）の各色（RED/AMBER/GREEN/CLEAR）が示す共有範囲を正確に暗記する。AMBERとGREENの違いが特に試験で問われやすい。
  • 午後視点： サプライチェーン攻撃など実務シナリオでは、CTIのIOCをSIEMに投入した迅速な感染範囲特定と、TTPsによる先読み防御の2軸でCTI活用の意義を論述できるようにする。