科目B対策の長文演習問題④

マルウェア感染が疑われる場面では、検知から封じ込め、復旧、再発防止までの流れに沿って、どの段階で何を行うかを判断する力が問われる。分野06「技術的対策（セキュリティ機器・製品）」と分野09「インシデント対応とマネジメント」で扱った内容を思い出しながら読んでほしい。

大問：J社における標的型攻撃メールへの対応

J社は、精密機器の設計・製造を行う従業員500名の企業である。情報システム部内にCSIRTを設置しており、インシデント発生時の対応手順を定めている。全従業員の端末にはウイルス対策ソフトとEDRを導入している。

〔J社のインシデント対応手順〕

1. 異常を発見した従業員は、自分で対処せず、直ちに情報システム部の窓口へ報告する。
2. CSIRTが影響範囲と深刻度を判断し、対応の優先順位を決定する。
3. 被害の拡大を防ぐため、対象端末をネットワークから切り離す。この際、証拠保全のため端末の電源は切らず、勝手な再起動や初期化も行わない。
4. 原因を取り除いたうえで業務を再開し、後日、再発防止策を検討する。

〔発生した事象〕

設計部のK氏は、取引先の担当者名で「新仕様書の送付」と題するメールを受信した。過去のやり取りの引用が本文に含まれていたため、K氏は疑いを持たずに添付ファイルを開いた。しかし文書は表示されず、代わりに一瞬だけ黒い画面が表示された。

その直後、EDRの管理画面に表1の警告が記録された。

注記　ウイルス対策ソフトでは、この時点で異常は検知されていなかった。

〔K氏とCSIRTの対応〕

K氏は画面の異常に気付いたが、「自分の操作ミスかもしれない」と考え、いったん端末を再起動しようとした。しかし手順書を思い出し、再起動はせずに情報システム部へ電話で報告した。

報告を受けたCSIRTは、当該端末のLANケーブルを抜いて社内ネットワークから隔離し、EDRのログをもとに影響範囲の調査を開始した。調査の結果、共有サーバー上の設計データの一部が外部へ送信された可能性があることが判明したため、J社は経営層への報告と、関係する取引先への連絡を行った。

表1のように、ウイルス対策ソフトが検知できない攻撃でもEDRが挙動から異常を捉えることがある。「検知した機器は何か」「その時点で何をすべきか」を対応手順と照らし合わせながら読むとよい。

以下の理解度チェックでは、上記の大問を踏まえて、証拠保全の考え方、検知した仕組みの識別、インシデント対応の段階という3つの観点から設問を用意した。文中の事実関係に立ち返りながら、それぞれ最も適切な選択肢を選んでほしい。