日本語
メニュー

サイバー攻撃と防御の実務

サイバーキルチェーンとMITRE ATT&CK、初期アクセス、C2の通信、権限昇格、ラテラルムーブメント、環境寄生型の攻撃、ゼロトラストとNIST SP 800-207、ZTNAとVPN、EDR、SIEM・SOAR・SOC、IDSとIPS、WAF、おとりを使った検知、インシデント対応の段階、証拠の集め方とチェーン・オブ・カストディ、IoCとIoA、CSIRTとPSIRT、ログの時刻合わせ、脆弱性の修正の優先順位、ペネトレーションテストとレッドチーム演習、協調された脆弱性の開示、SBOMとサプライチェーン攻撃、クラウドの設定の誤り、MFA疲労攻撃とパスキー、セッションの乗っ取り、特権アクセス管理を、計算問題を含む3択問題で学べます。

10問練習するこの分野からランダムに10問・約5分 この分野を解くこの分野の問題をすべて、ランダムな順で出題します 苦手問題直近で間違えた問題だけを解き直します

サイバー攻撃と防御の実務の要点

サイバー攻撃は、1つの弱点を突いて終わりではなく、侵入、足場づくり、権限の拡大、内部での移動、目的の実行と、段階を踏んで進みます。防御の側も、入口で止めることだけを考えるのではなく、侵入される前提で、早く見つけ、広がりを止め、証拠を残して原因を取り除き、次に生かす仕組みを組織として持つことが求められています。ここでは、組織が実際にどのように攻撃され、どのように守っているかを、防御の側の視点で学びます。

まず、サイバーキルチェーンとMITRE ATT&CKで攻撃の流れを整理し、初期アクセスの手口、C2の通信の手掛かり、権限昇格、ラテラルムーブメント、正規のツールを悪用する環境寄生型の攻撃を扱います。続いて防御の仕組みとして、ゼロトラストの原則とNIST SP 800-207のポリシー決定点・実施点、VPNとZTNAの違い、EDR、SIEM・SOAR・SOCの役割、IDSとIPS、シグネチャ型とアノマリ型の検知、WAF、おとりを使った検知を学びます。インシデント対応では、NIST SP 800-61の段階、揮発性の順序とチェーン・オブ・カストディ、IoCとIoA、CSIRTとPSIRT、ログの時刻のずれの補正を確かめます。後半では、CVSSと悪用の状況を合わせた修正の優先順位、ペネトレーションテストとレッドチーム演習、協調された脆弱性の開示、SBOM、依存関係の混乱や正規の更新を使うサプライチェーン攻撃を扱い、クラウドとIDの分野として、ストレージの公開の設定の誤り、広すぎる権限、MFA疲労攻撃、パスキーがフィッシングに強い理由、セッションのCookieの窃取、特権アクセス管理、リポジトリに入れた秘密の情報を学びます。最後に、平均検知時間、対策の投資対効果(ROSI)、IDSの警告のうち本物の攻撃の割合、分析者の必要な人数を計算で確かめます。情報処理安全確保支援士試験や応用情報技術者試験のセキュリティ分野の学習に役立ちます。計算問題の値は、誤りの選択肢の値も含めて、Pythonで計算して確かめています。年や版を書いた規格や出来事は、その時点の情報です。情報セキュリティの3要素、リスクへの対応、マルウェアとフィッシング、Webアプリケーションの脆弱性、CVEとCVSSの基本、ランサムウェアに感染したときの最初の対応は「情報セキュリティの基礎」、暗号と証明書は「暗号技術の基礎と応用」、ハードウェアの多層防御とセキュアブートは「ハードウェアセキュリティ」、ファイアウォールとVPNの基本は「ネットワークの基礎」、責任共有モデルは「クラウドとコンテナの基礎」、ITILのインシデント管理は「サービスマネジメントとシステム監査」の分野で扱います。

サイバー攻撃と防御の実務の問題一覧（40問）
  1. ロッキード・マーティン社が2011年に示したサイバーキルチェーンは、標的型攻撃の流れを7つの段階に分けている。段階の順序として正しいものはどれか。
  2. MITRE ATT&CKは、実際の攻撃で観測された手口を、攻撃者の目的を表す「戦術(タクティクス)」と、その目的を達成する具体的な方法を表す「テクニック」に分けて整理した知識ベースである。観測された行動と、それが当てはまる戦術の組み合わせとして、正しいものはどれか。
  3. 攻撃者が組織のネットワークに最初に入り込む「初期アクセス」の手口に当たるものはどれか。
  4. 社内のネットワークの通信の記録を調べたところ、次のような通信が見つかった。マルウェアが外部の指令サーバ(C2サーバ)と通信している疑いが最も強いものはどれか。
  5. Webアプリケーションの脆弱性を突いた攻撃者が、Webサーバのプログラムと同じ一般の利用者の権限で、コマンドを実行できるようになった。この後に攻撃者が行う「権限昇格」の例として、正しいものはどれか。
  6. 1台の社員のPCが攻撃者に乗っ取られても、そこから社内のほかのPCやサーバへ侵害が広がる「ラテラルムーブメント」を難しくする対策として、最も適切なものはどれか。
  7. 侵入した攻撃者が、独自のマルウェアをできるだけ使わずに、PowerShellやWMI、標準のリモート管理の機能など、もともとOSに入っている正規のツールで活動する手法を「環境寄生型(Living off the Land)」と呼ぶ。この手法への対策の考え方として、最も適切なものはどれか。
  8. ゼロトラストの考え方に基づくアクセス制御の説明として、正しいものはどれか。
  9. NIST SP 800-207のゼロトラストアーキテクチャでは、アクセスを許可するかを判断する「ポリシー決定点(PDP)」と、判断を実行する「ポリシー実施点(PEP)」を分けて考える。社員が業務アプリケーションにアクセスするときの、両者の働きの説明として正しいものはどれか。
  10. テレワークの社員が社内のシステムを使うための方式として、従来のリモートアクセスVPNとZTNA(ゼロトラストネットワークアクセス)を比べた説明として、正しいものはどれか。
  11. 従来のウイルス対策ソフトと比べた、EDR(Endpoint Detection and Response)の特徴として正しいものはどれか。
  12. セキュリティの監視の体制で使われるSIEM、SOAR、SOCの役割の組み合わせとして、正しいものはどれか。
  13. IDS(侵入検知システム)とIPS(侵入防止システム)の違いの説明として、正しいものはどれか。
  14. IDSの検知の方式のうち、シグネチャ型(不正検出型)とアノマリ型(異常検出型)を比べた説明として、正しいものはどれか。
  15. WAF(Webアプリケーションファイアウォール)の説明として、正しいものはどれか。
  16. 社内のファイルサーバに、業務では誰も使わない「おとり」のファイルや、どのシステムでも使われていない、おとりの管理者のアカウントを置き、それらへのアクセスを監視する。この対策の主な利点はどれか。
  17. 米国のNISTが2012年に公開したインシデント対応の指針SP 800-61の第2版(Rev. 2)は、インシデント対応を4つの段階の繰り返しとして示している。段階の順序として正しいものはどれか。
  18. インシデントが起きたサーバから、調査のための証拠を集める。証拠を失われやすい順(揮発性の高い順)に集めるという考え方に沿った順序として、最も適切なものはどれか。
  19. インシデントの調査で、ディスクの複製などの証拠を、後で訴訟や警察への届け出にも使えるように扱いたい。証拠の保管の連続性(チェーン・オブ・カストディ)の考え方に沿った扱いとして、最も適切なものはどれか。
  20. 脅威の検知で使われるIoC(Indicator of Compromise)とIoA(Indicator of Attack)の説明として、正しいものはどれか。
  21. 組織の中に置かれるCSIRTとPSIRTの役割の違いとして、正しいものはどれか。
  22. 侵入の調査で2台のサーバのログを突き合わせる。Webサーバのログは協定世界時(UTC)で記録され、時計はNTPで正しく合わせられていた。ファイルサーバのログは日本時間(UTC+9時間)で記録され、時計は正しい時刻より4分進んでいた。Webサーバのログには不審なログインが 01:52(UTC)、ファイルサーバのログには大量のファイルの読み出しが 10:58(日本時間)と記録されていた。ファイルの読み出しが実際に起きたのは、不審なログインの何分後か。正しいものはどれか。
  23. 同じ週に、3つの脆弱性の修正が公開された。運用の担当者は、1日に1つずつしか修正を適用できない。最初に修正を適用すべきものと、その理由の組み合わせとして、最も適切なものはどれか。
  24. 組織の防御を確かめる方法のうち、脆弱性スキャン、ペネトレーションテスト、レッドチーム演習の違いの説明として、正しいものはどれか。
  25. 外部のセキュリティの研究者が、ある企業の製品に未公表の脆弱性を見つけた。協調された脆弱性の開示(Coordinated Vulnerability Disclosure)の考え方に沿った進め方として、最も適切なものはどれか。
  26. SBOM(ソフトウェア部品表)を作って管理する主な目的として、正しいものはどれか。
  27. ある企業は、社内のパッケージの置き場(プライベートレジストリ)に、社内専用のライブラリ acme-utils を置いて使っている。攻撃者が、公開のパッケージの置き場に、同じ名前 acme-utils でより大きな版番号のパッケージを登録したところ、ビルドの設定によっては、社内のビルドの環境が攻撃者のパッケージを取り込んでしまうことが分かった。この「依存関係の混乱(dependency confusion)」への対策として、最も適切なものはどれか。
  28. 2020年12月に発覚したSolarWinds社の事件では、IT管理用のソフトウェアのビルドの環境に攻撃者が入り込み、正規の更新プログラムに不正なコードが混ぜられた。この更新は、開発元の正規のコード署名が付いた状態で配布された。この事件から得られる教訓として、最も適切なものはどれか。
  29. クラウドのオブジェクトストレージに置いた顧客の情報のファイルが、インターネットの誰からでも読み出せる状態になっていたことが分かった。このような情報の漏えいの典型的な原因と、再発を防ぐ対策の組み合わせとして、適切なものはどれか。
  30. クラウドの上で動くバッチの処理に、すべての操作を許可した管理者の権限のアクセスキー(長期間有効な認証情報)を、設定ファイルに書いて渡していた。このキーが漏えいしたときの被害を小さくするための見直しとして、最も適切なものはどれか。
  31. 攻撃者が社員のパスワードを入手し、ログインを何十回も繰り返して、社員のスマートフォンに承認を求める通知を大量に送りつけた。社員はわずらわしくなり、つい「承認」を押してしまった。この攻撃への対策として、最も適切なものはどれか。
  32. FIDO2(WebAuthn)のパスキーによる認証が、ワンタイムパスワード(OTP)と比べて、フィッシングに強いとされる理由として、正しいものはどれか。
  33. あるWebサービスで、多数の異なるIPアドレスから、それぞれ別の利用者のIDとパスワードの組で、ログインが大量に試みられ、一部が成功した。試された組の多くは、ほかのサービスから漏えいしたものと一致していた。この攻撃の名前はどれか。
  34. 多要素認証を使っているクラウドのメールサービスで、社員が本物そっくりのログインの画面に誘導され、パスワードとワンタイムパスワードを入力した。攻撃者はその画面を本物のサービスとの中継に使い、ログインの後に発行されたセッションのCookieを盗んで、社員になりすました。この攻撃と対策の説明として、最も適切なものはどれか。
  35. サーバの管理者のアカウントを守るための、特権アクセス管理(PAM)の考え方として、最も適切なものはどれか。
  36. 開発者が、クラウドのサービスのAPIキーを含む設定ファイルを、誤って公開のGitリポジトリに登録してしまった。気づいてすぐに、そのファイルを削除する変更を登録した。この後に行うべき対応として、最も適切なものはどれか。
  37. ある組織で起きた4件のインシデントについて、発生から検知までの時間と、検知から封じ込めまでの時間は、件1が10時間と4時間、件2が30時間と2時間、件3が2時間と6時間、件4が6時間と4時間だった。発生から検知までの平均時間(MTTD)と、検知から封じ込めまでの平均時間(MTTC)の組み合わせとして、正しいものはどれか。
  38. ランサムウェアの被害について、1回の被害額(SLE)を4000万円、年間の発生回数(ARO)を0.5回と見積もった。対策Aは年間の費用が600万円で、発生回数を年0.2回に下げる。対策Bは年間の費用が300万円で、発生回数は変わらないが、復旧を早めて1回の被害額を2400万円に下げる。年間予想損失額(ALE)= SLE × ARO、ROSI =(ALEの減少額 − 対策の年間の費用)÷ 対策の年間の費用 とするとき、ROSIの大きいほうの対策と、その値の組み合わせとして、正しいものはどれか。
  39. あるIDSは、1日に100万件の接続を調べる。そのうち実際の攻撃は100件である。このIDSは攻撃の99%を検知し、攻撃でない接続の0.1%を誤って攻撃と判定する。IDSが出した警告のうち、実際に攻撃であるものの割合に最も近いものはどれか。
  40. あるSOCでは、SIEMが1日に1440件の警告を出し、警告は1日を通して均等に発生する。SOARの自動処理で75%の警告が分析者の確認なしに処理され、残りの警告には1件あたり平均10分の分析者の作業が必要である。分析者は休みなく作業できるものとして、警告を発生のペースに遅れずに処理するために、常に配置が必要な分析者の最小の人数はどれか。

この分野の比較

サイバー攻撃と防御の実務の参考書を探す PR

Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。

コンピュータシステムのほかの分野