左門至峰の株式会社エスエスコンサルティング)です。過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。未知マルウェアの対策というのは簡単ではありません。ここでは、対策の一例を過去問(H28SC春午後II問2)を紹介します。Cさん:未知マルウェア対策として,図7の案を考えました。未知のマルウェアを全て検知するのは無理です。そのため,未知のマルウェアヘの感染を前提とした対策も必要です。未知マルウェア対策案(抜粋)D部長:我が社のモバイルPCではハードディスクの暗号化を行っていますが,マルウェア感染時の情報漏えいを防げますか。3マルウェア感染による情報漏えい対策としては役に立ちません。した情報漏えいを防ぐためにはDRMのような仕組みが必要になり,取引先にも影響があります。ブートイメージからの復元というのはどのようなものですか。Cさん:ブートイメージとはOSの起動に必要なファイルや標準ソフトなどをひとまとめにしたものです。これを読取り専用領域に保存し,起動時に読み込ませることで,動作環境を復元します。実装方法として,モバイルPC上に読取り専用領域を作成する方法と,図8のように,仮想端末上でゲストOSを動かす,画面転送型の仮想デスクトップ環境(以下,VDIという)の二つがあります。設問5(1)本文中の下線3について,役に立たない理由を40字以内で述べよ。(2)モバイルPC上に読取り専用領域を作成する対策の場合、再起動時に一部のセキュリティ対策が初期化されるデメリットがある。その具体例を二つ,それぞれ25字以内で述べよ。ここにあるように、マルウェアを検知するには、入口対策としてサンドボックス、出口対策としてURLフィルタリングなどによるC&Cサーバへの通信制御などがあります。そもそも、マルウェアに感染する前提の対策も述べられています。マルウェアに感染しても情報漏えいが起きないようにするのです。設問を解いてみましょう。ハードディスクを暗号化すると、PCの紛失や盗難によって、不正な第三者に情報を見られることを防げます。OSを起動してログインしたユーザは、ファイルを見ることができます。これはマルウェアも同じです。試験センターの解答例は以下ですが、透過的というキーワードは書けなくてもいいでしょう。・AMのマルウェア定義ファイルが初期状態に戻る※問題文の前半にて、AMがマルウェア対策ソフトであると定義されている・セキュリティパッチが適用前の状態に戻るDRMに関しては、DRMの記事も参考にしてください。高度な対策コメント(0)サンドボックス未知マルウェア対策の記事でも書きましたが、過去問(H28SC春午後II問2)では、未知マルウェアの入口対策として、「Web閲覧やメールで入ってきたファイルをサンドボックスで実行し,振る舞いを調べることによってマルウェアを検知する対策」という記述があります。サンドボックスとは、砂場という意味です。砂場という囲まれた中でマルウェアを動作させ、そこで、不審な振る舞いをしないのかをチェックします。製品としては、FireEye社のものや、TrendMicro社のDeepDiscovery、ForiGate社のFortiSandboxなどがあります。振る舞い検知とはどう違うのですか?たしかに、既存のウイルス対策製品であるSymantecやTrendMicroのエンドポイント製品にも、振る舞い検知機能はあります。サンドボックスは、振る舞い検知などを行う点では同じですが、隔離されたサンドボックス環境を作るのがポイントです。基本的にはゲートウェイ製品にて実現されます。ゲートウェイ製品には、WindowsXP、Windows7、Windows8、Linuxなどの異なるOSやブラウザを持つサンドボックスが複数用意され、マルウェアをその中で検査をします。過去問では、サンドボックスの仕組みに関して、「プログラムの影響がシステム全体に及ばないように,プログラムが実行できる機能やアクセスできるリソースを制限して動作させる。(H29春SC午前II問16)」「不正な動作の可能性があるプログラムを特別な領域で動作させることによって,他の領域に悪影響が及ぶのを防ぐ。(H28秋AP午前問44)」と述べられています。Management)DRM(ディジタル著作権管理)は、「コンテンツの著作権を保護し,利用や複製を制限する技術の総称(H27秋IP問46)」です。H23年NW午後Iでも穴埋めでこのキーワードが問われました。セキュリティの観点では、IRMがあります。ファイルを暗号化したり、アクセス権を管理するものです。攻撃者がファイルを抜き出したとしても、アクセス権が無いのでファイルの暗号化を解除できません。情報漏えい対策として有効な方法の一つです。Services)もその一つです。標的型攻撃にあっても、情報漏えいの危険がありません。取引先とこの仕組みでやり取りをする場合、取引先にもIRMのシステムを入れてアカウント管理をする必要があるなど、実行面での課題もあります。高度な対策コメント(0)EDREDRとは、Endpoint(ネットワークの末端にあるのでPCと考えてください)でのDetection(検知)とResponse(対応)です。従来のウイルス対策ソフトに比べて検知機能を強化し、また、不正なPCのマルウェアを駆除するなどの対応まで行う仕組みです。ネットワーク通信,ファイル操作,実行ファイルのパスなどを記録し,検索できる。実際にどこまでできるかは非常に怪しいのですが、最近はやっているファイルレスのウイルスなどは、従来のウイルス対策ソフトでは検知できず、EDRが必要と言われています。マルウェア対策コメント(0)ウイルスとマルウェア1.ウイルスとはウイルスとは何でしょう。正確な定義を「コンピュータウイルス対策基準(http://www.meti.go.jp/policy/netsecurity/CvirusCMG.htm)」から引用します。コンピュータウイルス(以下「ウイルス」とする。次の機能を一つ以上有するもの。条件を記憶させて、発病するまで症状を出さない機能(3)発病機能プログラム、データ等のファイルの破壊を行ったり、設計者の意図しない動作をする等の機能ワームやトロイの木馬なども、広義にはウイルスである。ウイルスの仕組みも多様化してきており、これらの線引きが難しくなってきた。(ィが小文字)2.マルウェアとは最近では、IPAでは、「マルウェア(悪意あるソフトウェア)」という言葉を使っている。マルウェアはMalicious(悪意のある)Softwareの省略形である。マルウェアの説明として、IPAの資料には「コンピュータウイルス、スパイウェア、ボットなどの不正プログラムを総称してマルウェアと呼ぶ」とある。亜種は元のマルウェアを改変したものと考えてください。目的に応じて変更する場合もあれば、ウイルス対策ソフトでのパターンマッチングをすり抜けさせる目的で亜種が作られることもあります。マルウェア全般コメント(0)ウイルスとワームの違いは?ウイルスとワームを区別する意味はそれほどないと思いますが、どういう理由で分けているのでしょうか?ワームは虫なので、虫一人でも生きていける。ところが病気のウイルスの場合、肺などの臓器など何か住むところがないと生きていけない。これが根本的な定義の違いだと考えている。ファイルに感染するもので、ワームはそれ自体がexeファイルなどの一つのファイルになっている。厳密ではないが、表にしてみた。★は、どれか一つ以上の機能を持つという意味。マルウェア全般コメント(0)ワームとは「ネットワーク経由でコンピュータ間を自己複製しながら移動し増殖する」(H19春初級シスアド午前47)」ものは何かワームとは、虫という意味だ。ワームには非常に簡単なスクリプトも含まれる。インターネットなどのネットワークを介して,自分自身の複製を電子メールに添付して勝手に送信したり,ネットワーク上のほかのコンピュータに自分自身をコピーしたりして,自己増殖するプログラムはどれか。(H21秋IP)これも正解はエのワーム。「データの破壊、改ざんなどの不正な機能をプログラムの一部に組み込んだものを送ってインストールさせ、実行させるもの(H20秋FE午前問64参照)」は何かこれは難しいですね。