ウイルス対策ソフトだけで防げるのか——攻撃の段階・C&C通信・検知方式・EDRを午後の問われ方で読む｜支援士解説3の2

この記事の重要度：Sランク（午後で繰り返し主役になる最重要の分野）

この記事で分かること：

• マルウェアの侵入後の動き（C&C通信・永続化・認証情報の窃取・横展開・持出し）を、攻撃の段階に分けて読む方法

• 入口と出口の対策、検知の方式、EPPとEDR、ランサムウェアへの備えで、何が防げて何が防げないか

• 解答欄に書く「原因」と「対策」の型

シラバスとの対応：小項目3-2「マルウェア対策」。メールの送信者認証とネットワークの機器は支援士解説3の5、ログの読み方は支援士解説3の4、感染が分かった後の封じ込めと復旧は支援士解説4の3、バックアップは支援士解説3の3で扱います。

午後の問題では、「マルウェアに感染した端末が見つかった。何が起きていて、次に何を調べ、どう防ぐか」がよく問われます。ログやマルウェアの解析結果が示され、攻撃者がどこから入り、何をして、どこへ広がったかを読み取らせる形です。

こうした問題は、マルウェアの名前を知っているだけでは解けません。必要なのは、攻撃を段階に分けて読み、それぞれの段階で、どの対策が効き、どこに痕跡が残るかを結び付ける力です。この記事では、その見方を軸に、入口・出口の対策、検知の方式、EPPとEDR、ランサムウェアへの備えを整理します。

1. マルウェアの名前は、分類の軸が違う

マルウェアの名前は、同じ物差しで分類されたものではありません。軸ごとに整理すると混乱しません。

• 増え方

• ウイルス：狭義のウイルスは、ほかのプログラムやファイル（宿主）に寄生して増える。文書のマクロ機能を使うものもある

• ワーム：宿主を必須とせず、単独で動き、自分で複製を作ってネットワーク経由で広がる。広がる経路と到達先を確認する

• 偽装・配置

• トロイの木馬：役に立つソフトウェアに見せかけて、裏で不正な処理を行う。自力で広がる機能は持たないのが基本

• ダウンローダ・ドロッパ：別の不正プログラムを外部から取得したり、中に持っていたものを展開したりする。最初のファイルを消しただけで調査を終えない

• 目的

• スパイウェア：入力内容や認証情報を集めて送る

• ボット：外部の指令サーバ（C&Cサーバ）からの指示で遠隔操作される。多数のボットの集まり（ボットネット）はDDoS攻撃や迷惑メールの送信に使われる

• ランサムウェア：ファイルの暗号化などによる利用妨害と、金銭要求を組み合わせる

• クリプトジャッキング：端末やサーバの計算資源を勝手に使い、暗号資産を採掘させる

• 隠れ方・活動形態

• バックドア：正規の認証を通らずに侵入し続けるための裏口

• ルートキット：攻撃者の活動を、管理者やOSから隠す

• ファイルレス：通常の実行ファイルの保存に依存せず、正規の実行機能を悪用する場合もある。ファイルや痕跡が一切ないとは限らない（11.）

これらは排他的な分類ではありません。例えば、ワームのように自己増殖する機能を備えたランサムウェアもあります。一つの名称だけで対策を決めず、「どう入り、どう広がり、何をするか」で捉えます（図1）。

2. 攻撃は段階で読む：サイバーキルチェーンとATT&CK

サイバーキルチェーン：攻撃を7段階に分ける

サイバーキルチェーンは、攻撃の流れを段階に分けたモデルです。一般的には次の7段階で表します。

1. 偵察：公開情報などから標的を調べる

2. 武器化（教科書によっては武装化）：攻撃に使うマルウェアなどを準備する

3. 配送（デリバリ）：メールや改ざんしたWebサイトなどで、標的に送り付ける

4. 攻撃（悪用）：脆弱性を突いたり、利用者に操作させたりして、送り付けたものを実行させる

5. インストール：マルウェアを端末に住み着かせ、攻撃の拠点にする

6. C&C：拠点とC&Cサーバとの通信を確立し、遠隔から操作する

7. 目的の実行：情報を盗む、ファイルを暗号化する、など

段階に分ける意味は、どの段階で止められるか、ある段階をすり抜けられたら、次はどこで見つけるかを考えられることです。例えば、配送を防げなくても、C&C通信の段階で外部への不審な通信を見つければ、目的の実行を防げる可能性があります。

段階ごとの対策の例は、偵察には公開する情報を絞ること、配送にはメール・Webの検査と利用者の報告、攻撃には脆弱性の修正と実行の制限、インストールにはEPP・EDRと許可リスト、C&Cには出口の制御（プロキシ認証、通信の監視）、目的の実行には権限の分離、DLP、バックアップです。武器化は組織の外で進むので、止めにくい段階です。

ただし、実際の攻撃がいつもこの順番どおりとは限りません。盗んだIDとパスワードで正規のサービスにログインする攻撃なら、配送やインストールの段階を経ないこともあります。

MITRE ATT&CK：攻撃者の行動を細かく整理する

MITRE ATT&CKは、実際に観測された攻撃者の行動を整理した知識ベースです。攻撃者が何を達成しようとしているか（戦術）と、そのために具体的にどう行動するか（技術）で整理されています。戦術は、偵察、リソース開発、初期アクセス、実行、永続化、権限昇格、防御回避、認証情報アクセス、探索、横展開、収集、C&C、持出し、影響の14種類です。

午後でよく出てくるのは、侵入した後の次の戦術です（図2の赤枠）。

• 永続化：再起動しても活動を続けられるようにする

• 権限昇格：一般の利用者の権限から、管理者などの高い権限を得る

• 防御回避：検知や防御を避ける。例：マルウェア対策ソフトを止める、ログを消す

• 認証情報アクセス：パスワードやそのハッシュ値などを盗む

• 探索：組織の中にどのような端末やサーバがあるかを調べる

• 横展開：侵入した端末から、組織内の別の端末やサーバへ広げる

• C&C：外部の指令サーバと通信し、命令を受け取ったり、結果を送ったりする

• 持出し：盗んだデータを外部へ送る

• 影響：システムやデータを破壊・停止・暗号化する

キルチェーンとATT&CKの使い分け

キルチェーンの「配送・攻撃・インストール」は、ATT&CKでは「初期アクセス・実行・永続化」などに細かく分かれます。「目的の実行」は「持出し」や「影響」などに当たります。おおまかな対応であって、一対一ではありません。

使い分けると、キルチェーンはどの段階で止めるかを考えるのに向き、ATT&CKは観測された行動が何を狙ったものかを細かく分析し、検知や調査の観点を考えるのに向いています（図2）。

解析結果を、戦術の名前で読み直す

午後で解析結果が示されたら、一つずつの動作に戦術の名前を付けてみると、抜けている観点が分かります。例えば、次の3.で取り上げる令和6年度秋期 午後問1の端末の記録は、次のように読めます。

• PowerShellでスクリプトが実行された → 実行

• ログオン時に動くタスクが登録された → 永続化

• マルウェア対策ソフトのサービスが停止された → 防御回避

• ファイルサーバのファイルが参照され、圧縮ファイルが作られた → 収集

• 圧縮ファイルが外部へ送られ、その後削除された → 持出し・防御回避

• 別の端末へのRDP接続が繰り返された → 横展開

• 1時間おきに外部へ接続し、拒否されると接続先を変えた → C&C

戦術ごとに「どのログに残るか」「どこで止められたか」を考えると、調査と対策の設問に答えやすくなります。

3. 侵入後の動き：C&C通信・永続化・認証情報の窃取・横展開

C&C通信：感染端末の側から、外へつなぐ

• 感染端末が攻撃者のC&Cサーバと通信して、指示を受け取ったり、結果を送ったりする

• 多くは感染端末の側から外部へ接続する。外部からの接続を止めるファイアウォールの設定だけでは防げない

• HTTPやHTTPSなど、業務と同じ通信が使われる。「暗号化されているから正当」とは判断できない

• 定期的に接続する、つながらなければ別の接続先に切り替える、といった動きが、検知の手掛かりになる

なお、すべてのマルウェアがC&C通信を必要とするわけではありません。必要な命令や鍵を最初から持つものは、外部との通信を止めても、端末の中での暗号化や破壊を続ける場合があります。

永続化：止めても、また動き出す

再起動しても活動を続けられるように、自分を自動で起動する仕組みを登録します。例えば、ログオン時に動くタスクをタスクスケジューラに登録します。見つけたプロセスを止めただけでは、再起動後に復活します。

認証情報の窃取と横展開：正規の機能で広がる

• 端末のメモリから、パスワードやパスワードのハッシュ値を盗む。Windowsでは、盗んだハッシュ値をそのまま使って、パスワードを解読せずにログオンする手口（Pass the Hash）がある

• 多くの端末で、同じ名前とパスワードのローカル管理者アカウントを使っていると、1台から盗んだ認証情報で、ほかの端末にも次々に入られる

• pingなどで組織内のほかの端末を探し、Windowsの画面を遠隔から操作する正規の機能（RDP）で接続を試みる

脆弱性ではなく、盗んだアカウントと正規の管理機能で広がるので、通常の操作と見分けにくいのが特徴です。Active Directoryを狙う攻撃は支援士解説3の8で扱います。

防御回避：痕跡を消し、検知を止める

侵入した攻撃者は、見つからないための行動もとります。マルウェア対策ソフトのサービスを止める、送信済みのメールを削除して不正な送信を隠す、イベントログを消去する、といった動きです。ただし、消去そのものが痕跡になることがあります。例えば、イベントログをすべて消去すると、消去の後に「ログが消去された」という記録が残る場合があります。

また、ログに記録が見つからないことは、感染していないことを意味しません。感染してもすぐには目立つ動作をせず、待機したり、横展開だけを行ったりするマルウェアもあります。

1台で見つけた動作を、ほかの端末で探す

マルウェアの解析結果が示されたら、動作を一つずつ分解し、その動作の痕跡が、どのログに残るかを考えます。痕跡をほかの端末で探せば、見つかっていない感染端末を洗い出せます（図3）。

• C&C通信 → プロキシ、ファイアウォール、DNSのログ（通信先と時刻）

• 永続化（タスクの登録） → 端末のイベントログ、EDRの記録

• 防御回避（対策ソフトの停止） → マルウェア対策の管理サービスのログ

• 持出し → プロキシのログ（送信したデータのサイズ）、EDRの記録

• 横展開（RDP接続の繰り返し） → ドメインコントローラなど、認証のログ

午後での問われ方

• 令和6年度秋期 午後問1：ソフトウェア開発会社のインシデント対応が題材でした。プロキシサービスが、マルウェア感染のカテゴリに一致するURLへのアクセスを拒否したことから調査が始まります。端末の記録には、PowerShellのスクリプトの実行、「install」という名前のタスクの登録、マルウェア対策ソフトのサービスの停止、ファイルの参照と圧縮ファイルの作成・送信、ドメインのアカウントやローカルの管理者アカウントでのRDP接続の試行（一部の端末では成功）、1時間おきの外部への接続と、拒否されたときの接続先の切替えが並びます。解答例には、ほかの感染端末の調べ方として「タスク名がinstallであるタスクが登録されているL社内ホストがないか調査する」、検出の仕組みとして「マルウェア対策サービスのログから、マルウェア対策ソフトが停止したL社内ホストを検出する」「ドメインサーバのログから、RDP接続をくり返しているL社内ホストを検出する」が示されています。

• 平成30年度秋期 午後II問2：マルウェアの侵入による情報漏えいの調査が題材でした。プロキシサーバのログから、問題のサイトにアクセスしたPCを特定し、マルウェアのHTTPリクエストを「C&Cサーバへのコマンド要求又は応答による活動」、HTTPレスポンスを「C&Cサーバからのコマンド受信による活動」と読み取らせています。ほかに感染した機器の調べ方は、「プロキシサーバのログから、IPnのサイトにアクセスした機器がほかにないか」です。

• 令和元年度秋期 午後I問3：標的型メールによるウイルス感染後の対応が題材でした。EDRを想定した仕組みで、ほかの感染端末を「マルウェアMのハッシュ値で検索する」ことや、FWのログを使った確認では感染を検知できない端末の状態を「感染したが、C&Cサーバと通信する前にネットワークから切り離された状態」と答えさせています。

• 令和3年度秋期 午後II問2：テレワークに伴うインシデントが題材でした。マルウェアは導入済みのマルウェア対策ソフトでは検出されず、攻撃者は送信済みのメールを削除し、一部の端末ではイベントログをすべて消去していました。解答例には、消去の痕跡として「イベントログの消去を示すログ」、遠隔操作の記録が出ない感染の状態として「横展開機能と待機機能だけを実行していた場合」が示されています。

• 令和元年度秋期 午後II問1：暗号資産を採掘するワームが、侵入に使った脆弱なポートを自ら塞いでいた理由が問われました。解答例は、同じ脆弱性を悪用されて別のマルウェアに再び感染し、自分の動作を阻害されるのを防ぐためです。

採点講評で指摘されたつまずき

• 令和元年度秋期 午後I問3では、FWのログでは感染を検知できない端末の状態を問う設問の正答率が低かったとされています。講評は、ネットワークから切り離された状態のほか、マルウェアが初期の偵察段階で、その端末や周辺から情報を集めている可能性も挙げています。

• 平成30年度秋期 午後II問2では、遠隔操作の機能を持つマルウェアがC&Cサーバと通信して指示を受け取る動きを問う設問の正答率が低かったとされています。

• 令和元年度秋期 午後II問1では、マルウェアが侵入に使ったポートを塞いだ理由を問う設問の正答率が低く、目的の遂行のための機能だけでなく、発見や妨害を避けるための機能も理解してほしいとされています。

• 令和6年度秋期 午後問1では、マルウェアの活動を検出する仕組みを問う設問で、どのログを確認するかを書いていない解答が多かったと指摘されています。

記述の型

• 被害の範囲を調べる：「同じC&Cサーバと通信した端末、同じ永続化の痕跡がある端末を、ログから探す」

• 外部からの接続を止めても防げない理由：「感染端末の側から外部へ接続するため」

• 検出の仕組み：「（どのログ）から、（どの動作）をした端末を検出する」と、ログの種類まで書く

• 横展開への対策：「RDPの接続元をIPアドレスで制限する」「端末ごとにローカル管理者のパスワードを変える」

4. 入口：標的型メール・フィッシング・ビジネスメール詐欺

標的型メールは、注意喚起だけでは止まらない

標的型メールは、特定の組織を狙い、業務に関係がありそうな件名や添付ファイルで、開封や実行を誘うメールです。取引先や公的機関を装い、実在する担当者名を使うこともあります。相手のメールアカウント自体が乗っ取られていれば、普段のやり取りへの返信として届くこともあります。

• 添付ファイル：文書ファイルのマクロ、ショートカットファイル、実行ファイルを圧縮したもの

• パスワード付きの圧縮ファイル：暗号化されているので、メールの段階では中身をマルウェア対策の検査にかけられない。攻撃者は、この検査をすり抜けるために使う

• リンク：偽のログイン画面へ誘導して認証情報を盗む（フィッシング）、マルウェアをダウンロードさせる

対策は、利用者への注意喚起だけに頼らず、次を組み合わせます。

• メールの検査（添付ファイル、URL）と、送信者のドメインの認証（SPF・DKIM・DMARC。支援士解説3の5）

• 端末での実行の制限（マクロの無効化、許可したプログラムだけの実行）と、端末での検知（7.・8.）

• 「怪しい」と思った時点で報告できる窓口と、報告を受けたら同じメールの受信者を調べる手順

• 訓練。開封率を下げることだけでなく、報告までの時間を短くすることを目標にする

ビジネスメール詐欺：マルウェアを使わない詐欺もある

ビジネスメール詐欺（BEC）は、経営者や取引先になりすましたメールで、送金先の口座の変更や、至急の支払いを指示する詐欺です。マルウェアを使わず、文面だけで成立することがあるので、メールの検査では見つかりません。

対策の中心は、業務の手順です。支払先の口座を変える依頼は、メールの返信ではなく、以前から登録してある電話番号など、別の経路で本人に確認します。支払いの承認を複数の人で行う、メールアカウントを多要素認証で守る、自組織のドメインを装ったメールを見分けられるよう送信者認証を整える、といった対策を組み合わせます。

Webの入口：見ただけで感染する場合がある

正規のWebサイトが改ざんされ、閲覧しただけで、ブラウザやプラグインの脆弱性を突かれてマルウェアを送り込まれるのがドライブバイダウンロードです。標的の組織の人がよく見るサイトを狙って改ざんし、待ち伏せするのが水飲み場型攻撃です。いずれも、ブラウザなどを最新に保つこと、不要なプラグインを使わないことが基本です。

公開機器と、閉じたネットワークの入口

VPN機器や公開サーバの脆弱性、盗まれた認証情報も入口になります。この場合、メールの検査を強化しても、その入口は閉じません（脆弱性の対応は支援士解説3の6）。インターネットにつながらないネットワークでも、USBメモリ、更新用の媒体、保守用の接続があれば、それが入口になります。

記述の型

• パスワード付き圧縮ファイルの問題：「暗号化されているため、中身をマルウェア対策の検査にかけられない」

• 口座変更の依頼への対策：「メール以外の、事前に登録した連絡先で、本人に確認する」

• 標的型メールの訓練の目的：「不審なメールを受信したときに、速やかに報告できるようにする」

5. 出口対策：C&C通信と持出しを止める

入口の対策は、いつか破られます。侵入された後でも、外への通信を絞れば、遠隔操作と情報の持出しを妨げられます。これが出口対策です。

外へ出る経路を一つにする

端末から外部への通信は、プロキシサーバ経由だけに限り、ファイアウォールで端末からの直接の通信を禁止します。経路を一つにまとめると、通信先の制限とログの記録をそこでまとめて行えます。

プロキシで、どこへ出るかを絞る

• URLフィルタリング：業務に必要で安全と確かめたURLを許可リストに入れ、それ以外を遮断する。全部を一度に遮断すると業務が止まるので、まず「検知（許可して記録）」で運用して必要なサイトを洗い出し、その後で遮断に切り替える方法もある

• カテゴリ単位のフィルタリング：業務に不要な分類（外部ストレージ、ゲームなど）を遮断する

• 既知の悪性サイトの拒否リスト：ベンダーが提供する、マルウェアの通信先の一覧で遮断する。ただし、攻撃者は接続先を変えたり、正規のサービスを悪用したりするので、一覧だけで全部は止まらない

プロキシ認証：マルウェアに、利用者IDとパスワードを要求する

プロキシで利用者IDとパスワードによる認証（プロキシ認証）を行うと、認証に対応していないマルウェアは外部へ接続できません。ただし、効果は完全ではありません。ブラウザからプロキシへの通信を盗み見て認証情報を手に入れ、それを使って認証を通過するマルウェアもあります。

何が、どこへ、どれだけ出たかを記録する

• プロキシのログに、送信元の端末、接続先、時刻、送信したデータのサイズを残す。持出しの量を推測する手掛かりになる

• プロキシを多段にしている場合、外側のプロキシのログでは、送信元が内側のプロキシのIPアドレスになり、端末を特定できない。内側のプロキシで送信元を示すHTTPヘッダを付け、外側でそれを記録する

• 同じ宛先への定期的な接続や、業務時間外の大きな送信を監視する

• 外部への名前解決（DNS）の記録も、C&C通信の手掛かりになる

DNSも、外への出口になる

プロキシを経由しない通信を止めても、名前解決（DNS）の通信が外へ出られるなら、それが出口になります。DNSの問合せの中にデータを埋め込み、組織内のDNSサーバ（フルサービスリゾルバ）を経由して、攻撃者が管理するドメインの権威DNSサーバとやり取りする手口を、DNSトンネリングと呼びます。特定のドメインに対する大量の問合せが、手掛かりになります。

対策の例は、次のとおりです。

• 端末から外部のDNSサーバへの直接の問合せを禁止し、組織内のDNSサーバだけを使わせる

• 組織内のDNSサーバから外部への問合せも、必要な経路に限る

• 危険な名前の問合せに、正規の名前解決の代わりにあらかじめ用意したIPアドレスを返すDNSシンクホールで、通信先をそらし、問い合わせた端末を見つける

ただし、DNSシンクホールの記録だけでは、感染端末を見落とすことがあります。マルウェアがC&CサーバのIPアドレスを直接持っていれば、名前解決をせずに接続するからです。逆に、C&CサーバをFQDNで指定しておけば、攻撃者は、マルウェアを作り直さずに接続先のIPアドレスを変えられます。

持出しを止める

ファイルの持出しには、特別な権限は要りません。利用者が読めるファイルは、その利用者の端末で動くマルウェアにも読めます。DLP（情報漏えい対策の仕組み）で、重要な情報を含むファイルの外部への送信を検知・制限する、外部ストレージサービスへの通信を絞る、といった対策を考えます。

午後での問われ方

• 平成28年度秋期 午後I問3（情報セキュリティスペシャリスト試験）：プロキシサーバを使ったマルウェア対策が題材でした。プロキシを多段にした構成で、外側のプロキシのログだけでは送信元のPCを特定できない理由として、解答例は「送信元IPアドレスがプロキシ1のIPアドレスとなるので」です。プロキシ認証を通過するマルウェアの手口は、「Webブラウザからプロキシサーバへの通信を盗聴して認証情報を取得し、プロキシサーバに送信する」です。フィルタリングは、URLフィルタリングで「ホワイトリストに業務に必要かつ安全であることを確認したURLを設定する」、カテゴリ単位で「業務に不要であるカテゴリを遮断する」とされています。

• 令和6年度秋期 午後問1（3.と同じ問題）：持出しを防ぐ対策として、解答例は「L社内にDLPを導入し、ファイルの持出しを制限する」です。マルウェアの通信先については、全利用者を対象に、それらのURLを「管理者拒否リストに登録する」ことが示されています。

• 令和元年度秋期 午後I問2：脅威インテリジェンスの活用とC&C通信への対策が題材でした。マルウェアのHTTP通信が「プロキシ認証に失敗したから」外へ出られなかった一方で、IPアドレスを直接指定したHTTP通信や、パブリックDNSサービスへのDNS通信に成功したログを探す設問があります。DNSトンネリングの兆候として「特定のドメインに対する多数のDNSクエリの発生」が、解答例に示されています。

• 令和3年度秋期 午後II問2（3.と同じ問題）：UTMのDNSシンクホール機能を使っていた組織で、マルウェアにC&CサーバのIPアドレスとFQDNの両方が埋め込まれていました。FQDNで指定する攻撃者側の利点は「マルウェア内にFQDNで指定したC&CサーバのIPアドレスの変更」ができること、DNSシンクホールの記録だけでは不十分な理由は「C&Cサーバとの通信時にDNSへの問合せを実行しない場合があるから」です。

• 平成30年度秋期 午後II問2（3.と同じ問題）：プロキシサーバのログのうち、情報漏えいの調査に役立つ情報として「プロキシサーバがインターネットに送信したデータのサイズ」が問われています。

採点講評で指摘されたつまずき

• 平成28年度秋期 午後I問3では、プロキシサーバのログから送信元のPCを特定できない理由と、プロキシ認証を通過するマルウェアの仕組みを問う設問の正答率が、いずれも低かったとされています。他者に誤解なく伝わるよう、必要な情報を正確に書くことが求められています。

• 令和元年度秋期 午後I問2では、マルウェアがプロキシ認証の情報を盗む手法を理解していない解答が散見され、DNSトンネリングを問う設問の正答率が低かったとされています。講評は、組織内のフルサービスリゾルバを悪用するC&C通信の手法として、DNSの仕組みとあわせて理解してほしいとしています。

• 令和6年度秋期 午後問1では、持出しへの対策を問う設問の正答率がやや低く、ファイルサーバのアクセス権を最小限にするといった解答が散見されたと指摘されています。マルウェアは特別な権限なしにファイルを持ち出していたので、起きた持出しを防げる対策を選ぶ必要があります。

記述の型

• 出口対策の考え方：「端末からインターネットへの通信をプロキシ経由に限定し、ファイアウォールで直接の通信を禁止する」

• プロキシ認証の効果と限界：「認証に対応していないマルウェアの通信を遮断できるが、認証情報を盗んで通過するマルウェアもある」

• 持出しへの対策：「DLPを導入し、ファイルの持出しを制限する」

• 多段プロキシで送信元を特定する方法：「内側のプロキシで送信元を示すヘッダを付け、外側のプロキシでログに記録する」

• DNSを悪用する通信の兆候：「特定のドメインに対する多数のDNSクエリが発生する」

6. 多層防御：入口・端末・内部・出口で受け止める

どの対策にも限界があるので、一つの対策に頼らず、場所と性質の違う対策を組み合わせます。同じ製品を重ねることではなく、どの失敗をどこで受け止めるかを分担させるのが多層防御です（図4）。

• 入口：侵入経路を減らす。メール・Web・媒体の検査と制限、公開機器の修正、認証の保護。保守接続やファイルの受渡しも確認する

• 端末：マルウェアの検知・防止（EPP・EDR）、不要な実行機能と管理者権限の制限

• 内部：不要な端末間通信の制限、共有フォルダの権限の限定、管理者アカウントの共用の見直し

• 出口：外部への接続先と経路の管理、通信元のプロセスや挙動の確認

一般の利用者の権限でも、その利用者が書き込める共有フォルダは暗号化されます。「管理者ではないからランサムウェアの被害は出ない」とは判断できません。また、バックアップは破られたときの復旧の備えです。侵入防止の代用にも、流出した情報の回収の代用にもなりません。

7. 検知の方式：何を根拠に疑うか

既知の特徴と照合する：パターンマッチング

マルウェア定義ファイル（パターンファイル）に登録された、既知のマルウェアの特徴と照合します。既知のマルウェアを速く見つけられますが、まだ登録されていない未知のマルウェアは検知できません。既知のものを少し作り変えた亜種も、外れることがあります（亜種の共通特徴を捉えるルールなら、検知できる場合もあります）。定義ファイルを常に最新に保つ必要があります。

変化を見つける：コンペア法と完全性の確認

安全に保管した原本やそのハッシュ値と、検査対象を比べて、変化がないかを調べます。原本を保管した時点で既に感染していれば見つけられず、正規の更新でも「変化」として検知します。比べる基準そのものを攻撃者に書き換えられると、意味がなくなるので、比較する基準自体を保護します。

構造や動きを見る：ヒューリスティック法とビヘイビア法

• 静的な分析：対象を実行せずに、コードや構造から、疑わしい処理などの特徴を評価する。実行時だけ分かる動きには限界がある

• ヒューリスティック法：マルウェアがとるであろう動作をあらかじめ登録しておき、検査対象のコードに含まれる一連の動作と比べて検知する

• ビヘイビア法（振る舞い検知）：実際の感染・発病の動作（書込み、複製、破壊など）を監視して検知する。動作の結果として起こる環境の変化（大量のファイルの書換え、通信量の急増など）を捉えることもある。単独の操作だけでなく、プロセス・通信・ファイル操作の関連を見る

特徴を登録しておく必要がないので、未知のマルウェアや亜種も検知できる可能性があります。一方、正規の管理作業と区別しにくく、正常なものを誤って検知する誤検知（フォールスポジティブ）が起きやすくなります。誤検知を減らそうと条件を緩めると、見逃し（フォールスネガティブ）が増えます。観測条件によっても、見逃しや誤検知は起こります。製品を比べるときは、検知精度だけでなく、観測できる範囲、誤検知への対応、未観測の把握も重要です。

許可したものだけを動かす：アプリケーションの許可リスト

実行してよいプログラムをハッシュ値などで登録し、それ以外の実行を禁止する方法です。未知のマルウェアの実行ファイルも止められますが、次の弱点があります。

• 登録したプログラムをバージョンアップすると、ハッシュ値が変わり、登録し直すまで動かなくなる

• 許可したプログラムの機能を使って動くもの（文書ファイルのマクロとして動くマルウェア、正規のスクリプト実行機能の悪用）は止められない

禁止したものを止める：起動禁止の設定

許可リストとは逆に、使わせたくないプログラムを、プログラム名や実行ファイルのハッシュ値で登録して、起動を禁止する方法もあります。名前だけで禁止すると、名前を変えれば起動でき、ハッシュ値だけで禁止すると、内容を少し変えれば起動できます。両方を組み合わせても、内容と名前の両方を変えられればすり抜けられます。禁止の方式は、既知の不要なプログラムを止める補助と考えます。

見つからないようにする工夫

• 見た目を変える：暗号化などで外見のコードを毎回変えるポリモーフィック型や、暗号鍵を変えて圧縮・暗号化し直す（パック処理）ことで、定義ファイルとの照合をすり抜ける。ただし、実行したときの動作は変わらないので、振る舞いの検知なら見つけられる可能性がある

• 解析を妨げる：動作中のプロセスにデバッガ（解析ツール）がないかを調べ、あれば動作を変える。サンドボックスのような解析環境だと気付くと、動作を控えるものもある

• 防御を止める：侵入後に、マルウェア対策ソフトのサービスを停止する（3.）

サンドボックスと無害化

サンドボックスは、不審なファイルを業務の環境から隔離した環境で実際に動かし、通信やファイル操作などの挙動を観察する仕組みです。未知のマルウェアでも検知が期待できますが、実際に動かして観察するので検査に時間が掛かります。一定時間たつまで動かないもの、特定の条件でしか動かないもの、解析環境だと気付いて動作を控えるものは見逃すことがあり、何も起きなかったことは、安全の証明ではありません。

無害化は、マクロなど危険になり得る要素を取り除いたり、必要な内容だけを取り出して作り直したりする方法です。悪意があるかを判定するのではなく、危険な要素をあらかじめ除く考え方です。ブラウザの処理を別の環境で行うブラウザ分離などとあわせて、ネットワークの分離の中での使い方は支援士解説2の3で扱います。

午後での問われ方

• 令和7年度秋期 午後問4：製造業のサプライチェーンでのセキュリティ管理が題材でした。メールのクラウドサービスが提供する二つのマルウェア対策機能が比べられ、パターンマッチング型は「検査時間が短い」が「未知の」マルウェアは検知できない、サンドボックス型は「未知の」マルウェアでも検知が期待できるが「検査に時間が掛かる」とされています。どちらも「暗号化」された添付ファイル内のマルウェアは検知できない、という空欄が問われました。

• 平成28年度秋期 午後I問3（5.と同じ問題）：文書ファイルのマクロとして実装されたマルウェアが、閲覧ソフトの脆弱性を悪用してC&Cサーバと通信し、攻撃用のプログラムをダウンロードしていました。プログラム名とハッシュ値を組み合わせた起動禁止の設定でも禁止できない場合として、解答例は「プログラムの内容を変え、かつ、プログラム名を変える場合」です。

• 令和3年度秋期 午後I問3：PCのマルウェア感染をきっかけに、登録した実行ファイルだけを動かせるソフトウェアを導入する場面が題材でした。運用上の問題が起きる場合は「登録した実行ファイルがバージョンアップされた場合」、この仕組みでも防げないマルウェアは「登録した実行ファイルのマクロとして実行されるマルウェア」です。

• 平成29年度春期 午後II問1：マルウェアの解析が題材でした。マルウェアが解析を妨げる方法として「実行中プロセスの一覧から既知のデバッガのプロセス名を探す」、ウイルス定義ファイルで検知されなくなる理由として「暗号鍵を変えてパック処理すると暗号化済みコード部が変化し、ウイルス定義ファイルに登録されていないファイルとなるから」が、解答例に示されています。

採点講評で指摘されたつまずき

• 令和3年度秋期 午後I問3では、許可した実行ファイルだけを動かす仕組みでも防げないマルウェアを問う設問の正答率が低かったとされています。実行ファイルが変化した場合を書く解答が散見されましたが、それはハッシュ値が変わるので止まります。許可されたファイルを悪用するものを考えます。

• 平成29年度春期 午後II問1では、攻撃者がマルウェアの発見を遅らせるために使う技法を問う設問の正答率が低かったとされています。

• 令和7年度秋期 午後問4では、攻撃シナリオへの対策として、利用者認証の強化を書く解答が散見されたと指摘されています。マルウェアは脆弱性の悪用や、正しく認証された利用者をだますことで実行されるので、感染を防ぐ目的では、利用者認証の強化はあまり効果がありません。

記述の型

• パターンマッチング型の弱点：「未知のマルウェアは検知できない」

• サンドボックス型の利点と弱点：「未知のマルウェアも検知が期待できるが、検査に時間が掛かる」

• 振る舞い検知の弱点：「正規の操作を誤って検知することがある」

• 許可リスト方式で防げないもの：「許可された実行ファイルのマクロとして実行されるマルウェア」

• 起動禁止の設定をすり抜ける方法：「プログラムの内容と名前の両方を変える」

• 定義ファイルで検知されなくなる理由：「暗号鍵を変えてパック処理すると、定義ファイルに登録されていないファイルになる」

8. EPPとEDR：防ぐ機能と、見つけて対処する機能

EPPは「入れない」、EDRは「入られても早く見つけて止める」

• EPP（Endpoint Protection Platform）：PCやサーバ（エンドポイント）で、マルウェアの感染を防ぐ機能群。従来のウイルス対策ソフトがこれに当たり、最近の製品はパターンマッチングに加えて振る舞いの検知も備える

• EDR（Endpoint Detection and Response）：端末で起きたこと（プロセスの起動、ファイル操作、設定変更、通信など）を記録・分析し、攻撃の疑いを検知して、調査と対処（端末の隔離など）につなげる。侵入されることを前提にした対策

EPPは端末保護、EDRは検知・調査・対処が中心です。EDRの記録があれば、「いつ、どのプロセスが、何をしたか」を時系列で追えます。ただし、実製品では機能が重なり、両方を持つものが多く、「EPPは既知のものしか見ない」「EDRは止められない」という区切りではありません。

アラートは結論ではなく、調べる入口

警告が出たら、端末、時刻、利用者、検知の理由、処理の結果を確認します。実行を防いだのか、実行された後に検知したのかで、意味が違います。定例の保守作業と同じ操作なら、作業の予定や承認の記録と照らします（正常作業と照合）。業務時間外に、普段使わないコマンドが実行されたなら、強い手掛かりになります。

EDRを入れれば安心、ではない

• 観測できない端末がある：未導入・停止・未接続の端末は、そもそも観測できない。「未検出」と「未観測」は別

• 誰が警告を読むか：警告が出ても、誰かが見て判断しなければ対処は進まない。夜間や休日に誰が警告を受け取り、誰が隔離や業務停止を判断するかを決めておく。監視を委託するなら、通知までか、隔離までかの範囲を契約で確かめる

• 委託の範囲を決める：監視を外部のサービス（SOCやMDR）に委託する場合、「24時間監視」が、夜間に通知するところまでなのか、自動で隔離するのか、自組織の承認を待つのかを契約で確かめる。重要なサーバを止める判断を誰がするかも決めておく

• 隔離が完了したか：管理画面で隔離を指示しても、端末がネットワークにつながっていなければ指示は届かない。指示を受け付けたことと、隔離が完了したこと（実施完了）を分けて確かめる。EDRの名称だけで、自動対処の範囲は決まらない

午後での問われ方

• 令和3年度春期 午後I問3：脆弱性修正プログラムの配信が題材で、WoL（Wake on LAN）を悪用して夜間に感染を広げるマルウェアへの対策として、夜間に不審な振る舞いをしたPCをネットワークから隔離する対策を、導入済みのシステムで実現する方法が問われました。解答例は「エージェントによって、夜間にarpコマンドの実行を検知したら、当該PCをネットワークから隔離する」です。

• 令和4年度秋期 午後II問2：EDRを使った未知のマルウェアへの対策が題材でした。EDRが記録したイベントから、メールフォルダのファイルが読み込まれた、HTTPでファイルがアップロードされた、といったマルウェアの挙動を読み取り、時系列に整理させています。さらに、記録から作る検知ルールとして、「Vソフトのデータファイルが読み込まれた後に、1分以内に、パス名が同一のファイルが上書きされた」ことを検知する、という解答例が示されています。このマルウェアは、開かれたデータファイルに自分をマクロとして埋め込み、直ちに上書き保存させて感染を広げていました。同じ手口による感染の拡大を、読込みの直後の同じパスへの上書きで捉えるルールです。

採点講評で指摘されたつまずき

• 令和3年度春期 午後I問3では、EDRで対策を実現する方法を問う設問の正答率がやや低く、EDRに着目した解答は多かったものの、EDRを使ってどのように対策を実現するかまで書けた解答は少なかったとされています。「EDRを使う」で終えず、何を検知したら、何をするかまで書きます。

• 令和4年度秋期 午後II問2では、EDRのイベントの記録から時系列を整理する設問の正答率は高かった一方、インシデント対応のどこで無駄に時間が過ぎているかを問う設問の正答率が低かったとされています。

記述の型

• EDRの役割：「侵入後の不審な挙動を検知し、端末の隔離などで被害の拡大を防ぐ」

• EDRを使った対策：「（いつ）（どのコマンド・操作）の実行を検知したら、当該PCをネットワークから隔離する」

• 隔離の確認：「隔離の指示が端末で実行され、完了したことを確認する」

9. ワームとボット：自分で広がるものを、内部で止める

ワームは、同じネットワークの中を直接広がる

ワームは、脆弱性のある端末を探して（スキャンして）、自分の複製を送り込みます。同じネットワークの中の端末同士は、ファイアウォールを通らずに直接通信できるので、1台の感染から短時間で広がります。

• 見えない範囲がある：境界やサーバの前に置いた監視の装置（センサ）は、同じスイッチにつながった端末同士の通信を見られない。同じネットワークの中だけをスキャンするワームは、そこでは見つからない

• 内部を分ける：VLANなどで端末同士の通信を禁止する。業務で端末同士が直接通信する必要は、多くない

• 戻す条件を決める：隔離した端末をネットワークに戻す前に、脆弱性の修正プログラムが適用されていること、定義ファイルが更新されていること、感染していないことを確かめる

ボットとIoT機器

ボットに感染した多数の機器は、C&Cサーバの指示でDDoS攻撃などに使われます。ネットワークカメラやルータなどのIoT機器は、初期設定のパスワードのまま使われていたり、更新が行われていなかったりすることが多く、ボットの感染先として狙われます。初期パスワードの変更、不要なサービスの停止、ファームウェアの更新が基本です。

午後での問われ方

• 平成30年度秋期 午後I問2：ワームの感染を題材に、ネットワークの状態の把握とインシデント対応が問われました。感染したPCと同じセグメントだけをスキャンする動きが、監視用のセンサのIPアドレス別の件数で上位に出てこない理由は「パケットがNSMセンサの監視対象外であるため」です。隔離したPCを戻す条件として「セキュリティ修正プログラムが適用されていること」「マルウェア定義ファイルが更新されていること」「PCがマルウェアに感染していないこと」、PC同士の感染を防ぐ対策として「VLANを使い、PC間の通信を禁止する」が、解答例に示されています。

採点講評で指摘されたつまずき

• 平成30年度秋期 午後I問2では、同じスイッチにつながったPC同士でのワームの感染を防ぐ対策を問う設問の正答率が低く、VLANによるセグメントの分離のような、ネットワークの層での対策を立案できるようになってほしいとされています。センサがパケットを取得できない理由も、正しく理解していない解答が多かったと指摘されています。

記述の型

• PC同士の感染を防ぐ対策：「VLANを使い、PC間の通信を禁止する」

• 隔離した端末を戻す条件：「修正プログラムの適用、定義ファイルの更新、感染していないことの確認」

• 同じセグメント内のスキャンが見えない理由：「その通信が、センサの監視対象の経路を通らないため」

10. マルウェアの解析と、脅威インテリジェンス

静的な解析と動的な解析

マルウェアの解析には、実行せずにコードや構造を調べる静的な解析と、実際に動かして挙動を観察する動的な解析があります。動的な解析は、業務のネットワークから切り離した解析環境で行い、インターネットへの接続も解析中だけに限るなど、マルウェアが外へ広がらないように運用します。解析で取り出したファイルを業務の環境へ戻すときも、検査を経由させます。

解析には、次の難しさがあります。

• 解析環境を見抜く：仮想マシンの上で動いていることを検知すると、攻撃の処理を消して終了するものがある。この場合は、仮想マシンではない実機の環境を用意する

• 再現できなくなる：攻撃者がC&Cサーバの側を変えると、同じ検体を後で動かしても、同じ挙動が再現できない。確認した時点の解析環境の状態を保存しておく

IoCと脅威インテリジェンス

解析で分かったファイルのハッシュ値、C&CサーバのIPアドレスやドメイン名などを、IoC（侵害の指標）と呼びます。IoCで自組織のログを検索すれば、ほかの感染端末を探せます。業界ごとの情報共有の組織（ISAC）などを通じて、攻撃の情報（脅威インテリジェンス）を共有する取組みもあり、その記述形式の一つがSTIXです。

ただし、組織を狙って作られたマルウェアは、ほかで観測されたIoCと一致しないことがあります。既知のIoCが見つからないことは、感染していないことの証明ではありません。

午後での問われ方

• 令和4年度秋期 午後II問1：セキュリティ関連会社での脅威情報の調査が題材でした。C&Cサーバからダウンロードしたプログラムをメモリ内だけに展開する検体の種類は、ファイルレスマルウェアです。後で再実行しても挙動を再現できなくなる原因は「C&CサーバのIPアドレス」の変更、仮想マシン上での動作を検知して攻撃の処理を消す検体のために構築する環境は「仮想マシンではない実機環境」とされています。

記述の型

• 解析環境を見抜くマルウェアへの対策：「仮想マシンではない実機の環境で解析する」

• ほかの感染端末を探す方法：「マルウェアのハッシュ値や通信先（IoC）で、ログを検索する」

• 既知のIoCに頼る限界：「組織を狙って作られたマルウェアは、既知のIoCと一致しない」

11. ファイルレス攻撃と、正規ツールの悪用

ファイルレス攻撃は、マルウェア本体を通常の実行ファイルとして保存することに頼らず、メモリ上で動かしたり、正規の実行機能を悪用したりする攻撃です。外部からスクリプトをダウンロードして、ファイルに保存せずメモリ上で実行する、といった動きをします。ただし、攻撃の全過程でファイルが一切存在しないという意味ではありません。入口のメールやショートカット、レジストリやログに痕跡が残ることもあります。

PowerShellやWMIなど、管理業務でも使う正規の機能を悪用する手法は、Living off the Land（環境寄生型）と呼ばれます。ツールの名前だけでは、攻撃か正規の作業かを区別できません。誰が、何から起動し、何を変更し、どこと通信したかを見ます。

対策は、次の組合せです。

• 必要な実行機能と、使える利用者を限定する

• スクリプトの実行ログを取得し、振る舞いを監視する

• PowerShellのスクリプトの実行ポリシーは安全機能の一つだが、攻撃者の実行を確実に封じる境界ではないので、それだけに頼らない

「怪しいファイルが見つからない」ことは、「感染していない」ことを意味しません。

記述の型

• ファイルレス攻撃への対策：「PowerShellなどの実行ログを取得し、振る舞いを監視する」

• 正規ツールの悪用を見分ける観点：「誰が、何から起動し、何を変更し、どこと通信したかを確認する」

12. ランサムウェア：暗号化と、多重の脅迫

共有フォルダも、バックアップも暗号化される

ランサムウェアは、感染した端末のファイルだけでなく、その端末からネットワークドライブとして割り当てた共有フォルダのファイルも暗号化します。利用者が書き込めるところは、利用者の端末で動くランサムウェアも書き込めるからです。バックアップを同じ共有フォルダや、同じ権限で書き込める場所に置いていると、バックアップも一緒に暗号化され、復元できなくなります。

バックアップは、ネットワークから切り離して保管する、変更や削除ができない形で保管する、管理の権限を分ける、といった方法で、ランサムウェアの手が届かないようにします（詳しくは支援士解説3の3）。

暗号化だけでは終わらない：多重の脅迫

最近のランサムウェアは、ファイルを暗号化する前に情報を盗み出し、「身代金を払わなければ公開する」と脅します。暗号化と暴露の脅しを組み合わせたものを二重脅迫と呼びます。暗号化を伴わず、盗んだ情報の暴露だけで脅す手口もあります。

• バックアップからファイルを戻せても、持ち出された情報は取り戻せない。「暗号化されたファイルは復元できた」と「情報流出の有無と範囲」は別に判断する

• 身代金を支払っても、確実に復号される、盗まれた情報が削除される、再び攻撃されない、という保証はない

• 復号には、攻撃者だけが持つ鍵が必要になる。共通鍵を毎回作り、攻撃者の公開鍵で保護するタイプでは、解析で手に入れた検体に復号の鍵は含まれていない（共通鍵だけを使い、プログラムに鍵を埋め込んだタイプでは、検体の解析で鍵が得られる場合もある）

暗号化を早く見つけ、広がりを止める

暗号化は、始まってから気付いても、共有フォルダへ広がる前に止められれば被害を減らせます。

• 振る舞いで見つける：ファイルを読み込んで、すぐ同じ場所に書き戻す動きが、短時間に大量に起きることを検知する（本稿の例。8.のEDRのルールと同じく、読込みと上書きの組合せを見る）

• 共有フォルダの権限を絞る：利用者ごとに、業務で必要なフォルダだけに書込みの権限を与える。全員が全部に書き込める共有フォルダは、1台の感染で全部が暗号化される

• 侵入の入口を塞ぐ：VPN機器や外部に公開したリモートデスクトップなど、ランサムウェアの攻撃者が使う入口の脆弱性の修正と、認証の強化を優先する

午後での問われ方

• 平成29年度秋期 午後I問1：業務システムでのランサムウェア感染が題材でした。営業用PCで「Dサーバ上の共有フォルダをネットワークドライブとして割り当てる」設定と、ランサムウェアが「ネットワークドライブ上のファイルも暗号化の対象となる」特徴の組合せで被害が広がったことが問われています。検体から復号できない理由は「復号に必要な共通鍵や秘密鍵が検体に含まれていないため」、バックアップの置き場所の問題は「共有フォルダのバックアップデータも暗号化されてしまい復元できなくなる」です。

採点講評で指摘されたつまずき

• 令和7年度秋期 午後問4では、マルウェアなどの被害が起きた後に早く復旧する仕組みを問う設問で、攻撃を阻止する手段を書く解答が散見されたと指摘されています。早い復旧には、バックアップの取得など、平常時に何をしておくかが重要です。講評は、組織によっては、被害に至った経緯の解明よりも事業の復旧を優先する場合があることも挙げています。

記述の型

• 共有フォルダが暗号化された理由：「共有フォルダをネットワークドライブとして割り当てており、その上のファイルも暗号化の対象となったため」

• バックアップの置き場所：「ランサムウェアが書き込めない場所（ネットワークから切り離した媒体など）に保管する」

• 二重脅迫への注意：「バックアップから復元しても、窃取された情報の公開は防げない」

13. 導入後に効かなくなる原因

マルウェア対策は、導入した後に効かなくなることがあります。

• 更新が届いていない：長期間電源を入れていない端末、庁外に持ち出した端末などで、定義ファイルやソフトウェア本体の更新が止まっていることがある。管理画面で、全端末の更新の状況と、最後に連絡した日時を確かめる

• 管理されていない端末がある：台帳に載っていない端末には、対策ソフトが入っていないかもしれない。対策ソフトを入れられない機器は、接続先の限定などの代わりの対策を決める

• 除外の設定が広すぎる：業務アプリが遅くなるからと、フォルダ全体を検査の対象から外すと、攻撃者もそのフォルダを使える。除外は必要な範囲に限り、期限を決めて見直す

• 検査の対象が限られている：普段の検査で圧縮ファイルを対象にしていなければ、圧縮ファイルの中のマルウェアは、展開するまで見つからない。展開したときにリアルタイムスキャンが働けば感染は防げるが、どの端末に検体が保存されているかを洗い出すには、対象を広げた検査が要る

• 攻撃者に止められる：侵入後にマルウェア対策ソフトを停止するマルウェアもある。対策ソフトが停止した端末を、管理サービスのログで検出する仕組みも用意する

午後での問われ方

• 平成31年度春期 午後II問2：セキュリティインシデントの対応が題材でした。CPUの負荷を減らすため、フルスキャンでは圧縮ファイルを対象外にしていました。対象外のままでも感染のリスクは変わらない理由として、解答例は「圧縮ファイルを展開すると、展開したファイルに対してリアルタイムスキャンが実行されるから」です。マルウェアに感染したPCが見つかった後で、ほかのPCをフルスキャンする目的は、「マルウェアXを含む圧縮ファイルを保存しているDPCの有無を確認するため」とされています。

採点講評で指摘されたつまずき

• 平成31年度春期 午後II問2では、感染したPCが見つかった後で、ほかのPCをフルスキャンする目的を問う設問の正答率が低く、標準ソフトの脆弱性の検出といった解答が散見されたと指摘されています。

14. 感染の疑いが出たら：要点だけ

感染が疑われたときの初動の詳細は支援士解説4の3で扱います。マルウェアの性質から、押さえておく要点は次のとおりです。

• 電源をすぐに切らない：メモリ上の情報（実行中のプロセス、通信の状態、ファイルレスのマルウェア、暗号化に使った一時的な鍵）が失われる。まずネットワークから切り離す

• 切り離しには長所と短所がある：感染の拡大や持出しは止められるが、C&C通信が止まると攻撃者の動きを観察できなくなり、ネットワークの状態の情報も失われる。事前に手順を決めておく

• 見つけた1台だけで終わらない：同じ痕跡を持つ端末をログで探す（3.）

午後での問われ方

• 令和元年度秋期 午後I問3（3.と同じ問題）：監視サービスからC&Cサーバへの通信の通知を受けたら、PCの電源を入れたままLANケーブルを抜き、C&CサーバのIPアドレスへの通信をファイアウォールで拒否し、EDRの記録でマルウェアを特定してそのハッシュ値で実行を禁止する、という手順が題材でした。電源を入れたままにする理由は「メモリ上の情報が失われないようにするため」、LANケーブルを抜いて防ぐ活動として「J社情報システムに感染を拡大する」「インターネットに情報を送信する」が、解答例に示されています。

• 平成30年度秋期 午後II問2（3.と同じ問題）：マルウェアが検知されたPCをすぐにネットワークから切り離すと失われる情報として「問題PCのネットワークインタフェースや通信の状態についての情報」が、それを補う措置として「メモリダンプを取得する」が示されています。講評は、切り離しには長所と短所があるので、それを理解して初動を設計してほしいとしています。

15. 午前II（科目A-2）で正誤を見分けるポイント

• 「ワームは、ほかのプログラムに寄生しなければ増殖できない」→ 誤り。それはウイルス。ワームは単独で動いて広がる

• 「トロイの木馬は、自己増殖してネットワーク内に広がる」→ 誤り。有益なソフトに見せかけるのが特徴で、自己増殖は基本的にしない

• 「ボットは、C&Cサーバからの指令によって遠隔操作される」→ 正しい

• 「パターンマッチング方式は、未知のマルウェアも検知できる」→ 誤り。登録された既知の特徴と照合する

• 「ビヘイビア法は、マルウェアの動作による環境の変化を検知する」→ 正しい

• 「コンペア法は、原本と比較するので、新しく置かれたファイルの感染も検知できる」→ 誤り。比べる原本がない

• 「ポリモーフィック型マルウェアは、感染のたびにコードの外見を変え、パターンとの照合をすり抜ける」→ 正しい

• 「サンドボックスで不審な動作がなかったファイルは、安全である」→ 誤り。解析環境を検知して動作を控えるものもある

• 「EDRは、端末の動作を記録・分析し、侵入後の不審な挙動の検知と対処を支援する」→ 正しい

• 「C&C通信は外部から内部への接続なので、ファイアウォールで内向きの通信を遮断すれば防げる」→ 誤り。感染端末の側から外へ接続する

• 「ファイルレスマルウェアは、痕跡を一切残さない」→ 誤り。レジストリやログなどに痕跡が残ることがある

• 「ビジネスメール詐欺は、マルウェアの検知で防げる」→ 誤り。文面だけで成立するので、別経路での確認などの業務手順が中心

• 「ドライブバイダウンロードは、Webサイトを閲覧しただけでマルウェアをダウンロードさせる」→ 正しい

• 「水飲み場型攻撃は、不特定多数に大量のメールを送り付ける攻撃である」→ 誤り。標的がよく見るWebサイトを改ざんして待ち伏せする

• 「DNSシンクホールは、危険なドメイン名の問合せに、あらかじめ用意したIPアドレスを応答する」→ 正しい

• 「既知のIoCに一致する記録がなければ、感染していないと判断できる」→ 誤り。組織を狙って作られたマルウェアは、既知のIoCと一致しないことがある

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　ほかの感染端末を探す

1台の端末の解析で、マルウェアがログオン時に動くタスクを登録し、1時間おきに特定の外部サイトへ接続していたことが分かった。ほかの感染端末を探す方法として最も適切なものはどれか。

• ア：見つかった端末のパスワードを変更する

• イ：プロキシのログでその外部サイトに接続した端末を探し、全端末で同じ名前のタスクが登録されていないかを調べる

• ウ：見つかった端末の定義ファイルを更新する

• エ：ファイアウォールで、外部から内部への通信をすべて遮断する

正解：イ。1台で分かった動作の痕跡を、ほかの端末で探すのが基本です。エは、感染端末の側から外へ接続するC&C通信を止められません。

問2　プロキシ認証

プロキシサーバで利用者IDとパスワードによる認証を始めた。この対策の説明として最も適切なものはどれか。

• ア：認証に対応していないマルウェアの外部への通信を遮断できるが、認証情報を盗んで通過するマルウェアもある

• イ：すべてのマルウェアの外部への通信を遮断できる

• ウ：メールの添付ファイルの検査ができるようになる

• エ：端末のマルウェアを駆除できる

正解：ア。効果はありますが完全ではありません。ブラウザからプロキシへの通信を盗み見て、認証情報を手に入れるマルウェアもあります。

問3　検知の方式

未知のマルウェアにも対応したい。検知の方式の説明として最も適切なものはどれか。

• ア：パターンマッチング方式は、未知のマルウェアも確実に検知できる

• イ：振る舞い検知は未知のマルウェアも検知できる可能性があるが、正規の操作を誤って検知することがある

• ウ：サンドボックスで何も起きなければ、そのファイルは安全である

• エ：コンペア法は、新しく置かれたファイルの感染も検知できる

正解：イ。方式ごとに得意と限界があるので、組み合わせて使います。ウは、解析環境を見抜いて動作を控えるマルウェアを見逃します。

問4　持出しの防止

マルウェアが、利用者の権限で読めるファイルを圧縮し、外部へ送信していた。再発を防ぐ対策として最も適切なものはどれか。

• ア：ファイルサーバのアクセス権を最小限にする

• イ：利用者認証を多要素認証にする

• ウ：DLPを導入し、重要なファイルの外部への送信を検知・制限する

• エ：定義ファイルの更新間隔を短くする

正解：ウ。マルウェアは特別な権限なしに、利用者が読めるファイルを持ち出しています。アでは、利用者が業務で読めるファイルの持出しは止まりません。

問5　ランサムウェアとバックアップ

ランサムウェアに感染し、共有フォルダのファイルと、同じ共有フォルダに置いていたバックアップが暗号化された。最も適切な改善はどれか。

• ア：バックアップの取得回数を増やす

• イ：バックアップを、ランサムウェアが書き込めない場所（ネットワークから切り離した媒体など）に保管する

• ウ：共有フォルダの名前を変える

• エ：身代金を支払う手順を決めておく

正解：イ。利用者の端末から書き込める場所のバックアップは、一緒に暗号化されます。アでは、増やしたバックアップも同じように暗号化されます。

実務と国・自治体では

実務では、マルウェア対策を「対策ソフトの導入」で終えがちです。仕様書に「ウイルス対策ソフトを導入すること」と書いても、更新が全端末に届いているか、警告を誰が読み、夜間に誰が隔離を判断するか、委託先の監視がどこまでを受け持つかは決まりません。導入台数と稼働中の端末を突き合わせる、対策ソフトを入れられない機器の代わりの対策を決める、警告の受付から隔離の完了の確認までを訓練する、といった運用まで含めて調達します。

政府機関等の統一基準は、サーバ・端末への対策ソフトウェアの導入、想定される感染経路全体への対策、対策の状況の把握を求めています。自治体向けのガイドラインも、対策ソフトの常駐と更新、設定変更の権限、感染が疑われる場合の初動の手順を例文で示しています。資料の位置付けは支援士解説1の1で整理しています。

まとめ

• 攻撃は段階で読む。 キルチェーンは「どこで止めるか」、ATT&CKは「観測した行動が何を狙ったか」。午後の中心は、C&C通信・永続化・認証情報の窃取・横展開・持出しといった侵入後の動き。

• 1台で見つけた動作を分解し、痕跡をほかの端末で探す。 どの動作がどのログに残るかを答えられるようにする。

• 入口は破られる前提で、出口を絞る。 プロキシ経由に限定し、URLを絞り、送信のサイズを記録し、DLPで持出しを止める。

• 検知の方式には得意と限界がある。 パターンは既知に強く未知に弱い。振る舞いは未知にも効くが誤検知が増える。暗号化された添付ファイルは、そのままではメールの段階で検査できない。

• EDRは、警告を受けて動く運用まで決めて初めて効く。 何を検知したら何をするかまで書く。

• 内部と名前解決も出口・通り道になる。 ワームには端末同士の通信の禁止、DNSの悪用には外部への直接の問合せの禁止で備える。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• マルウェアの手口とランサムウェアの動向を、事例とともに詳しく学べる

関連記事

• 前提：ネットワークを分ければ安全になる？｜支援士解説3の5（メールの送信者認証・ファイアウォール・プロキシ）

• 次に読む：ログを取るだけで攻撃に気付ける？｜支援士解説3の4（痕跡の読み方）

• 次に読む：インシデントから復旧したら、もう安全？｜支援士解説4の3（封じ込め・根絶・復旧）

• あわせて読む：バックアップがあれば業務は戻る？｜支援士解説3の3（ランサムウェアに備えるバックアップ）

2026年10月改訂：午後の出題例と記述の型を加え、攻撃の段階（キルチェーン・ATT&CK）、侵入後の動き、標的型メールとビジネスメール詐欺、出口対策、ランサムウェアの節を新設し、初動と復旧の詳細は支援士解説4の3へ移して、構成を見直しました。