マルウェアの試験問題への適用

この単元で学ぶこと

• マルウェアの性質と被害を分類する
• 侵入を減らす対策と検知・復旧を分ける
• 不審な事象の初動対応を判断する
• 復旧後の再発防止に必要な確認を説明する

本文解説

便利なアプリの裏側 変換アプリが期待どおり動く一方で、裏で情報を送っていたとします。表の機能が動くことは安全性の証明になりません。見かけにだまされて実行する特徴はトロイの木馬、秘密裏の収集はスパイウェアの観点で整理できます。自己複製や他プログラムへの感染が示されないのに、ワームやウイルスだけと断定しないようにします。

被害の目的と広がり方 自己複製してネットワークを通じて広がり、ファイルを暗号化して金銭を要求するなら、拡散方法と目的という二つの観点を持ちます。分類名が一つに決まらないから矛盾するわけではありません。暗号化に加えて外部送信の記録もあれば、業務復旧と情報流出の調査を分けて進めます。

不審な添付と別の入口 取引先を名乗るメールに保護機能の解除を求められても、表示名だけで信用せず、既知の連絡先等で確認します。他方、添付を開いていないサーバーでも公開機器の未修正の脆弱性から侵害される可能性があります。人の注意とソフトウェア・機器の更新は、異なる入口への対策です。

未検知なのに不審な通信がある 検知ソフトが警告していなくても、不審な外部通信や未知のプロセスがあれば担当者へ報告します。その検査で見つからなかったことと、感染がないことを同一視しません。一方、ブラウザ上の突然の感染警告も証明ではなく、偽警告やサポート詐欺を疑い、表示された連絡先や遠隔操作の要求を安易に信用しません。

初動と証拠の両立 組織の手順に沿い、時刻や状況を伝えて、隔離等の被害拡大防止につなげます。疑わしいファイルを同僚へ配って実行させると拡大を招きます。また独断でログを削除して再インストールすると、侵入経路や影響範囲の手掛かりが失われ得ます。電源や業務への影響を踏まえ、担当者と保全・復旧の順序を調整します。

複製があっても戻せない場合 同じアカウントで常時書込み可能な共有フォルダーへの複製は、同じ権限で改変されるかもしれません。名前の違いだけでは保護になりません。隔離や変更制限等を使い、世代管理と復元試験を組み合わせます。試験では本番の原本を不用意に消さず、安全な環境でデータや必要な鍵・手順を確かめます。

復元後に残る課題 ファイルだけ戻して未修正の脆弱性を放置すれば、同じ入口から再侵害される可能性があります。認証情報の窃取が疑われるなら、端末を隔離しただけで盗まれた秘密や既存セッションが無効になるとは考えません。担当部署が安全な端末から、影響に応じた変更や失効を行います。

業務再開の判定 侵入原因の対策、侵害範囲と漏えいへの対応、クリーンな環境、復元結果を確認して再開を判断します。通常業務に不要な管理者権限も見直し、被害の範囲を抑えます。ただし一般利用者の権限でもデータに影響し得るため権限縮小だけで完了とはしません。再開後の監視と手順改善まで記録します。

図解

重要ポイント

• 分類は拡散方法・見せ方・被害目的という観点で整理する。
• 更新・検知・権限制限・バックアップを役割で分けて組み合わせる。
• 疑いの段階で報告し、証拠保全と拡大防止を調整する。
• ファイル復元と漏えい調査・原因除去は別に必要。

間違えやすい点

• 未検知を安全の証明にしない。
• 同時に改変可能な複製だけで復旧を保証しない。
• 警告を消すために証拠を削除しない。

用語解説

マルウェア

情報窃取・破壊等の不正な動作を目的とする悪意あるソフトウェア等の総称。

ワーム

自己複製し、ネットワーク等を通じて拡散する性質を持つマルウェア。

トロイの木馬

有用なもの等に見せかけて実行させ、隠れた不正処理を行うプログラム。

ランサムウェア

暗号化等でデータやシステムの利用を妨げ、復旧等と引換えに金銭を要求するマルウェア。

隔離

侵害が疑われる機器等の通信や利用を制限し、被害拡大を防ぐ処置。

関連教材

• フィッシングを理解する
• マルウェアを理解する
• フィッシングの試験問題への適用