Question 1

コンピュータウイルスとワームの違いに関する説明として、最も適切なものはどれか。

Accepted Answer

ワームは他のプログラムに寄生せず単体で自己増殖し感染を広げる。【解説】ワームは他のファイルやプログラムに寄生することなく、単体のプログラムとしてネットワークなどを介して自己増殖し、他のコンピュータへ次々と感染を広げる性質を持つ。これに対しウイルスは、他のプログラムやファイルに寄生(感染)する形で存在し、そのファイルが実行されることで動作・増殖する点が異なる。【他の選択肢が不適切な理由】身代金を要求する機能はランサムウェアに特有のものであり、ウイルス全般が備える機能ではない。ワームの感染経路はメール添付ファイルに限らず、ネットワークの脆弱性を突いた侵入や外部記憶媒体を介した感染など多様である。ウイルスは他のプログラムに寄生する形で増殖する性質を持つため、「自己増殖する能力を一切持たない」という記述は誤りである。

Question 2

トロイの木馬(トロイ)と呼ばれるマルウェアの特徴として、最も適切なものはどれか。

Accepted Answer

正規のソフトウェアを装って侵入し不正な機能を実行するが自己増殖しない。【解説】トロイの木馬は、便利なツールや正規のアプリケーションを装ってユーザーに実行させ、内部にバックドアの設置や情報の窃取といった不正な機能を隠し持つマルウェアである。ウイルスやワームと異なり、自己増殖(他のファイルへの感染拡大)を行わない点が特徴である。【他の選択肢が不適切な理由】「ネットワーク経由で自律的に感染を拡大する」のはワームの特徴である。「ファイルを暗号化して金銭を要求する」のはランサムウェアの特徴である。「キーボード入力を記録して送信する」機能はキーロガーと呼ばれるスパイウェアの一種の機能であり、トロイの木馬全般に共通する定義ではない。

Question 3

ランサムウェアの典型的な攻撃の挙動として、最も適切なものはどれか。

Accepted Answer

感染端末や共有フォルダの情報を暗号化し、復号と引換えに金銭を要求する。【解説】ランサムウェアは、感染したコンピュータ内のファイルやネットワーク上の共有フォルダのデータを暗号化し、復号のためのキーを提供する対価として金銭(身代金)を要求するマルウェアである。近年は、窃取したデータを暴露すると脅す「二重恐喝」の手口を併用する事例も一般化している。【他の選択肢が不適切な理由】感染端末のCPUを不正に使用して暗号資産のマイニングを行うマルウェアはクリプトジャッキングと呼ばれ、ランサムウェアとは目的が異なる。カメラを乗っ取る盗撮特化型や、広告表示の書き換えに特化したアドウェア的な挙動も、ランサムウェアの典型的な挙動とはいえない。

Question 4

近年のランサムウェア攻撃で一般化している「二重恐喝」と呼ばれる手口の説明として、最も適切なものはどれか。

Accepted Answer

データを暗号化するだけでなく、窃取済みの情報公開も脅して金銭を要求する。【解説】二重恐喝(ダブルエクストーション)とは、ランサムウェア攻撃者がファイルを暗号化して復旧を妨げるだけでなく、暗号化前にデータを窃取しておき、身代金の支払いに応じない場合はその情報をインターネット上に公開すると脅す手口である。バックアップから復旧できる被害者に対しても、情報漏えいという別の圧力をかけられる点が特徴である。【他の選択肢が不適切な理由】「同じ手口で二回目の攻撃を仕掛ける」ことや「二種類のランサムウェアを同時に感染させる」こと、「身代金を分割払いにする」ことは、いずれも二重恐喝の一般的な定義とは異なる。二重恐喝の要点は「暗号化」と「情報公開の脅迫」という2種類の圧力を組み合わせる点にある。

Question 5

多数のマルウェア感染端末(ボット)が攻撃者の指令サーバからの命令で一斉に不正な動作を行う仕組みに関する説明として、最も適切なものはどれか。

Accepted Answer

ボットに感染した端末群がC&Cサーバの指令で、一斉にDDoS攻撃やスパム送信を行う。【解説】ボット(Bot)に感染した多数の端末は、攻撃者が用意するC&Cサーバ(Command and Controlサーバ)からの指令を受け取り、遠隔操作によってDDoS攻撃への加担やスパムメールの大量送信、他端末への感染拡大などを一斉に行う。こうした感染端末群をボットネットと呼ぶ。【他の選択肢が不適切な理由】USBメモリのファイルを開くだけでハードディスクが物理的に破壊される挙動はボットネットの一般的な仕組みではない。身代金要求メッセージの一度限りの表示はランサムウェアの一部の挙動であり、遠隔からの一斉指令という特徴とは異なる。検索エンジン設定の書き換えのみを行うものはブラウザハイジャッカーの一種であり、C&Cサーバによる遠隔一斉操作とは仕組みが異なる。

Question 6

近年被害が増加している「ファイルレスマルウェア」の特徴として、最も適切なものはどれか。

Accepted Answer

PowerShellなどを悪用し、実行ファイルをほとんど残さず動作する。【解説】ファイルレスマルウェアは、PowerShellやWMIといったOSに標準搭載された正規のツールやメモリ上の処理を悪用して動作するため、ディスク上に不正な実行ファイルをほとんど残さない。従来のパターンファイル(シグネチャ)照合によるウイルス対策ソフトでは検知が難しく、近年の標的型攻撃で多用されている。【他の選択肢が不適切な理由】ファイルレスマルウェアはあくまでコンピュータ上で動作するソフトウェア的な脅威であり、「紙の書類として拡散する」という説明は成り立たない。感染経路はメール添付に限らず、Webサイト経由や脆弱性の悪用など多様である。ハードウェア部品に組み込まれたウイルスという説明も、ファイルレスマルウェアの一般的な定義とは異なる。

Question 7

組織がランサムウェアに感染する主な侵入経路として、近年特に多いと指摘されているものはどれか。

Accepted Answer

VPN機器やリモートデスクトップの脆弱性を悪用した侵入。【解説】近年のランサムウェア被害では、テレワーク等で利用されるVPN機器やリモートデスクトップ(RDP)の脆弱性を突いた侵入や、推測されやすいパスワードなど脆弱な認証情報を悪用した不正アクセスが主要な侵入経路として指摘されている。フィッシングメールの添付ファイルやリンクからの感染と並び、対策の優先度が高い経路である。【他の選択肢が不適切な理由】紙の新聞・雑誌や印刷用紙の種類は情報システムへの侵入経路とは無関係である。物理的な不法侵入もランサムウェア感染の一因になり得なくはないが、「のみ」と限定する記述は、実際に多発しているネットワーク経由の侵入という実態と一致しない。

Question 8

Microsoft Officeの文書ファイルに埋め込まれたマクロ機能を悪用して感染を広げるマルウェアの説明として、最も適切なものはどれか。

Accepted Answer

文書を開いた利用者にマクロの有効化を促し、実行されると不正処理を行う。【解説】いわゆるマクロウイルスは、文書ファイルに埋め込んだマクロ(自動処理を行うプログラム)を悪用し、利用者に「コンテンツの有効化」等の操作でマクロを有効化させることで、外部から不正なプログラムをダウンロード・実行させる手口をとる。業務でよく開かれる請求書や履歴書を装った文書ファイルが悪用されることが多い。【他の選択肢が不適切な理由】拡張子の書き換えやディスプレイ解像度の変更、プリンタのファームウェア書き換えといった挙動は、マクロを悪用した感染手口の典型的な説明とは異なる。マクロウイルスの本質は「利用者にマクロを有効化させ、不正なコードを実行させる」点にある。

Question 9

スパイウェアと呼ばれるマルウェアの特徴として、最も適切なものはどれか。

Accepted Answer

利用者に気付かれないよう動作し、閲覧履歴や入力情報などを収集して外部へ送信する。【解説】スパイウェアは、利用者に気付かれないよう水面下で動作し、Webの閲覧履歴やキーボードの入力内容、保存されている個人情報などを収集して外部の攻撃者へ送信するマルウェアである。情報の窃取自体を目的とするため、存在を隠すことが挙動上の特徴となる。【他の選択肢が不適切な理由】警告音を鳴らして存在を積極的に知らせる挙動は、スパイウェアの「気付かれないように動作する」という特徴と矛盾する。ファイルを暗号化して金銭を要求することはランサムウェアの主目的である。記憶媒体を物理的に破壊する機能は、スパイウェアの一般的な定義には含まれない。

Question 10

組織のランサムウェア対策として最も有効とされる、バックアップの取得方法に関する記述として、最も適切なものはどれか。

Accepted Answer

本番環境から隔離された媒体やクラウドにも定期的にバックアップを保管する。【解説】ランサムウェアは接続されているネットワークドライブや共有フォルダも暗号化の対象にすることがあるため、バックアップは本番環境のネットワークから物理的又は論理的に隔離された媒体やオフラインの場所、あるいは適切にアクセス制御されたクラウドストレージにも定期的に保管することが有効な対策とされる。【他の選択肢が不適切な理由】本番環境と同一のディスクに上書き保存するだけでは、ランサムウェアに感染した際にバックアップごと暗号化されてしまうおそれがある。バックアップを一度取得しただけで更新しなければ、感染時に古いデータしか復旧できない。バックアップデータを平文のまま保管することは、盗難や不正アクセスによる情報漏えいのリスクを高めるため適切ではない。

サイバー攻撃の手口(マルウェア・ランサムウェア)の一問一答