Question 1

ウイルス対策ソフトにおける「パターンマッチング(シグネチャ)方式」の説明として、最も適切なものはどれか。

Accepted Answer

既知マルウェアの特徴的なコードパターンをデータベースと照合し、一致したものを検知する方式。【解説】パターンマッチング(シグネチャ)方式は、既知のマルウェアが持つ特徴的なコード列(シグネチャ)をあらかじめデータベース化しておき、検査対象のファイルと照合して一致すれば検知する方式である。定義ファイル(パターンファイル)を最新に保つことが検知精度を左右する。【他の選択肢が不適切な理由】暗号化による通信保護は盗聴・改ざん対策であり検知方式ではない。仮想環境での挙動観察はビヘイビア(ふるまい)検知方式の説明である。統計的なベースラインからの逸脱検出はアノマリ型の異常検知の考え方であり、シグネチャ方式とは別の仕組みである。

Question 2

「EDR(Endpoint Detection and Response)」の役割として、最も適切なものはどれか。

Accepted Answer

端末上の不審な挙動を継続的に監視・記録し、侵入後の検知・調査・対応を支援する仕組み。【解説】EDRは、侵入を100%防ぐことは不可能という前提に立ち、端末(エンドポイント)上のプロセス実行やファイル操作等の挙動を常時監視・記録し、不審な兆候を検知した際に調査(フォレンジック)や封じ込め・復旧を支援する仕組みである。侵入されることを前提とした事後対応(検知・対応)に主眼がある点が、侵入防止に主眼を置く従来型のアンチウイルス(EPP)と異なる。【他の選択肢が不適切な理由】メールサーバー上での添付ファイル隔離はメールゲートウェイのウイルス対策の説明である。境界での既知パターン遮断は従来型のアンチウイルスやIPSの考え方に近く、EDRの中心的な役割ではない。複数拠点の通信経路を一元制御する機能はSD-WANやVPN集約装置の説明であり、EDRとは無関係である。

Question 3

ランサムウェア感染によるデータ喪失に備えるバックアップ運用として、最も適切なものはどれか。

Accepted Answer

一部をネットワークから切り離した媒体やオフラインの場所に世代管理して保管する。【解説】ランサムウェアは接続されている共有フォルダやネットワークドライブ上のバックアップまで暗号化してしまうことが多い。そのため、バックアップの一部をネットワークから切り離した(オフライン・エアギャップの)媒体や場所に複数世代保管し、感染の影響を受けない状態を確保しておくことが重要である。世代を分けて保管することで、感染に気づく前の古い世代から復旧できる可能性も高まる。【他の選択肢が不適切な理由】本番と同一ネットワーク上に常時接続したバックアップは、ランサムウェアに一緒に暗号化される危険が高い。取得頻度を減らし世代を早期に削除すると、復旧できる時点の選択肢が狭まり被害が拡大しやすい。バックアップを平文で保存すると、バックアップ自体の窃取や不正利用のリスクが高まるため、暗号化と適切なアクセス制御が必要である。

Question 4

マルウェア対策における「許可リスト(ホワイトリスト)方式」のアプリケーション制御の説明として、最も適切なものはどれか。

Accepted Answer

実行を許可するアプリケーションを定義し、それ以外の実行を原則禁止する方式。【解説】許可リスト(ホワイトリスト)方式は、業務上必要と判断したアプリケーションだけをあらかじめ登録し、それ以外の実行を原則として禁止する制御方式である。未知のマルウェアや許可されていない不正なプログラムは、シグネチャの有無にかかわらず実行できないため、シグネチャ型対策をすり抜ける未知の脅威にも有効である。【他の選択肢が不適切な理由】危険なものだけを列挙し他を許可するのは、許可リスト方式とは逆の「拒否リスト(ブラックリスト)方式」の説明である。通信の暗号化は許可リスト方式そのものの機能ではない。脆弱性情報の収集と自動パッチ適用はパッチ管理の説明であり、実行制御の方式とは別の対策である。

Question 5

マルウェア対策としての「サンドボックス」の役割の説明として、最も適切なものはどれか。

Accepted Answer

隔離された仮想環境で検体を実際に動作させ、挙動から悪性か否かを判定する仕組み。【解説】サンドボックスは、実運用環境から隔離された仮想的な実行環境であり、疑わしい検体(ファイルやプログラム)を実際にその中で動作させ、ファイル作成・通信・レジストリ変更などの挙動を観察することで、シグネチャに登録されていない未知のマルウェアであっても悪性かどうかを判定できる。標的型攻撃メールの添付ファイル検査等で広く利用される。【他の選択肢が不適切な理由】パケットヘッダとシグネチャの突き合わせはIDS/IPSのパターンマッチングの説明である。パスワードの一方向変換はハッシュ化の説明であり、マルウェア検知とは無関係である。拠点間の暗号化トンネルはVPNの説明であり、サンドボックスの機能ではない。

Question 6

正規のOS標準ツール(PowerShell等)を悪用し、ディスク上に実行ファイルを残さずに活動する「ファイルレスマルウェア」への対策として、最も適切なものはどれか。

Accepted Answer

プロセスの挙動監視や不審なコマンド実行の検知など、ふるまい監視を組み合わせる。【解説】ファイルレスマルウェアはディスク上に実行ファイルを残さずメモリ上やOS標準ツールを悪用して活動するため、ファイルのハッシュ値照合を中心とする従来型の検知をすり抜けやすい。EDR等によるプロセスの挙動監視や、不審なスクリプト・コマンド実行の検知といったふるまいベースの監視を組み合わせることが有効な対策となる。【他の選択肢が不適切な理由】ファイルレス攻撃は実行ファイル自体を残さないため、ハッシュ値照合だけでは検知できない。添付ファイルへの注意喚起は有効な対策の一つだが、正規ツールの悪用や他の侵入経路には対応できず、それのみで完結しない。インターネット遮断は業務継続を著しく損ない、現実的な対策として採用できる場面は限られる。

Question 7

修正パッチがまだ提供されていない脆弱性を悪用する「ゼロデイ攻撃」への備えとして、最も適切な考え方はどれか。

Accepted Answer

単一の対策に頼らず、入口対策・内部対策・出口対策を組み合わせた多層防御で被害を抑える。【解説】ゼロデイ攻撃は修正パッチが存在しない段階で悪用されるため、パターンマッチングやパッチ適用といった単一の対策だけでは防ぎきれない。ファイアウォールやIPSによる入口対策、ネットワークの内部分割やEDRによる内部対策、不審な通信の監視・遮断による出口対策を組み合わせる多層防御の考え方により、侵入や被害の拡大を段階的に抑えることが重要である。【他の選択肢が不適切な理由】パッチ公開まで無対策で待つのはリスクを放置することになる。定義ファイルの更新は既知の脅威への対策であり、未知の脆弱性を突くゼロデイ攻撃には効果が乏しい。ゼロデイ攻撃は定義上「未知」の脆弱性を突くものであり、既知の脆弱性のみを想定した対策では不十分である。

Question 8

従業員が私物のUSBメモリを業務端末に接続することで生じるマルウェア感染リスクへの組織的対策として、最も適切なものはどれか。

Accepted Answer

自動実行機能を無効化し、外部記憶媒体の利用制限や接続時のスキャンを制度化する。【解説】USBメモリ経由の感染は、接続時にOSが自動的にプログラムを実行する自動実行(オートラン)機能の悪用や、事前に仕込まれたマルウェアの実行によって起こる。組織的な対策としては、自動実行機能の無効化に加え、USBメモリなど外部記憶媒体の利用そのものを制限したり、接続時のウイルススキャンを必須とする運用ルールを定めることが有効である。【他の選択肢が不適切な理由】ウイルス対策ソフトの適用範囲をネットワーク接続機器のみに限定し外部記憶媒体を対象外とすると、USBメモリ経由で持ち込まれるマルウェアを検知できなくなる。私物のUSBメモリの持ち込みを推奨することは、むしろ管理外の媒体を増やしリスクを高める。接続ログを取得しない運用では、感染経路の特定や不正利用の抑止ができず、事後対応にも支障が生じる。

Question 9

マルウェア対策における「ヒューリスティック検知」の特徴として、最も適切なものはどれか。

Accepted Answer

命令の構造的特徴から不審さを推定するため、未知の亜種も検知しうるが誤検知もありうる。【解説】ヒューリスティック検知は、プログラムのコード構造や命令の並びといった特徴から、既知のシグネチャに一致しなくても「マルウェアらしさ」を統計的・経験的なルールで推定して判定する方式である。シグネチャ未登録の亜種や新種のマルウェアも検知できる可能性がある一方、正常なプログラムを誤ってマルウェアと判定する誤検知(過検知)が発生しうる点が特徴である。【他の選択肢が不適切な理由】既知パターンとの完全一致のみで判定するのはシグネチャ方式の説明であり、ヒューリスティック検知の特徴ではない。ポート番号だけで通信可否を判断するのはパケットフィルタリング型ファイアウォールの説明である。操作ログを手作業で確認する運用はログ監視の一形態であり、ヒューリスティック検知の自動判定とは異なる。

Question 10

組織の全端末を対象とした脆弱性・パッチ管理を効率的に行う仕組みの説明として、最も適切なものはどれか。

Accepted Answer

資産管理ツールで構成を把握し、配信サーバーから一括配布して適用状況を管理する。【解説】組織規模で脆弱性・パッチ管理を効率的に行うには、資産管理ツールで端末上のOS・ソフトウェアの構成やバージョンを一元的に把握したうえで、社内の配信サーバー(パッチ配信システム)から修正プログラムを計画的に一括配布し、適用状況を管理・監査できる仕組みが有効である。検証環境での事前テストを経てから展開することで、業務影響を抑えつつ迅速に対応できる。【他の選択肢が不適切な理由】適用要否を従業員個人の判断に委ねると、未適用の端末が放置され組織全体の脆弱性対応にばらつきが生じる。パッチ適用を恒久的に停止すると、既知の脆弱性が放置され攻撃を受けるリスクが高いままになる。ウイルス定義ファイルの更新とOS・アプリケーションの修正プログラム適用は別物であり、後者を対象外にすると重大な脆弱性が残存する。

マルウェア対策とエンドポイントセキュリティの一問一答