【登録セキスペ】令和4年度秋期午後2問2の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和4年度秋期午後2問2」の解説をします。

模範解答に至る道は勿論。粘り方・別解・部分点の範囲・今後の試験に備えた補強など、専門学校で授業しきれなかった部分も全て詰め込んでます。

6割は切らない問題でした。更に作文（設問1）や発想（設問
3, 6no）に粘れれば、点数が伸びた方もいらしたと思います。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※午後2は午後1の解法スキルを前提としています。必ず午後1の演習を充分やってから、体力作りに午後2に取り組んでください。

※新SCは午後1本化された令和5年秋以降を指します。
＞【SC：92, 86, 97点の学習ノート】ガチ勢の登録セキスペ合格勉強法

設問1下線①

模範解答は「メールフォルダ内のファイルが読み込まれた」

下線①は、マルウェアαによるファイル操作イベント。

マルウェアαの概要は16頁頭から。4番目「マルウェアαは、起動すると、PC上のメールフォルダにある電子メール～を読み出して～」。

次。設問文で「検知するための単純ルール」を問われています。

単純ルールは、17頁図2。「一つのイベント内の各イベントの情報を条件として～」。なんか難しいですが、「イベント」を理解せねば。

イベントは、17頁表3。イベント操作に「ファイル操作」あり。さらに「イベントの情報」項目に「プロセス名, 操作種別～」など。

単純ルールの「一つのイベント内の各イベントの情報を条件として～」の「イベントの情報」が分かりました。

表3「ファイル操作」の、イベント情報の操作種別「読み込み」に、図2単純ルールの「値が一致する/しない」、のように検知ルールを組み立てればOK。

これで一応、模範解答は理解できます。「メールフォルダ内のファイルが読み込まれた」

模範解答では、表3の「操作されたファイルのパス」と「操作種別」の2条件で書いてます。図2単純ルールに「イベントの情報を条件として複数組み合わせて指定できる」とあるため可能です

文字数制限/解答形式がナンセンス

設問で「検知するための単純ルール」が問われているのだから、図2と表3を踏まえた書き方をしたいです。

作文。今回の動作「マルウェアαは、起動すると、PC上のメールフォルダにある電子メール～を読み出して～」でした。

表3-1「ファイル操作」の「イベントの情報」を条件に、図2の「単純ルール」を考えます。

• プロセス名：不明

• 操作種別：読込み

• ファイルのパス名：厳密ではないけど「PCのメールフォルダ」

• ファイルサイズ：不明。メールによって変わるので検知条件にするのは現実的じゃないかも。上限値を決めるのはアリ。

• タイムスタンプ：指定できず。

• 種別：明記なし。メールソフトのファイル形式が記述されてるならアリかも。

以上より、2つの条件で単純ルールを組み立てます。

作文。まずは、表3と図2の言葉を厳密に使って書きます。

「ファイルパスがPC上のメールフォルダにある電子メールファイルについて、ファイル操作イベントの操作種別が読込みに値が一致する」61文字。30文字から大幅オーバー。

「パス名がメールフォルダ内のファイルへの、ファイル操作イベントの操作種別が読込みに値が一致する」46文字。無理。ルールに沿った記述を崩すしか…。

「メールフォルダ内のファイルへの、操作種別が読込みである」27文字。下線①に「ファイル操作イベント」と書いてるので、イベント種別もカット。

図2の単純ルールの読み取りが難しかったですね。個人的には作文解答ではなく、設定値を表or項目で書く系統が良かったと思います。

設問1下線② | サービス=プロトコルかい

模範解答は「HTTPでファイルがアップロードされた」

下線②は、マルウェアαのネットワーク動作。

再度16頁頭。ネットワーク動作に該当したのは4番目「マルウェアαは～攻撃者が用意したWebサーバにアップロードする」。

表3の2番目「ネットワーク動作」の、どの条件で検知するか。

• IPアドレス, URLは、16頁に明記なかったので判断できず。

• サービスは、HTTP。16頁にWebサーバと書かれていたのが根拠でしょう多分。無理ゲー発想。

• 通信の方向：外部へ。
  ※アップロードは「動作種別」で扱う

• 通信データのサイズ：メール本文の長さによるから指定できないかなぁ。

• 動作種別：ファイルのアップロード

• アップorダウンされたファイルサイズ：通信データと同じく指定できないかなぁ。

模範解答「HTTPでファイルがアップロードされた」は、「サービス」と「動作種別」からかぁ。

「通信プロトコル」の方が良いですね。せめて表3に「サービス（FTP, HTTPなど）」みたいに例示して欲しいかな。

サービスでHTTPって発想しないかなぁ。FWルールでたまに見たます。
＞令和3年秋午後1問3設問2(1)の解説Note
＞平成26年秋午後1問3設問3(1)の解説Note

私はHTTPには気づきませんでした。「インターネットにファイルのアップロードがあった」23文字。「通信の方向」と「動作種別」を組み込みました。

また「メールフォルダ内ファイルがインターネットにアップロードされた」30文字。「ネットワーク動作」の「イベント情報」に「ファイルパス」は含まれてませんが、書いちゃうかな。

設問2(1)abcde | 3台とも感染する経緯を

模範解答は
a：15:03
b：PC1
c：file1.v
d：file2.v
※個人的にはN:￥:file2.vにしたい
e：PC2

解き筋は色々ありますが、私はPC1の感染チャンスが少ないので、PC1のUSB感染から考えました。同時刻で横揃ってないので、時刻を確認しながら前後関係を考えるのが注意点。

PC2の方がUSB接続が速いので、PC2を感染源にして考えても良いです。でもPC1の感染タイミングに間に合いません。

PC3が感染源でも、PC1感染に間に合いません。

個人的には解答d「file2.v」は、「N:￥file2.v」って書きたいですね。file2.vがCドライブにあるかもですし、ファイルサーバ内だと明記したいです。×になるかは微妙。×にならないと信じたい。

設問文に「ファイル名又はPC名」と明記あり。「ファイルパス」って書いてて欲しかったなぁ。パスは、Webサーバ, Linux, 隠しファイルも含めてちょいちょい出た実績があります。
＞令和5年秋午後問3の解説Note
＞令和4年春午後1問2の解説Note
＞令和元年秋午後1問2の解説Note
＞平成28年春午後1問2の解説Note

設問2(2) | 感染ファイルが開かれたら感染チャンス