平成２１年度 春季 午後問題Ⅰ 問２

問２　ソフトウェアの脆弱性に関する次の記述を読んで，設問１～３に答えよ。

B社は，従業員数400名で昨年度の年間売上高が80億円の開始製造業者であり、インターネット上のWeb販売システムにおいて自社製品の販売を行っている。このWeb販売システムの管理は社内のシステム運用部が行っている。Web販売システムの構成を図1に、Web販売システムの概略仕様を図2に示す。

[脆弱性の発見]

B社は情報セキュリティ専門会社からセキュリティ情報の提供を受けている。ある日、Web販売システムの使用中のWebサーバープログラムに脆弱性が発見されたとの情報が提供された。このWebサーバープログラムの脆弱性情報を図3に示す。

[脆弱性の評価]

次は、Webサーバープログラムの脆弱性に関する、システム運用部のP君とQ課長の会話である。

P君　： 当社がWeb販売システムで使用しているWebサーバープロラムに脆弱性が存在することが報告されました。 　 Q課長： まず対処の緊急性を検討しよう。図4にしセム当社の脆弱性評価報告に当てはめると判定結果はどうなるのか。 　 P君　： 私は損害金額の算出が難しい場合の基準を適用し、1."緊急"に相当すると判定しました。 　 　 Q課長： 私も"緊急"と判断する。それに2.図3の脆弱性情報から考えても、攻撃が実際に行われる可能性が高い。早速、対策の検討を開始しよう。運用管理グループリーダーのS君を呼んでくれ。 　 　 〔暫定的対策の検討〕 　 Q課長　： それでは今回の脆弱性についての対策の検討をはじめよう。P君、考えられる対策には何があるのか。 　 P君： 現在、開発元からWebサーバープログラムの修正プログラムが提供されていないので暫定的対策となりますが、POSTメソッドでのアクセスを拒否する方法が考えられます。 　 S君　： Web販売システムでPOSTメソッドのでのアクセスを拒否すると、HTML文書の[a]内に利用者が入力したデータを受け取ることができず、製品の販売ができなくなってしまいます。HTML文書を修正して、POSTメソッドをGETメソッドに書き換えた上でPOSTメソッドでのアクセスを拒否するという対策であれば、製品販売も続けられます。 　 Q課長： いや、GETメソッドを使用するとクエリストリングに利用者が入力して情報が含まれることとなり、POSTメソッドと比較して<ｳ>3.新たな情報漏えいの可能性が生じる。その方法ではなく、Web販売システムに設置してあるIPSに暫定対策として拒否条件を追加することはできないのか。 　 P君： このIPSでは、4.シグネチャをカスタマイズするすることで実現可能だと思われます。 　 S君： IPSによる対策であれば、システム運用上大きな問題はないと思われます。 　 Q課長： それでは、IPSによる暫定的対策を実施することとする。P君はIPSのカスタマイズの準備にかかってくれ。また、修正プログラムの適用が完了するまで、Webアクセスログ、IPSの検出ログの確認頻度を1日3会に増やして、Web販売システムに関する監視を強化することとする。 　 この検討の後、速やかにIPSによる暫定的対策を実施した。 　 　 〔修正プログラムの適用〕 　 　暫定的対策を実施した日から10日後に、P君は、脆弱性に対応する修正プログラムの提供が開始されたことをQ課長に報告した。報告にはS君も同席した。 　 K君　： 該当するPCに設定した通信プロセスモニタのログから，起動していた4.不審な通信プロセス特定でき，それがウイルスであることが分かったので，その実行ファイルを削除しておきました。このPCではウイルス対策ソフトが起動しており，そのパターンファイルの自動更新も設定されていました。検知できないウイルスもあるのですね。 　 P君： Webサーバープログラムの脆弱性に対応する修正プログラムの提供が開始されました。早速、Webサーバーの適用したいと思います。 　 Q課長　： 今回の脆弱性と対策について営業課のT課長に説明したところ、"1週間前に当社の製品がテレビ番組で取り上げられた。その直後から、Web販売システムでの販売が著しく伸びているので、システムを停止されては困る。"との意見が返ってきた。この意見を尊重した上で、適用時期と適用方法について健闘してほしい。 　 P君： しかし、暫定的対策は完全なものとはいえず、速やかに修正プログラムを適用すべきだと考えます。たとえば、夜間など一時的に負荷が軽くなる時間帯を選んで適用作業をしてはいかがでしょうか。 　 S君　： 過去1週間の傾向では、昼間の時間帯はサーバ3台の処理能力がフルに必要なほどほどアクセスが多いのですが、深夜2時から朝8時までの間はアクセスがス8区ないう、サーバ1台でも処置が可能な状態となっています。 　 P君： 修正プログラムの適用に必要な作業時間は、サーバ1台あたり何時間と想定されるでしょうか。 　 S君　： サーバの停止から修正プログラムの適用、再起動まで含めておおよそ30分程度で寒露ゆすると見込まれます。 　 P君　： それでは、図5に示す手順で作業を行えば、Web販売システムを停止させることなく修正プログラムを適用することができるのではないでえしょうか。 　 　 Q課長　： 確かに、この手順であれば修正プログラムの適用が可能だ。5.T課長に修正プログラム適用手順、実施日時を説明した上で速やかに修正プログラムを適用の実施しよう。 　 その後，T課長への説明も済み、図5の手順によって速やかに修正プログラムの適用を実施することになった。その結果、Web販売システムの停止を伴うことなく脆弱性の適用が完了した。