平成２１年度 春季 午後問題Ⅰ 問１

問１　パケットログ解析に関する次の記述を読んで，設問１～３に答えよ。

Ａ社は，従業員数500名の小売業者である。Ａ社では，ネットワークの構築，運用を自社で行っている。ある朝，社内LANからインターネット上のWebページを閲覧しているときの応答が遅いといった苦情が寄せられ，システム管理部門のJ主任と運用担当のK君が調査を行うことになった。

[原因調査と対処]

J主任とK君は、Webページの閲覧状況の確認から始めることにした。

K君　： プラウザでインターネット上のWebページを閲覧しようとすると、図１に示す状態が長く続き，表示までに時間が掛かります。 　 　 J　主任： なるほど，図１中の[a]を見ると，DMZ上のDNsサーバに問題があるようです。当社の社内ネットワークの構成は図２のとおりです。設置してあるパケットモニタの，該当する時間帯のログを解析してみましょう。 　 　 K君　： パケットモニタＹには，DNSクエリとそれに対応するDNSクエリレスポンスが多量に記録されていました。しかし，パケットモニタＺには，DNSクエリを伴わないDNSクエリレスポンスが多量に記録されていました。パケットモニタＺのログを図３に示します。 　 　 J主任： このようなログは，社内LAN上のPCがDNSクエリを送信するときに自身のIPアドレスを[b]のIPアドレスに[c]した場合に記録されます。 　 K君　： 不正なDNSクエリが多量にDMZ上のDNSサーバに送りつけられたことで，Webページを閲覧するときの応答が遅くなったのですね。確かに，すベての社内PCからの名前解決を，DMZ上のDNSサーバが担っていますから。 　 J主任： こういった通信は[d]攻撃と呼ぱれています。至急，不正なパケットを棄却する設定をすべての部門のルータに適用してください。 　 K君　： はい，分かりました。 　 J主任： こうした事象は，ウイルス感染によってよく引き起こされます。今回の事象以外にも，異常な通信が観測される可能性があります。社内LANに接続されているすべての部門のルータにパケットモニタを設置して，原因となっている社内PCを特定してください。 　 K君　： ルータヘの設定が終わり次第，パケットモニタによる調査を開始します。 　 J主任： ところで･図３中の[e]と[f]の記録から･DMZ上のDNSサーバが攻撃の踏み台に利用される危険性があることが分かります。1.DNSサーバの不適切切な設定も修正しておくべきですね。 　 K君　： はい，分かりました。 　 　 〔異常PCの特定〕 　 　K君は社内LANに接続されたすべての部門のルータの配下にパケットモニタを設置して，異常な通信の監視を開始した。 　   　 K君　： 図４がα部門に設置したパケットモニタのログです。 　 J主任： 2.図４中の(Ⅳ)に示した箇所に、通常の車内PCには見られない不振な通信挙動が記録されていますね。これは[g]におけるアドレス探索に見られる特徴です。また，図４中の(VII)に示した箇所にも，不審な通信挙動が記録されていますね。(VII)に示す通信によって，3.通信の異常な偏りが発生します。 　 K君　： なるほど，a1.a2.a3.a4に該当する社内PCが，原因となっているPCですね。 　 J主任： こうした視点で，ほかの部門に設置したパケットモニタのログも確認してみましょう。 　 　 〔異常PCの対処と今後の対策〕 　 　J　主任とK君は，全部門のパケットモニタのログを調べた結果，IPアドレスがa1.a2.a3.a4のログだけに異常が見られたことから，このIPアドレスのPCへの対処を開始した。この対処として，通信プロセス名，実行ファイル名，通信のあて先のIPアドレスとポート番号を記録する通信プロセスモニタを，該当するPCに設定して監視を行った。 　 K君　： 該当するPCに設定した通信プロセスモニタのログから，起動していた4.不審な通信プロセス特定でき，それがウイルスであることが分かったので，その実行ファイルを削除しておきました。このPCではウイルス対策ソフトが起動しており，そのパターンファイルの自動更新も設定されていました。検知できないウイルスもあるのですね。 　 J主任： そのとおりです。昨今，次々と新たなウイルスが作られているので，完全な検知が難しくなっています。 　 K君　： 該当するPCにログインしたまま１日間操作しないで通信状況を監視したところ，DNSパケットだけでなくすべてのTCP/UDPパケットの発信が止まったことを確認しました。 　 J主任： それは変ですね。当社の設定では，操作しないPCでもPCにログインしていれぱ，5.TCP/UDPパケットは自動的に配信されます。hostsファイルが改ざんされているのではないでしょうか。 　 K君　： 図５がhostsファイルです。確かに，ウイルス対策ソフトのパターンファイルの配布サイト情報が追加されているようです。 　 J主任： hostsファイルの改ざん以外にも，ほかの設定ファイルの改ざんや未知のウイルスヘの感染の可能性があります。OSの再インストールで対処してください。 　 K君　： はい，分かりました。 　 　 その後，J　主任とK君は，ウイルスの感染経路を特定し，再発防止策を講じた。