セキュリティスペシャリスト
問題はIPAからご確認ください。
https://www.ipa.go.jp/shiken/mondai-kaiotu/2021r03.html#aki_sc
答えはIPAの回答例となります。
概要
設問１
表３のrunプロセスを確認するとプロセスIDは「200」とあり、表４でプロセスID「200」を確認すると
宛先はa3.b3.c3.d3なので
答え：a3.b3.c3.d3
設問２
（１）
表３のるんプロセスの親プロセスを確認すると、親プロセスはTソフトの物となりますので
答え：runプロセスの親プロセスがTソフトのプロセスであるから
（２）
ｂの時刻は表5を見ると攻撃者がアクセスしている時刻が解ります
答え ｂ：13:04:32
ｃの時刻は予約サーバからの通信となり、表５でLDAPでクエリを送ってるので表６でLDAPで通信している時間を見ると
答え ｃ：13:05:50
d・e・fは図２の攻撃例の１と表5の内容を合わせます
答え ｄ：a8.b8.c8.d8
答え ｅ：LDAP
答え ｆ：JExp
設問３
（１）
概要を見るとログインしていなくても、ログ出力文字列の中に特定の攻撃文字列が含まれていれば攻撃可能ですので
答え：ログ出力処理する文字列中に攻撃文字列が含まれれば悪用可能だから
（２）
※③は設問３（１）を参照
今回、攻撃されて予約サーバからアクセスしている表６のログの宛先はグローバルIPなのでインターネット側になります。
表２のルールを見ると項番２で予約サーバからインターネットへはALL 許可となっているので、LDAPも出ていけてますが、送信元が会員サーバからのルールはありません。
なので、攻撃はされていたけどFWで止められていたようです
答え：会員サーバからインターネット宛てのLDAP通信が許可されていないから
設問４
ｇは予約サーバですね
ｈは概要を見ると予約サーバは秋日程をSNSアカウントを利用して複数のクラウド上のSNS投稿サーバにHTTPSで投稿しているとなっているので
ｉはその他すべて拒否したいので
答え ｇ：予約サーバ
答え ｈ：ＳＮＳ投稿用のサーバ
答え ｉ：全て
コメント