令和6年度 秋期 午前Ⅱ 問25

✓ これが正解ウ自社の Web サーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。

解説

使っているソフトウェアの脆弱性を確かめ、回避策か修正を適用します。

実証コード（PoC）は、ある脆弱性が実際に悪用できることを示すためのプログラムです。それが公開されると、高い技術を持たない攻撃者でも同じ脆弱性を狙えるようになり、修正していない Web サーバは侵害される危険が高まります。侵害を未然に防ぐには、攻撃が突く脆弱性そのものをふさぐことが最も効果があります。自社の Web サーバで使っているソフトウェアの脆弱性情報を確かめ、脆弱性修正プログラムを適用するか、すぐに適用できなければワークアラウンドで攻撃を回避します。見分ける軸は、対策が侵入を防ぐ前の手当てか、起きた後に気づくための監視か、攻撃と関係の薄い対策かです。原因の脆弱性をふさぐ対策を選ぶ、と覚えておくと判断できます。

ほかの選択肢はなぜ違うのか

• アJIS Q 27001:2023 で規定…：採用時に適格性を厳格に確かめるのは、内部の人による秘密情報の持ち出しを防ぐための人的な管理策です。インターネットから脆弱性を突いてくる外部の攻撃には効かず、侵害を防ぐ対策になりません。
• イSNS サイトやダークウェブを巡回し，自…：SNS やダークウェブを巡回して情報の売買を確かめるのは、情報が漏れた後に気づくための活動です。公開された実証コードによる攻撃そのものを止める働きはなく、侵害を未然に防ぐ対策にはなりません。
• エファイアウォールを用いて外部との通信を記…：ファイアウォールで通信を記録し、不審な宛先への通信を調べるのは、侵害された後の兆候を見つけるための監視です。脆弱性を突いた侵入を事前に防ぐものではないので、未然に防ぐ対策としては効果が劣ります。