令和3年度 秋期 午後1 問1 セキュリティインシデント

設問1
(1)
・接続先が保守用中継サーバではない(16文字)
SSHにおけるフィンガープリントは、接続先のサーバを特定する為の情報。
この情報が変わった以外で考えられるのは
接続先を誤っている、つまり答えのような状況が考えられる。
フィンガープリントは指紋とも訳せますが
モノ自体はハッシュ関数を用いて生成される文字列みたいです。

(2)
・操作ログの改ざんや削除を防止するため (18文字)
図2の「ログ」の項を確認すると
操作ログへのアクセスには特権利用者の権限が必要～とある
このことから、保守員には一般利用者権限を付することで
ログの改ざん、削除を防止する為であると考えられる。

(3)
・b: 保守PC-A
・c: インターネット
bについて
保守用中継サーバにSSH接続が許可されている送信元について考える
保守用中継サーバに接続するのは保守用PC-A/B/Cのいづれかになるが
このうち、Aだけは固定のプライベートIPアドレスが割り当てられている(図1 注記1)
そのため、保守用PC-Aが適切と思われる
cについて
保守用中継サーバにSSH接続が拒否されている送信元について考える
表1の注1)を見ると
保守PC-B/Cを用いての保守作業の際、指定された時間帯のみ許可するとのこと
図1、図2の内容から、保守用PC-B/Cはスマートフォンのテザリングを用いて
インターネットを経由して保守用中継サーバに接続される
その為のルールと考えられるので、「インターネット」が適切

設問2
(1)
6
保守用中継サーバがインターネットと通信する場合
どのフィルタリングルールに合致するかを考える。
ぱっと見では 1 か 6 のどちらかだがそれぞれを見てみる
項番1 PC-LANからインターネット
保守用中継サーバはDMZのセグメントに属しているので
項番1では引っかからない
項番6 DMZからインターネット
上述の通り、保守用中継サーバはDMZに属している
その為項番6 に合致すると考えられる。

(2)
・6月14日の7時0分から 6月14日の9時30分
前述の通り、保守用PC-B/Cを用いての作業を行う際には
一時的にインターネットから保守用中継サーバへのSSH接続が許可される
今回で言うと、事前申請として「6月14日の7時0分から 6月14日の9時30分 」に作業を行うという申請が出されていた。
つまりこの時間帯はインターネットから保守用中継サーバへのSSH接続が許可されていたということで
第三者が入りこむ隙が出来てしまっていた。
(まぁ傍から見てもこの運用は危ないのでは…と解いている時も思った)

設問3
(1)
・保守員以外が不正に秘密鍵を利用できないようにするため(26文字)
・秘密鍵が盗まれても悪用できないようにするため(22文字)
ここでいう「パスフレーズ」とは秘密鍵を利用する為のパスワードみたいなイメージ
そのパスフレーズを強固なものを設定することで、答えのような効果が得られる。

(2)
d: パスワード認証
SSH接続の認証方式を、現状の「パスワード認証」から「公開鍵認証」に変えるらしいので
「パスワード認証」を無効にすると考えられる。
パスワード認証はIDとパスワードを用いたシンプルな認証
公開鍵認証は
ログインするユーザ(クライアント側)が秘密鍵で署名を作成してサーバに送信
サーバは受け取った署名と、事前に登録しておいた公開鍵で署名を検証する
オッケーだったらログイン成功…という流れ

(3)
e: 秘密鍵
保守用中継サーバーの何かを利用されないように…とのことだが
上述した公開鍵認証の流れで言うクライアント側は保守用中継サーバで
サーバ側は顧客管理サーバに当たる
SSH接続を踏まえ、クライアント側の方で悪用されて困るものは「秘密鍵」となる

(4)
f: 送信元IPアドレスを固定にする
保守用PC-B/Cは作業の際にテザリングでインターネットを経由するので
グローバルIPアドレスが固定化されない
しかし、保守PC-A同様にIPアドレスを固定化することができれば
フィルタリングルールの項番4の送信元を、保守PC-B/CのグローバルIPアドレスにすることで
保守用中継サーバへの接続をこの2つの保守用PCに制限できる。(Aは項番3で許可)

感想
最初のフィンガプリントがどういうものなのか、を知っていれば満点を狙えそうなくらいには
個人的にはサービス問題だと思いました。
学びとしてはSSH接続の際の認証方式2パターン、だけど語感で初見でも何となく