午後Ⅱ解説
問１
設問１（１）
わたしの回答：（○）
ウ、エ
理由：
あまりセキュリティならではの問題でないと思うのでざっくり言ってしまうと、ＰＣをシャットダウン・再起動しても同じ情報が見れるアイオは消去法で消せたため。
設問１（２）a
わたしの回答：（○）
プロキシサーバ
理由：
表１プロキシサーバ「社外のWebサーバへのアクセスを中継する」と書かれていて、アクセスログを取得していると書かれているため。他に悩むとしたら許可ログ・遮断ログも取得しているＦＷ１になるが、プロキシサーバを通らないとＦＷ１に到達できないため選択肢から外れる。
設問１（２）b
わたしの回答：（×）
ＦＷ１
模範解答：
ＤＨＣＰサーバ
解答解説：
表３の順序１「送信元ＩＰアドレスを使用していた不審ＰＣのＭＡＣアドレスを特定した」と書かれているため、ＰＣのＩＰアドレスとＭＡＣアドレスをセットで知っているのはＤＨＣＰサーバだけになる。 ＤＨＣＰサーバとは・・・ＩＰアドレスを自動で振り分けてくれるサーバでＤＨＣＰサーバ内には払い出したＩＰアドレスとＭＡＣアドレスのセットを保持している。
設問２（１）
わたしの回答：（○）
被疑サーバのＦＱＤＮ
理由：
サーバ証明書は、通信相手のサーバが怪しいサーバでないことを証明するものなので、被疑サーバがわたし怪しいものじゃないです！ということを証明したいために第三者機関に発行してもらうものである。なので、サーバを証明する「サーバ証明書」なのでいずれかのサーバを回答に書かないとおかしくて、更に通信相手のサーバ（いまは被疑サーバ）が回答になります。
設問２（２）
わたしの回答：（○）
中継サーバ１
理由：
図６（２）「被疑ＰＣと中継サーバ１間の通信路が確立する」と書いてあるため
設問２（３）
わたしの回答：（×）
ホワイトリストに被疑サーバのＦＱＤＮを設定する
理由；
ホワイトリスト／ブラックリストを使っていると書かれていたので、ホワイトリストに設定しないと被疑サーバへの通信は遮断されてしまうのかなと思った。 しかし、ここにこう書いてあるから絶対これが答えでしょ！と思って書いたわけではなかった。自分の知識の範囲で根拠もなく答えてしまっている時は大体間違ってますよね・・・。
模範解答：
被疑サーバへのＨＴＴＰＳ接続要求を、中継サーバ１に到達するようにする。
解説：
「解析環境を正常に動作させるために」「解析用プロキシサーバ上で特別な設定」を聞かれている。
考えべきと思っているポイント①：
「具体的に」という言葉が書かれていないこと。設定内容を聞かれる問題はよく「具体的に」の指定がされて「どこどこサーバの何に何々を設定する」みたいな回答があるあるパターンである。でもこの問題は「具体的に」がないので、意図して具体的じゃない回答をしないといけないことになる。
考えべきと思っているポイント②：
回答するために一度も使っていない図や表がないかを確認する！わたしは設問を読んだ瞬間、設問箇所よりずっと離れた表１に書かれていることを回答に書いてしまいました。今考え直すと、まずは設問前後に回答するために使っていない情報がないかどうかをチェックすべきだったなと思います。そう考えると表４も図６（設問２（２）で使った）もあまり使っていないため、この辺りに答えになりそうなことが書かれていないか考えるのは有効だと思います。
考えべきと思っているポイント③：解析用プロキシサーバで宛先ＩＰアドレスを被疑サーバから中継サーバ１に変更しないと、宛先ＩＰアドレスが被疑サーバのままだと解析用プロキシサーバから直接被疑サーバに通信がいってしまいＨＴＴＰＳ通信ができない
設問３（１）
わたしの回答：（×）
プログラム内にデバッグ時に通るルートを作り、デバッグ中とわかる情報を出力する
模範解答：
実行中プロセスの一覧から既知のデバッガのプロセス名を探す
設問３（２）
わたしの回答：（×）
状態を変えながら実行されるため、ウィルス定義ファイルとのパターンマッチングで検知できないため
理由：
ウィルス定義ファイルによるウィルススキャンとは・・・ウィルス定義ファイルにウィルスデータのパターンが載っていてスキャンしたいデータと比較していく。 図７と図８を見るとマルウェアの状態が変化しながら動作するため、ウィルス定義ファイルに定義されているウィルスパターンと比較しても一致しずらいと考えた。模範解答をみると多少の部分点はもらえるかも・・・とは思ったがどうでしょう。
模範解答：
暗号鍵を変えてパック処理すると暗号化済みコード部が変化し、ウィルス定義ファイルに登録されていないファイルとなるから
解説：
ロードされた時点ではマルウェア本体は暗号化され、暗号化済みコード部に置かれている。そして暗号化済みコード部の内容は、暗号化する際の暗号鍵によって変化するためウィルス定義ファイルに登録されていないパターンになってしまい検知がしずらくなる。ということになる。
設問４（１）
わたしの回答：（○）
プロキシサーバのブラックリスト
理由：
省略
設問４（２）
わたしの回答：（△）
脆弱性修正プログラムを適用する
模範解答：
脆弱性Ｋに対応した脆弱性修正プログラムを適用する
解説：
主語が足りなかった・・・。「主語は必ず書くべし」ということは当サイトでひつこく書いているのに、書いてるわたし自身が実践できていない・・・。
設問４（３）
わたしの回答：（×？）
アカウントの利用停止
理由：
再度攻撃に利用されないように停止すれば良いと思った
模範解答：
パスワードの変更
解答解説：
・表５「被疑ＰＣ内にキャッシュされていた認証情報・・・」
・被疑ＰＣ内に一時的に保存された認証情報（利用者ＩＤと、パスワードのハッシュ値を含む）
と書かれていることから、ハッシュ値がキャッシュされており、キャッシュからハッシュ値が知られたらログインに使われてしまうため。ということらしいけど、利用停止は業務を継続させる必要があるということでＮＧなのかな・・・？
設問５（１）
わたしの回答：（△）
脆弱性修正プログラムの適用状況
理由：
既知のマルウェアが存在していて、被疑ＰＣには修正プログラムが適用されていなかったから感染してしまって、比較対象用ＰＣは修正プログラムが適用済みだから感染していないと考えられる。
模範解答：
ＰＤＦ閲覧ソフトの脆弱性修正プログラムの適用状況
主語が足りなかった・・・ここはとても重要なポイントだと思ったので記事に起こしました。
※あとで記事リンク貼る
設問５（２）
わたしの回答：（○）
パッチ配信サーバ
理由：
表１パッチ配信サーバ「各ＰＣの脆弱性修正プログラム適用結果」をログに取得していると書かれているため、パッチ配信サーバのログをみれば適用されていたかどうかがわかる。
設問５（３）
わたしの回答：（）
脆弱性修正プログラムが公表される前に、不審なサイトにアクセスしていた場合
理由：
「プログラム適用されていたら、未公表のサイト以外はアクセスしても感染しない」という考え方をもとにそのまま書いた
模範解答：
ＰＤＦ閲覧ソフトの脆弱性修正プログラムを適用する以前に、Ｑ社のＷｅｂサイトを閲覧した場合
設問６（１）
わたしの回答：（×）
修正プログラムを適用する
理由：
デジタルフォレンジックスとは、裁判などになった際に使うために証拠を残しておきましょう。
模範解答：
被疑ＰＣのＨＤＤの複製作業
解説：
Ｍ君は「ＨＤＤの複製」を行っていると書かれている。この記載を見つけられていて（マーキング）できていて、ＨＤＤを複製しておけば証拠になる！と思えた人は正解が書けたと思います。 あとここでの注意は「被疑ＰＣの」という主語を忘れずに書いてください！ということです。これを書かなかったら半分しか点数がもらえないと思った方が良いので必ず主語が抜けていないか要チェックや！です。
設問６（２）
わたしの回答：（〇）
利用者が使用する被疑ＰＣの代わりになるＰＣを用意する
模範解答：
被疑ＰＣの解析中に使用する代替ＰＣの払出し
設問６（３）
わたしの回答：（×）
脆弱性修正プログラムの適用状況
理由：
何を書けば良いのかよくわからなかったので、ダメ元で脆弱性修正プログラムについて書いておきました。 模範解答をみて思ったのは、最初問題文を読んだときのマーキングでＰ８下方の「一通りの～判明した。」箇所をバッチリマーキングしていたのに回答には書けなかった。さんざん過去問演習をやってきてマーキング力もあがってチェックできているのに回答に書けなかったら何も意味ないなと反省しました。。当サイトに色々と書いていますが本番ですべてを実践するって簡単じゃないですよね(^^;
模範解答：
ＰＣ起動時や所定の時刻などに特定のプログラムを自動的に起動する設定内容
解説：
まず、「今回のマルウェアＬ」と同じ内容のマルウェアが来た際に、どうすれば次こそ検知できるのかを聞かれている。自分の回答の「脆弱性修正プログラムの適用」はマルウェア検知のネタとして使えるものではないので全然違う。
次に、「今回のマルウェアＬ」の特徴をおさらいする必要がある。
①ひと通りの処理を終えると終了する
②自身のファイルの隠ぺいを行う
③所定の時間経過後に起動するための設定をＯＳに組み込む
つぎに「図３の４．解析チェックリスト」と比較して、いずれかの特徴を利用して検知できないかを考える。
①②：図３「解析チェックリスト」では発見できないことがある
③ ：「ＯＳに組み込んだ設定を削除する」とは書いていないため、③を利用して検知できそうだ。
