情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

お世話になっております。
午後問題を特にあたって、どちらの言葉を選ぶべきか分からなくなってしまうことが多い状況です。

・偽装 と 詐称
例）ipアドレスやメールサーバのなりすましはどちらに該当するのか



・転送 と 中継
例）SPF認証が失敗する原因は転送
      メールヘッダのreceivedには中継したサーバが記録される

↑このように参考書に記載があるのですが、違いがいまいち分かりません、、。



・メモリダンプ と ディスクイメージ
メモリダンプ:揮発性のあるデータを保全(ネットワークから切り離す前に行う)
ディスクイメージ:HDDなどを保全

↑このように解釈しているのですが、実際に午後問題でマルウェアに感染した際の初動として、どのようなパターンの場合にどちらを選択すれば良いのか分からないです。
R3秋 午後1問3に関しては、下線①でネットワークから切り離している後に下線②で必要な情報を聞かれているため、ディスクイメージになるのかな、、といった状況です。


質問が多くなってしまったのですが、ご教授いただけますと幸いです。

>・偽装 と 詐称
>例）ipアドレスやメールサーバのなりすましはどちらに該当するのか
どちらかと言えば「詐称」です。しかし、IPAの解答で「詐称」という言葉が
使われた記憶はありません。そのため、「なりすまし」が良いと思われます。

>・転送 と 中継
>例）SPF認証が失敗する原因は転送
>      メールヘッダのreceivedには中継したサーバが記録される
メールにおいて
・中継：その名の通り、メールを配信中に通過するサーバ
・転送：メールの配信が宛先に到達後に、別のアドレスへ送信すること
です。
したがって、receivedには「中継」したサーバが記録されます。

>・メモリダンプ と ディスクイメージ
>メモリダンプ:揮発性のあるデータを保全(ネットワークから切り離す前に行う)
>ディスクイメージ:HDDなどを保全
「メモリダンプ」と「ディスクイメージ」についてはあっています。
以前も別のスレッドで回答しましたが、何を取得するかはパターンで決まって
いるのではありません。
その時の対応方針・優先項目・対応の猶予時間で変化します。
逆に言えば、IPAが出題するマルウェア対応はパターンに落とし込めるほど
単純なものという認識が誤りとなります。
マルウェア対応は出題の都度、状況が異なりますので、それらを文章から
読み取ることが求められます。

日本語は英単語へ
英語は技術用語へ
それぞれ言い換えてみてはいかが。

恐らくは、何となくわかるけれど
説明はしにくい状態なのでしょう。

ご回答ありがとうございます。

なりすましでの解答でとても納得できました。
メモリダンプとディスクイメージにパターンは無いのですね、、。しっかりと見分けられるように対策に励みたいと思います。

また、receivedには中継したサーバが記載されることについては理解出来たのですが、SPFの認証が失敗する場合は、1度受け取った宛先がさらに別のメールサーバに送っているということなのでしょうか。その場合、中継するだけの場合はエンベロープFROMは変更する必要がない解釈であっていますでしょうか。SPFの認証が失敗する際の詳しい流れが掴めず、、。


残りあと少しの日数で少しでも理解が深まるように英単語への言い換え等ができるよう努力したいと思います！

>また、receivedには中継したサーバが記載されることについては理解
>出来たのですが、SPFの認証が失敗する場合は、1度受け取った宛先が
>さらに別のメールサーバに送っているということなのでしょうか。
>その場合、中継するだけの場合はエンベロープFROMは変更する必要がない
>解釈であっていますでしょうか。SPFの認証が失敗する際の詳しい流れが
>掴めず、、。
過去にメール転送とSPF失敗に関する設問が以下で出題されました。
令和元年秋 午後1 問1 設問2 (3)
P4 下線①付近
「メール送信側のDNSサーバ、メール受信側のメールサーバの両方がSPFに対応
している状態であっても、その間でSPFに対応している別のメールサーバが
Envelope-FROMを変えずにメールをそのまま転送する場合は、『①メール
受信側のメールサーバにおいて、SPF認証が失敗してしまう』という制約が
あります。」

解答：「送信側のDNSサーバに設定されたIPアドレスとSMTP接続元のIPアドレスが
一致しないから」

このようにSPFとメール転送は相性が悪いという既知の制約があります。

返信おくれてしまい大変申し訳ございません。
中継ではなく、メールサーバがメールを転送した場合にSPF認証が失敗してしまうという解釈であっておりますでしょうか？

>中継ではなく、メールサーバがメールを転送した場合にSPF認証が失敗してしまうと
>いう解釈であっておりますでしょうか？
はい。その解釈であっています。
SPFとメール転送が相性が悪いのは既知の仕様です。

解釈が合っていて良ったです。
ご丁寧にありがとうございました！

この投稿は投稿者により削除されました。(2024.04.16 09:30)

メール転送、SPFがらみでは、NWの平成26年午後2問1
https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000ye5-att/2014h26a_nw_pm2_qs.pdf
P3の表1の条件で、SPFの認証がなぜメール中継サーバでなければならないのか？（「直接受信する」から）が設問2（4）で聞かれています。
理屈は同じです。