情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

以下2点教えていただきたいです。
①について、解答は合っていましたが導いた理由は合っているでしょうか？
②について、分からなかったので解答の解説をお願いします。

①ファイルの社外への送信の可能性を示す記録
(私の解答)28行目
導いた理由:9/8 3:35にファイルが作成されているため、それ以降のPOSTリクエストだから

②当該記録と併せて見ることによってファイル送信の有無を判断するのに役立つ情報 

以下の点がよく分かりませんでした。
図6にの注記2にあるように、エントリの6項目目は「要求元PCに送信したレスポンスメッセージのサイズ」であるため、IPnのサイト→PC-Aへのレスポンス時のサイズであるということでしょうか？
PC-A→IPnのサイトへの送信サイズは図6に載っていないため、"図6中に示された情報は対象外とする"にも当てはまり、解答となるということでしょうか。

>①ファイルの社外への送信の可能性を示す記録
>(私の解答)28行目
>導いた理由:9/8 3:35にファイルが作成されているため、
>それ以降のPOSTリクエストだから
はい。あっています。
new3.exeはPOSTメソッドを使うとありますので、ファイル作成時以降の
POSTメソッドが解答になります。

>図6にの注記2にあるように、エントリの6項目目は「要求元PCに送信した
>レスポンスメッセージのサイズ」であるため、IPnのサイト→PC-Aへの
>レスポンス時のサイズであるということでしょうか？
はい。

>PC-A→IPnのサイトへの送信サイズは図6に載っていないため、"図6中に
>示された情報は対象外とする"にも当てはまり、解答となるということ
>でしょうか。
はい。あっています。
通常であれば、POSTメソッドの送信サイズは高々1Kバイト程度のサイズと
思われます。
もしPOSTメソッドでファイルを送信するとなると、送信サイズは数Mbyteから
数十Mbyteになり、明らかに大きすぎるサイズが記録されることに
なります。
よって送信サイズはファイル送信の有無を判断するのに重要な情報と
なりえます。

pixさん

早速のお返事ありがとうございます。

図6に記載されている数字がIPnのサイト→PC-Aへのレスポンス時のサイズであるということが分かりました。

解答する上で深く考える必要は無いと思いますが、該当レスポンスはなぜサイズが大きいのでしょうか？

ファイルを外部に持ち出したリクエストサイズが大きいのは納得できるのですが…。

図6中のレスポンスのサイズが約35Kバイトの理由を知りたいということでしょうか？
推測になりますが、このレスポンス部分にC&Cサーバからの攻撃指示命令が含まれて
返ってきていると推測されます。

想像になりますが、以下のような形式でレスポンスが返ってくると思われます。
CandCCommand: (base64でエンコードされた大量の文字列）
これをマルウェア側で解析することによって、C&Cサーバからの命令を受け取ります。

そうです??
なるほど、もやもやしていた部分がスッキリしました。ありがとうございました！