問82
頻出度★★★
企業内において, 不審な相手から届いた電子メールの添付ファイルを誤って開いてしまったところ, 使用していた PC がウイルス感染を強く疑う挙動を示した。この PC の使用者がまず最初に取るべき行動として, 適切なものはどれか。
平成29年度 春期 ITパスポート試験 問82
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 82
错误ア
更新病毒定义文件通常需要网络连接，若在感染状态下继续联网，扩散和信息外泄的风险依然存在。检查与清除应在隔离和上报之后、按管理员的指示进行，作为使用者最先采取的初动并不恰当。
错误イ
删除邮件并不能清除已经运行起来的感染本身，还可能丢失作为证据的样本。而且重启无法阻止感染扩散，某些恶意软件反而会在启动时开始活动，可能使情况恶化。这既不算隔离控制也不算上报，作为初动并不恰当。
- ウ
正解 ウ 正确。强烈怀疑病毒感染时，初动应对的原则是「隔离控制（防止危害扩大）」和「上报」。首先将 PC 从网络断开，可以防止感染扩散到其他 PC 或服务器，也能切断恶意软件与外部通信、借以窃取信息或接收指令的通道。在此基础上联系系统管理员，之后便可按照组织的规程，专业地推进证据保全、原因调查、清除与恢复。使用者不应凭自己的判断继续处置，而应先隔离、再迅速上报，这才是最恰当的第一步。
错误エ
初始化硬盘并重装操作系统是最后手段，会丢失感染证据以及原因调查所需的全部数据。使用者不应凭自己的判断贸然实施，这应当是在确认危害范围、查明原因之后由组织来判断的处置。作为最先的行动过于极端，并不恰当。
ここがポイント
- 信息安全事件的初动，最优先的是「隔离控制（通过网络隔离防止危害扩大）」和「向系统管理员上报」。
- 使用者不应凭自己的判断进行清除、重启、初始化等处置，而应先隔离、再迅速移交给组织（以便证据保全和组织性应对）。
用語