情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問19: PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとして使用されるTCPポート番号80に関する記述のうち，適切なものは

問題本文

PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとして使用されるTCPポート番号80に関する記述のうち，適切なものはどれか。

選択肢

• ア.DNSのゾーン転送に使用されることから，通信がファイアウォールで許可されている可能性が高い。
• イ.WebサイトのHTTPS通信での閲覧に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。
• ウ.Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。
• エ.ドメイン名の名前解決に使用されることから，マルウェアと指令サーバとの間の通信が侵入検知システムで検知される可能性が低い。

正解

ウ. Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。

解説

TCPポート80はHTTP（Webサイトの平文閲覧）に使われる標準ポートで、業務でのWebアクセスのため多くの組織でファイアウォールの外向き通信が許可されている。マルウェアはこの広く開いたポートに紛れて指令（C&C）サーバと通信することで、遮断を回避しようとする。したがって、Webサイト閲覧に使われるため許可されている可能性が高いとしたウが正解である。

選択肢ごとの解説

• ア.DNSのゾーン転送に使われるのはTCPポート53であり、ポート80の用途ではないため誤り。
• イ.HTTPSで使われるのはポート443であり、ポート80はHTTP（平文）用なのでこの記述は誤り。
• ウ.ポート80はWeb閲覧（HTTP）に使われ通常ファイアウォールで許可されているため、マルウェアの通信が通りやすく、正しい。
• エ.ドメイン名の名前解決（DNS）に使われるのはポート53であり、ポート80の用途ではないため誤り。