例題「電子メールに添付されたマルウェア」に感染を分解する
例えばトレーニングで「電子メールに添付されたマルウェアに感染」したケースを説明しなければいけないとします。
受講者が事前に学習する必要がある項目には何があるのでしょうか？、関連する技術要素として、どこまで事前に知っている必要があるのか？という点を考えてみたいと思います。
受信した電子メールには圧縮ファイルが添付されていました。この圧縮ファイルにはパスワードが設定されており、展開ツールを使ってファイルを取り出す際にパスワードが求められるようになっており、ウイルス対策ソフトは中身を確認する事ができない仕組みになっています。
圧縮ファイルのパスワードは電子メール本文に書かれており、本文内に書かれたパスワードを入力する事でファイルを取り出す事ができます。取り出されたマルウェアプログラムが人間により“実行”される事でコンピュータがマルウェアに感染する事になりました。
この例を理解し調査する為には、どの程度の知識が必要になるか？を把握したいわけです。まずは、理解が必要な技術的な要素に分解してみます。（項目によっては更に詳細に分割できる項目もありますが、まずは大き目に分解してみます）
項目によっては必須の項目・別に知らなくても困らない項目もあると思います。分解した項目に対して、更に必須項目を絞り込んでいく必要があります。（事前に知っているべき事柄と、上記例題を説明していく際に、何を理解いただくのかは分離して考える必要がありますが）
■電子メール関連
- SMTPプロトコル（TCP、IP、MACアドレス、ルーティング）
- DNS MXレコード（ドメイン名とMXの関係）
- メールの配信（MUAとMTAの関係、配信経路、時刻情報）
- メールサーバのログ（SMTPログ、時刻情報）
- メールアカウント（Userと認証、容量制限、ログイン日時、etc）
- メールボックス（POP・IMAPプロトコル、Web経由のアクセス、転送）
- メールヘッダ（日付、配信、各種ヘッダ）
- メールアドレス（TO、CC、BCC、From）
- メールソフトウェア（MUA）
- メールソフトウェア毎のメールボックス形式
- メールの保存形式（Mbox、PST、EML、etc）
- メールボックスの所在（ファイルシステム上のパス又はCloud）
- メールボックス内のメタデータ（MAPI情報、作成・更新、フラグ etc）
- メールのソースデータ（オリジナルのデータ）
- メールを開いた（読んだ）日時
- 文字コード（ISO-2022-JP、UTF-8、etc）
- 添付ファイル（ファイル名、エンコード形式、MIMEエンコード）
- 添付ファイルのタイムスタンプ
- 電子メールソフトウェアでの添付ファイルの取り扱い（一時フォルダ）
- 添付ファイルをオープン（取り出し）した日時
- オープンされた添付ファイルが持つファイルシステム上のタイムスタンプ
■ファイル形式
- ファイル名と拡張子（データ内容）、拡張子の種類
- ファイル名の長さ、文字コード
- 拡張子の表示
- 拡張子とアプリケーションの関連付け
- ファイル形式（実行ファイル、圧縮ファイル、etc）
- 圧縮ファイルとその種類
- 圧縮ファイルの作成・展開ツール
- 圧縮ファイルのパスワード設定、暗号化
- 圧縮ファイル内ファイルのタイムスタンプ
- 圧縮ファイル自体のファイルシステム上でのタイムスタンプ（作成・更新）
- 圧縮ファイルを展開した際のファイルタイムスタンプ
- 実行形式ファイル（OSやアーキテクチャによる違い）
- 実行形式ファイル内のタイムスタンプ
- 実行ファイルのファイル名偽装方法
- 実行ファイルのアイコン偽装
■プログラム実行
- プログラムの実行の仕組み（実行方法）
- プログラムの権限
- プログラムの実行痕跡
- マルウェアプログラムの特性
- マルウェアの感染痕跡
- マルウェアの追跡（発見）
前提としてWindowsを想定していますが、スマートフォンを含めていくと更に項目が増えていきますね。
