平成25年度秋期 ネットワークスペシャリスト 午前Ⅱ 問20

対策の効果範囲を見極める視点

ネットワークを論理的に分ける対策を評価するときは、その対策が何を区切り、どこまでの脅威に作用するのかを整理することが大切です。効果が及ぶ範囲と及ばない範囲を分けて考えると、各内容の妥当性を判断しやすくなります。

この問題で問われていること

この分野では、ある分離の仕組みが通信のどの層・どの単位に働くかを意識することが重要です。対策の作用点を押さえ、それとは別の仕組みが担う役割と混同していないかという一点に絞って確認しましょう。

視点

セキュリティ対策は、仕組みごとに作用する対象や範囲が異なります。一つの対策に多くの効果を期待しがちですが、実際には目的ごとに別々の仕組みが役割を分担していることがよくあります。ある対策を評価するときは、三つを区別すると整理しやすくなります。一つ目は、その仕組みが直接制御している対象です。二つ目は、その結果として間接的に生じる影響です。三つ目は、他の対策と組み合わせなければ得られない効果です。

確認ポイント

• その対策が直接制御している対象は何かを、自分の言葉で説明できるか
• その対策だけで得られる効果と、他の仕組みを併用して初めて得られる効果を区別しているか
• 効果の範囲を実際より広く、または狭く捉えていないかを見直したか

正解

イ

解説

VLANでスイッチのポートを複数のセグメントに分けると、同一セグメント内に通信の範囲を限定できる。これにより、ブロードキャストによるアドレス情報などの不要な流出リスクを抑えられる。

理由

VLANはスイッチのポートを論理的なグループに分け、各グループを別のセグメントとして扱う機能です。ブロードキャストパケットは同一セグメント内に限定されるため、セグメントを分けない場合よりも不要なアドレス情報が広範囲へ届くことを抑えられる。

比較

ICMPパケットを全て遮断する機能や、MACアドレスによる接続認証、物理ポートごとの固定IPアドレス制限は、VLANによるセグメント分割そのものの説明ではありません。これらは別途のフィルタリング、認証、アクセス制御などに関係する。

選択肢ア

これは不正解だよ。VLAN機能でポートをグループ化しただけでは、スイッチがPCから送出されるICMPパケットを全て遮断することにはならない。ICMPの遮断は通信制御やファイアウォールなどの別の設定に関係し、VLAN分割の直接的な効果とはいえない。

選択肢イ（正解）

これは正解だよ。VLANによってスイッチのポートを複数のセグメントに分けると、ブロードキャストパケットの到達範囲を同一セグメント内に制限できる。その結果、アドレス情報などが関係のない範囲へ不要に流出するリスクを、セグメントを分けない場合より低減できる。

選択肢ウ

これは不正解だよ。VLANによるポートのグループ化は、PCのMACアドレスを調べて接続可否を判別する機能ではない。MACアドレスによる接続制限は、ポートセキュリティなどのアクセス制御機能によって実現するもので、VLAN分割の効果とは異なる。

選択肢エ

これは不正解だよ。VLANは物理ポートごとに決まったIPアドレスのPCだけを自動的に許可する機能ではない。特定のIPアドレスや端末だけの接続を許可するには、認証やアクセス制御などの別設定が必要であり、セグメント分割の直接的な効果ではない。

学習のポイント

VLANによる通信範囲の限定と、MAC認証やIP制御など別機能との違いを整理する。