平成27年度秋期 ネットワークスペシャリスト 午後Ⅰ 問3

判断の前提となる範囲をそろえる

この分野の問題では、判断の前提となる範囲を意識して考えましょう。与えられた情報のうち、何について述べているかを整理し、自分の知識で補った条件と区別して、同じ前提のまま検討を進めることが大切です。

この問題で問われていること

着目するのは、考えている内容がどの範囲で成り立つものとして示されているかです。記載された条件を短く言い直し、途中で対象の範囲を広げたり、明示されていない前提を加えたりしていないか確かめましょう。

視点

知識を当てはめる前に、判断の前提となる範囲をそろえます。与えられた情報に示された条件と、自分が補って考えた条件を分けて整理すると、検討の途中で前提が変わることに気づきやすくなります。

確認ポイント

• 何についての判断かを捉えたか
• 示された条件の範囲を保っているか
• 自分で加えた前提が混ざっていないか

解説

FWのIDS機能による性能不足と、新たな脆弱性への対応を背景に、IDSとIPSの導入を検討する問題です。検知方式、監視位置、FWとの連携、パッチ適用までの防御、障害時の通信継続及びログ解析を結び付けて理解することが要点です。

問題の全体像

F社では、FWに組み込まれたIDS機能の性能限界によってレスポンスが悪化し、新たな脆弱性へのパッチ適用まで営業支援システムを休止した経験もあります。このため、独立したIDSとIPSを追加し、セキュリティとサービスの継続利用を両立させる構成を検討しています。出題趣旨では、IDSとIPSの機能と特徴に関する基本的な知識と理解力を問うとされています。検知方式や接続位置だけでなく、攻撃への対応、障害時の動作、導入後のメンテナンスまでを説明できることが狙いです。

設問1(ア)

「定義されたプロトコルの仕様などから逸脱したアクセス」を不正とみなすという説明に着目します。登録済みの攻撃パターンと照合するシグネチャ型に対し、正常とする基準からの逸脱を検知する方式です。公式解答例では「アノマリ」又は「異常検知」とされています。未知の攻撃にも対応しやすい一方、正常な通信を異常と判断する場合があるという本文の特徴も、この方式を示しています。

設問1(イ)

IDSが監視対象のSWに接続され、IDS以外を宛先とする通信も取り込むという条件に着目します。通常のスイッチの転送では、監視したい通信がIDSの接続ポートに届くとは限りません。監視対象の通信を複製してIDSへ送るポートが必要です。公式解答例では「ミラー」又は「ミラーリング」とされています。

設問1(ウ)

空欄イはSW側で通信を複製する設定ですが、空欄ウはIDS側でその通信を受信する設定です。「IDS以外を宛先とする通信も取り込む」という説明から、自分宛て以外のフレームも受け入れるモードを答えます。公式解答例では「プロミスキャス」とされています。SWが通信を届ける仕組みと、IDSのネットワークポートが受信する仕組みを分けて理解します。

設問1(エ)

「OSI基本参照モデルの第3層レベルの攻撃」を回避するという条件に着目します。第3層で使われるアドレスはIPアドレスであり、監視用のネットワークポートにこれを割り当てなければ、そのポートをIP通信の宛先として攻撃することを避けられます。公式解答例では「IP」とされています。対象は本文で述べている監視用ポートであり、管理用の接続とは区別して読みます。

設問1(オ)

不正なUDPパケットの送信元へ、宛先ポートに到達できないことを通知して攻撃の抑止を試みる場面です。本文の「port」に続く語を補い、port unreachableという通知にします。公式解答例では「unreachable」とされています。TCPの場合のRSTによる切断と、UDPの場合のICMPによる通知を対応させて整理します。採点講評では、こうした専門用語を正確に覚えることが求められています。

設問2(1)

表1にある通信範囲を確認すると、不足しているのは「インターネット⇔内部LAN」です。本文には、社内PCからインターネットへのアクセスはRPサーバを経由しないとあります。図1でこの通信の経路をたどると、内部LANのSW3、FW、SW1を通り、DMZのSW2は通りません。公式解答例では、追加する行を「インターネット⇔内部LAN」、検出可否を「SW1：○、SW2：×、SW3：○」としています。社外からWebサーバを利用する際のRP経由の通信と、社内PCからインターネットへ出る通信を区別することがポイントです。

設問2(2)

下線①の「IDSとFWが連携」と「検知した送信元アドレスからの不正な接続を遮断」に着目します。IDSが得た検知結果をFWの遮断ルールに反映する仕組みを具体化します。公式解答例では、FWのACLを動的に変更し、遮断対象の送信元アドレスを追加するとされています。40字以内では「FWのACLを動的に変更し、遮断対象の送信元アドレスを追加する。」のように、変更対象と追加する情報を示します。採点講評では、FWとの連携を正確に記述できていない解答が見られたとされており、「連携して遮断する」だけでは仕組みの説明が不足します。

設問2(3)

ICMPの通知先が、不正パケットに記載された送信元アドレスである点に着目します。そのアドレスが偽装されていれば、通知は実際の攻撃者へ届かず、偽装に使われた第三者のサイトへ送られる可能性があります。これが、本文にある二つの懸念を共通して説明する原因です。公式解答例では、送信元アドレスが偽装されている可能性を挙げています。35字以内では「不正アクセスの送信元アドレスが偽装されている可能性があるから」と、原因を直接述べます。

設問3(1)

冒頭の、影響確認テストに時間が掛かり、パッチ適用までシステムを休止したという事例に着目します。求められる一時的な運用は、パッチ適用までの期間をIPSの遮断機能で保護することです。公式解答例では、保護する機器にセキュリティパッチを適用するまで、脆弱性を悪用する攻撃の通信を遮断するとされています。50字以内では「セキュリティパッチ適用まで、脆弱性を悪用する攻撃の通信を遮断する。」のように、期間と遮断対象を示します。採点講評では、IDSとIPSの違いを把握することが求められており、検知だけでなく遮断する点が重要です。

設問3(2)

「IPSの機能の一部が故障した場合」と「営業支援システムの継続利用を優先する」という条件を結び付けます。故障したIPSによって通信まで停止すると、業務を継続できません。公式解答例では「通信をそのまま通過させ、遮断しない機能」とされています。この表現で25字以内に収まり、障害時の動作を具体的に示せます。IDSが併設されていることも本文の判断材料ですが、IPSを通過する通信への防御が通常どおり続くと解釈しないことが大切です。

設問3(3)

図2では、管理用PCから管理用LANを通じてIDSとIPSを管理できる構成になっています。本文にある誤検知と見逃しのバランスを改善するには、導入後も実際の検知・遮断状況を確認する必要があります。公式解答例では、不正アクセスへの対応を最適化するために、ログを取得して解析するとされています。35字以内では「不正アクセスへの対応を最適化するため、ログを取得して解析する。」のように、目的と具体的な作業を示します。採点講評でも、継続的な運用メンテナンスがセキュリティレベルの維持・向上に必要であるとされています。

学習のポイント

IDSの監視設定と通信経路の読取り、IPSの遮断機能と可用性、ログ解析による継続的な運用改善を重点的に学習します。