令和4年度春期 ネットワークスペシャリスト 午前Ⅱ 問19

分割対策の効果範囲を見極める

ネットワークを分ける対策が何に対して効き、何には効かないのかを切り分けて考える問題です。対策の仕組みが作用する範囲と、想定される脅威が発生する場所とを対応付けて、効果の主張が妥当かどうかを確かめる姿勢が大切です。

この問題で問われていること

問われているのは、機器の設定で区画を設けたとき、その区画の境界がどの種類の通信やリスクに影響するかという点です。対策の効果として示されている内容が、区画化という仕組みから直接導けるものかを意識して検討しましょう。

視点

セキュリティ対策を評価するときは、まず対策が何を制御する仕組みなのかを確認し、次にそれがどの範囲に作用するのかを整理します。そのうえで、想定される脅威がその範囲の内側で起きるのか、外側や別の層で起きるのかを照らし合わせます。対策の名前から効果を連想するのではなく、仕組みと脅威の発生場所との対応関係から効果の有無を判断することが、この分野を学ぶ際の基本的な検討手順です。

確認ポイント

• その対策は、どの範囲の通信に対して作用する仕組みなのかを自分の言葉で説明できるか
• 検討している脅威は、区画の境界の内側と外側のどちらで起きるものかを整理したか
• 効果として示されている内容が、区画化の仕組みから因果的に説明できるものかを確かめたか

正解

イ

解説

VLANでポートを複数のセグメントに分けると、ブロードキャストパケットが無関係なセグメントまで広がることを抑えられます。その結果、アドレス情報などが不要に広範囲へ流出するリスクを低減できます。

理由

VLANでは、同じVLANに属するポートを一つの論理的なブロードキャストドメインとして扱います。ポートを複数のセグメントに分けると、ブロードキャストパケットの到達範囲が限定され、必要のない端末へアドレス情報が広がることを抑えられます。

比較

ICMPパケットを一律に遮断する機能や、MACアドレスを用いた接続認証、物理ポートごとのIPアドレス制御は、VLANによるセグメント分割そのものの効果ではありません。これらは別途設定するアクセス制御や認証の機能です。

選択肢ア

これは不正解だよ。VLANによるセグメント分割は、PCから送出されるICMPパケットを同一セグメント内も含めて全て遮断する機能ではありません。ICMP通信の許可・遮断は、通常はファイアウォールやアクセス制御などで設定します。したがって、この説明はVLANの基本的な効果と一致しません。

選択肢イ（正解）

これは正解だよ。VLANでポートを複数のセグメントに分けると、ブロードキャストパケットが到達できる範囲をセグメント単位に制限できます。そのため、同一ネットワーク全体へ広がるアドレス情報などの不要な流出を抑えられます。これはセグメント分割による代表的な効果です。

選択肢ウ

これは不正解だよ。PCのMACアドレスを基に接続を許可または拒否する機能は、MACアドレス認証やポートセキュリティに該当します。VLANはポートを論理的なセグメントへ分類する機能であり、MACアドレスから接続可否を自動判別する機能そのものではありません。

選択肢エ

これは不正解だよ。物理ポートごとに決められたIPアドレスを持つPCだけを許可する制御は、IPアドレスや端末情報を利用した認証・アクセス制御の説明です。VLANのセグメント分割だけで、特定のIPアドレスを持つPCに接続を限定することはできません。

学習のポイント

VLANによるブロードキャスト範囲の分割と、MAC認証やIPアドレス制御との違いを理解する。