令和5年度春期 ネットワークスペシャリスト 午前Ⅱ 問18

設置形態と検知方式を切り分けて考える

侵入防止システムに関する記述は、機器をどこにどう置くかという話と、通信をどのように判断するかという話が混ざりやすい分野です。各記述がどちらの観点を語っているかを先に見極め、その観点の用語の定義と照らし合わせて妥当性を確かめましょう。

この問題で問われていること

問われているのは個々の方式の名称の暗記ではなく、記述の内容が設置の観点と検知の観点のどちらに属し、その観点の定義と整合しているかを判断できるかどうかです。観点を取り違えた説明がないか丁寧に確認します。

視点

侵入防止システムを学ぶ際は、『どこに置かれ、通信とどう関わるか』と『何を根拠に不正と判断するか』を別々の軸として整理すると理解しやすくなります。前者はネットワーク構成上の位置づけ、後者は判定の拠り所に関する話です。二つの軸を混同したまま記述を読むと、一見もっともらしい説明を見誤ることがあります。

確認ポイント

• 記述が設置の観点と検知の観点のどちらについて述べているかを最初に仕分けたか
• 仕分けた観点について、自分の知っている用語の定義を自分の言葉で説明できるか
• 一つの記述の中で二つの観点が入れ替わったり混ざったりしていないかを確かめたか

正解

エ

解説

インラインモードのIPSは通信経路上に設置され、通信を通過させながら検査する。シグネチャ型は定義済みの異常な通信パターンとの一致を検知し、該当する通信を遮断する。

理由

インラインモードでは、IPSが監視対象の通信経路上に設置されるため、通信を直接通過させて検査し、脅威と判断した通信を遮断できる。

比較

シグネチャ型は、通常時の通信から外れているかどうかではなく、あらかじめ定義された異常な通信パターンと一致するかどうかで判定する。

選択肢ア

これは不正解だよ。通信経路上のスイッチのミラーポートから経路外でパケットを取得する方式は、インラインモードの配置ではない。また、通常時の通信から外れた通信を判定する説明も、定義済みパターンとの一致を調べるシグネチャ型の特徴と一致しない。

選択肢イ

これは不正解だよ。ミラーポートに接続して経路外から通信パケットを取得する記述は、通信経路上で通信を通過させるインラインモードとは異なる。定義した異常な通信との一致を判定する部分はシグネチャ型に合うが、配置の説明が異なる。

選択肢ウ

これは不正解だよ。監視対象の通信を通過させるよう通信経路上に設置される点は、インラインモードの特徴に合っている。しかし、通常時の通信から外れた通信を不正と判断する説明は、定義済みの異常通信との一致を検出するシグネチャ型の説明ではない。

選択肢エ（正解）

これは正解だよ。インラインモードでは、IPSを通信経路上に設置して監視対象の通信を通過させる。さらにシグネチャ型では、あらかじめ定義した異常な通信パターンと合致する通信を不正と判断し、遮断する。

学習のポイント

インライン型とミラーリング型、シグネチャ型と異常検知型の違いを整理する。