令和7年度春期 ネットワークスペシャリスト 午後Ⅰ 問3 セキュアWebゲートウェイの導入

前提条件と判断対象の関係を整理

この分野の問題では、与えられた条件と、判断する対象との関係を整理することが手掛かりになります。知識から結論を急がず、どの条件を根拠として考えているのかを意識しながら検討しましょう。

この問題で問われていること

着目するのは、判断の根拠にしている条件が、与えられた情報に沿っているかという点です。条件を自分で補っていないかを確かめ、判断する対象とのつながりを、根拠のある範囲で捉えてみましょう。

視点

判断には、その根拠となる条件があります。与えられた条件と、知識や経験から自分で補った想定を区別すると、条件と判断対象の関係を整理しやすくなります。

確認ポイント

• 判断の根拠にした条件を確認したか
• 条件に独自の想定を加えていないか
• その条件と判断対象の関係を整理したか

解説

本問は、社内のフォワードプロキシからクラウド型SWGへの移行を扱います。既存のログ・認証・通信制御を理解した上で、HTTPS検査に必要な証明書、変更するFWルール、社外PCのアクセス経路、送信元制限と直接通信の効果を導きます。

問題の全体像

J社は、テレワーク導入、運用作業の省力化、セキュリティ強化を目的にSWGサービスを導入します。各PCのソフトEが通信をSWGへ中継し、既存のプロキシサーバは社外から業務用サーバへ接続するためのリバースプロキシに変わります。出題趣旨では、この移行に必要なネットワーク構成・サービス仕様の理解と、設計・運用の能力を問うとしています。既存構成と導入後の構成を区別し、ログ解析、認証、証明書、FWルール、通信経路を結び付けて考える問題です。

設問1(1)

下線①の時刻補正と、syslogサーバに複数機器のログを保存する記述に着目します。機器ごとの時刻がずれていると、通信、認証、障害などの発生順序をログ間で正しく比較できません。公式解答例では「複数機器のログを時系列で確認するため」としています。25字以内の答案では、複数機器のログを時系列で確認するという目的を押さえます。

設問1(2)①

プロキシサーバが「登録したFQDNやIPアドレス宛ての通信をブロックする」という記述に着目します。Webサイトへの通信をプロキシに通すことで、この制御を適用できます。公式解答例では「登録したFQDNやIPアドレス宛ての通信をブロックするため」としています。35字以内で、本文の字句を用いて対象と処理を示します。

設問1(2)②

プロキシサーバのアクセスログを保存し、Webサイトへのアクセス履歴の確認に利用する記述に着目します。公式解答例では「Webサイトへのアクセス履歴の確認のため」としています。また、プロキシ接続時にRADIUSによる利用者認証を行う記述を根拠に、「利用者認証を行うため」も示されています。二つ目の答案では、これらのうち一つを35字以内で書き、一つ目の通信ブロックとは異なる目的を示します。

設問1(3)

内部セグメントのPCには、L3SWのDHCPサーバ機能でIPアドレスが割り当てられています。FWの通信ログから不正な通信の時刻と送信元IPアドレスが分かっても、その時刻にそのアドレスを使用していたPCを確認する必要があります。公式解答例では「L3SWのDHCPリースログ」としています。通信発生時のIPアドレス割当てを確認できるログを、本文の字句で答えます。

設問1(4)(a)

表1の項番1は、DMZから宛先aへのUDP/514の通信です。本文には、DMZのプロキシサーバのアクセスログや社内サーバのシステムログをsyslogサーバに保存するとあります。UDP/514によるログ送信の宛先に対応するため、公式解答例では「syslogサーバ」としています。図1の機器名をそのまま用います。

設問1(4)(b)

表1の項番3は、プロキシサーバから宛先bへのUDP/1812の通信です。本文では、認証サーバがRADIUSを用いてプロキシ接続時の利用者認証を行います。UDP/1812はRADIUSの認証要求に対応するので、公式解答例では「認証サーバ」としています。認証を依頼する側と受け付ける側を区別して読み取ります。

設問1(5)(c)

表1の項番7は、内部セグメントのPCからプロキシサーバへの接続を許可するルールです。本文には、プロキシサーバがTCP/10080で接続を待ち受けると明記されています。したがって、公式解答例ではcを「10080」としています。ここで問われるのは、PCが接続するプロキシの待受けポート番号です。

設問1(5)(d)

表1の項番8は、内部セグメントからK社SaaSへの直接接続です。冒頭に、K社SaaSにはHTTPSでアクセスするとあるため、宛先ポート番号は443です。公式解答例でもdは「443」としています。プロキシを経由しないというPACファイルの設定と、HTTPSを使用するという記述を対応させます。

設問2(1)

下線④では、SWGサービスがHTTPS通信のコンテンツを調査し、その通信をPCに信頼させるため証明書をインストールするとあります。HTTPS検査では、PCがSWG側で提示される証明書を信頼できるように、信頼の起点となる証明書を登録します。公式解答例では「SWGサービスのルート証明書」としています。20字以内の答案では、SWGサービスのものという対象と、ルート証明書という種類を押さえます。

設問2(2)

表2の下線⑤は、ファイルを隔離環境で動かして挙動を観察・分析する機能です。遠隔操作可能なマルウェアでは、攻撃者からの指令を受ける外部サーバとの通信が観察対象になります。公式解答例では、その通信先を「C&Cサーバ」としています。採点講評では、隔離環境での動作を問う設問に対して、J社ネットワーク上での動作を想定した誤答があったと指摘しています。観察する場所と、問われている通信先の名称を正確に捉えることが重要です。

設問3(1)①

フォワードプロキシの機能停止によって不要になる、表1の項番2に着目します。このルールは、プロキシサーバがPCに代わってインターネットのWebサイトへTCP/80・TCP/443で接続するためのものです。Webアクセスの中継をSWGへ移すため、公式解答例では削除するルールの一つを「2」としています。

設問3(1)②

表1の項番7は、内部セグメントのPCが従来のプロキシサーバへTCP/10080で接続するためのルールです。導入後はPCのプロキシ設定がソフトEに変わり、ソフトEからSWGへ中継します。この従来の接続が不要になるため、公式解答例ではもう一つを「7」としています。既存サーバはリバースプロキシとして利用を続けるので、機器の撤去ではなく、停止する機能に対応したルールを選びます。

設問3(2)

R-PCはソフトEからSWGへ接続し、SWGからJ社のリバースプロキシを経由して業務用サーバへアクセスします。図2では、外部からDMZのリバースプロキシへ入る際と、DMZからサーバセグメントへ進む際の両方でFWを通ります。公式解答例の経路は「(B)，(A)，(H)，(I)，(E)，(I)，(K)」です。FWを表す(I)が二度現れる点を含め、経由順に記載します。採点講評では、この設問で通信経路の記述漏れと思われる誤答があったと指摘しています。

設問3(3)(送信元)

下線⑧は、社内PCがSWGへ接続するためにJ社のFWへ追加するルールです。PCは内部セグメントに属し、そのPC上のソフトEがSWGへの通信を開始します。公式解答例では送信元を「内部セグメント」又は「ソフトE」としています。FWを通過する通信について、社内のどこから接続するのかを答えます。

設問3(3)(宛先)

本文では、ソフトEがHTTP及びHTTPSの通信をSWGサービスへ中継するとあります。追加するルールはこの接続を許可するものなので、公式解答例では宛先を「SWGサービス」としています。最終的に閲覧するWebサイトではなく、ソフトEが接続する中継先に着目します。

設問3(3)(プロトコル/宛先ポート番号)

ソフトEは、HTTP及びHTTPSの通信を「SWGサービスのTCP/443ポート宛てに中継する」と明記されています。したがって、公式解答例では「TCP/443」としています。ブラウザが利用する通信がHTTPであっても、ソフトEからSWGへの接続については、このサービス仕様に従って許可します。

設問3(4)

導入前のK社SaaSは、アクセスを許可する送信元をJ社のグローバルIPアドレスだけに制限しています。一方、導入後はSWG経由となり、SWGが送信元アドレスをSWG-GIPへ変換します。この制限と実際の送信元を一致させるため、公式解答例では「アクセスを許可する送信元をSWG-GIPに変更する。」としています。35字以内で、変更する設定項目と変更後のアドレスを示します。

設問3(5)

業務用サーバのプライベートIPアドレスを直接接続リストへ登録すると、社内PCはソフトEから業務用サーバへ直接接続します。SWGまで社外へ出て、リバースプロキシ経由で社内へ戻る経路を短縮できます。公式解答例では、FWなどの負荷軽減、RTTの短縮、可用性の向上などを要点とし、直接通信・経路短縮による利点を記述するよう示しています。10字以内の答案では「RTTの短縮」のように、経路短縮による効果を一つに絞って表します。

学習のポイント

本文の仕様を通信経路と対応させ、FWを通る方向と回数、プロキシの役割、ログの用途を具体的に説明できるようにすることが重点です。