平成25年度春期 プロジェクトマネージャ 午前Ⅰ 問15

防御対象と通信境界を整理する視点

この分野では、装置が守ろうとする範囲と、観測・判定の対象となる通信の境界を切り分けて考えます。設問では用語の印象ではなく、対象と境界の対応関係に注目しましょう。

この問題で問われていること

選択肢を比べるときは、何を保護する話なのか、どの通信上の境界を基準に整理しているのかという一つの観点に絞り、対象の範囲と説明の対応が崩れていないかを確認します。

視点

防御を考える際は、保護したい資源、通信が通過する境界、そこで扱う判断単位を同じ粒度で整理すると、説明の前提を比較しやすくなります。用語の連想だけで判断せず、対象と境界の関係を図式化して確認します。

確認ポイント

• 保護対象の範囲を、通信の境界と混同していないか
• 対象・境界・説明の粒度がそろっているか
• 用語の印象ではなく、対象と境界の関係を本文に沿って確認したか

正解

ア

解説

パケットフィルタリング型ファイアウォールは、送信元や宛先のアドレス、ポート番号などの条件で通信を許可または遮断する。外部公開が不要なサービスへのアクセスは遮断できるが、通信内容や添付ファイル、サービスへの大量要求そのものを適切に判別する対策には向かない。

理由

パケットフィルタリングは、送信元・宛先アドレスやポート番号など、パケットの通信条件をルールと照合して通過可否を決める。外部から接続する必要のないサービスへの通信を遮断し、必要なサービスの通信を別途許可する制御が可能です。

比較

脆弱性攻撃は正規サービスの通信に含まれる場合があり、添付ファイルのマクロウイルスはメール内容の検査が必要になる。DoS攻撃も正当な通信と同じ経路を大量に使うため、パケットの外形だけを遮断すると必要なサービスまで影響を受ける。

選択肢ア（正解）

これは正解だよ。パケットフィルタリングは、送信元や宛先のアドレス、ポート番号など、通信の外形に基づいて通過を許可・拒否できる。したがって、外部公開が不要なサービス宛ての通信を遮断しても、公開が必要なサービスの通信を個別に許可するルールとは両立できる。

選択肢イ

これは不正解だよ。サーバで動作するソフトウェアの脆弱性を突く攻撃は、正規に公開しているサービスの通信に見せかけて行われる場合がある。通信先のポートを許可したままでは、パケットの通過だけを制御するフィルタリングルールで攻撃内容そのものを防ぐことはできない。

選択肢ウ

これは不正解だよ。電子メールの添付ファイルに含まれるマクロウイルスは、許可された電子メール通信の内容や添付ファイルに関わる脅威である。パケットフィルタリングは通信の外形を主に判定するため、必要なメール通信を保ったまま、添付ファイル内部のマクロだけを判別して防ぐ機能ではない。

選択肢エ

これは不正解だよ。電子メール爆弾などのDoS攻撃は、通常利用される通信を大量に発生させ、サービスの処理能力や回線を圧迫する攻撃である。単純に通信を許可すれば正当な利用も通り、遮断すれば本来必要なサービスにも影響するため、パケットフィルタリングだけで安全に防げるとはいえない。

学習のポイント

通信の外形を制御する機能と、内容を検査する対策の違いを理解する。