平成21年度秋期 システムアーキテクト 午前Ⅱ 問25

防御手段の判断材料と脅威の対応

ある防御手段で防げるかどうかは、その手段が通信のどの情報を見て判断しているかに左右されます。まず判断材料を自分の言葉で整理し、それぞれの脅威がどの情報に現れるかを突き合わせて考えてみましょう。

この問題で問われていること

問われているのは個々の脅威の知識そのものより、防御手段が参照する情報の範囲と、脅威の特徴が現れる場所とが重なるかどうかを見極める力です。重ならないものは、別の対策の役割になると考えられます。

視点

通信は複数の階層に分けて整理できます。防御の仕組みによって、どの階層のどの情報を検査するかが異なります。脅威も、どの階層の情報を悪用したり偽装したりするかによって性質が変わります。防御の仕組みと脅威を同じ物差しで並べて比べることが、検討の出発点になります。

確認ポイント

• 対象の防御手段が判断に使う情報を、学習した範囲で具体的に書き出せるか
• それぞれの脅威の特徴が、通信のどの部分・どの階層の情報に現れるかを整理できたか
• 防御手段の判断材料と脅威の特徴が重なるかどうかを、根拠を添えて区別できたか

正解

ア

解説

パケットフィルタリングは、IPアドレスやポート番号などを基に通信を制御する。外部から利用されないサービスへの通信を遮断すれば、公開している必要なサービスへの通信を維持したまま不正なアクセスを防止できる。

理由

外部に公開していないサービスは、外部からのアクセスを許可する必要がない。そのサービスが使用するポートなどをフィルタリングルールで遮断すれば、公開が必要な別サービスの通信を維持しながらアクセスを防げる。

比較

ソフトウェアの脆弱性を突く攻撃や添付ファイル中のマクロウイルスは、許可された通信に含まれる内容の検査が必要になる。また、電子メール爆弾などのDoS攻撃は、単純な通信条件の遮断だけでなく、通信量の制御なども関係する。

選択肢ア（正解）

これは正解だよ。外部に公開していないサービスは、外部から利用させる必要がないため、そのサービスが使用するポート番号などを条件に通信を遮断できる。公開が必要な他のサービスを許可するルールと組み合わせれば、本来必要なサービスへの影響を抑えられる。

選択肢イ

これは不正解だよ。サーバで動作するソフトウェアの脆弱性を突く攻撃は、正規に公開しているサービスへの通信に含まれることがある。パケットフィルタリングは主にヘッダ情報を判定するため、脆弱性を悪用する通信内容そのものの検査までは行えない。

選択肢ウ

これは不正解だよ。電子メールに添付されたファイルのマクロウイルスを防ぐには、メールの添付ファイルやその内容を調べる必要がある。パケットフィルタリングは通信の宛先やポートなどを制御する仕組みで、添付ファイルの内容を判定する機能ではない。

選択肢エ

これは不正解だよ。電子メール爆弾などのDoS攻撃は、大量の通信やメールによってサービス資源を消費させる攻撃である。単にパケットの送信元や宛先を条件にするだけでは十分に対処できず、通信量の制限や負荷対策などが必要になる。

学習のポイント

パケットフィルタリングの判定対象と、内容検査やDoS対策との役割分担を理解する。