令和4年度春期 システムアーキテクト 午前Ⅱ 問20

機能の処理対象と効果の対応を確かめる

セキュリティ機能の効果を考えるときは、その機能が通信のどの部分に手を加えるのかを先に押さえ、そこから直接導ける効果と、別の仕組みが担うべき効果とを区別して考えることが大切です。

この問題で問われていること

問われているのは、ある機能を導入した結果として得られる効果についての因果関係の整理です。機能が実際に扱う範囲を超えた効果を結び付けていないかを、候補ごとに落ち着いて吟味する姿勢が求められます。

視点

ネットワーク機器の機能は、何を受け取り、何を参照・判断し、何を変えて送り出すかという流れで整理できます。セキュリティ上の効果は、この処理の前後で何が変わり、何が変わらないかから説明されるものです。セキュリティの効果にはそれぞれ担い手となる仕組みがあり、一つの機能がすべてを兼ねるとは限りません。機能名の印象ではなく、処理の中身から効果を考える習慣をつけましょう。

確認ポイント

• その機能が処理の中で参照したり書き換えたりする対象は何かを、自分の言葉で説明できるか
• 処理の前後で変化するものと変化しないものを区別して整理できているか
• 検討している効果が、その処理から直接説明できるものか、別の仕組みを前提にしたものかを確かめたか

正解

エ

解説

NAPTは内部ネットワークの端末が外部通信を行う際にアドレスやポートを変換し、外部から内部端末へ直接アクセスしにくくする。攻撃検知やHTTP内容による遮断とは役割が異なる。

理由

NAPTでは、内部ネットワークのプライベートアドレスをグローバルアドレスなどに変換する。外部から内部端末へ開始した通信は変換状態に対応しないため、直接到達しにくくなり、不正アクセスの困難化につながる。

比較

脆弱性を悪用する攻撃の防御、侵入の検知と遮断、特定WebサービスのHTTP通信の判定は、それぞれIPSやIDS、アプリケーション層のフィルタリングなどが担う機能であり、NAPTそのものの効果ではありません。

選択肢ア

これは不正解だよ。DMZ上の公開Webサーバは外部公開を前提としており、NAPTによってそのサーバの脆弱性を悪用する攻撃を防御できるわけではない。脆弱性への攻撃防御には、IPSやWebアプリケーションファイアウォールなどの機能が関係する。

選択肢イ

これは不正解だよ。インターネットから内部ネットワークへの侵入を検知し、検知後の通信を遮断するのは、IDSやIPSなどの侵入検知・防御機能の役割である。NAPTは通信のアドレスやポートを変換する機能で、侵入の検知機能ではない。

選択肢ウ

これは不正解だよ。インターネット上の特定Webサービスを利用するHTTP通信を内容に基づいて検知し、遮断するには、URLやアプリケーション層を識別するフィルタリング機能が必要である。NAPTはHTTPの内容を判定する機能ではない。

選択肢エ（正解）

これは正解だよ。NAPTは内部ネットワークの利用者PCが外部通信を行う際にアドレスやポートを変換する。そのため、外部から利用者PCへ直接開始する通信は対応する変換状態を作りにくく、インターネットからの不正アクセスを困難にできる。

学習のポイント

NAPT、IDS・IPS、アプリケーション層フィルタリングの役割を区別する。