平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

外から入ってきた手紙の差出人が「うちの会社の社員（内部IP）」になっていたら、偽物（IPスプーフィング）とみなして捨てる

送信元IPアドレスを偽装する攻撃「IPスプーフィング」の防御対策についての問題だよ。インターネット（外側）から会社のネットワークに入ってくるパケットのヘッダーを見てみたら、差出人（送信元IP）が「社内のネットワーク（内部IPアドレス）」になっていたとする。外から社内IPを名乗って入ってくる通信なんてあり得ないよね！だから、ファイアウォールでこの矛盾したパケットを入り口で弾くように設定するんだ。

この問題で問われていること

パケットフィルタリングのルール設定として、「インターネット側からの受信ポートにおいて、送信元IPアドレスが内部（自組織）のプライベートIPアドレス範囲になっている通信を遮断する」フィルタ記述を見抜こう。

送信元詐称の見つけ方

インターネットの外から来たパケットなのに、送信元が社内アドレスになっているのは不自然です。この矛盾を使って spoofing を検出し、遮断します。

外部から到来\n送信元 IP が自ネットワーク\n-> 偽装とみなして遮断

確認ポイント

• TCP や UDP の一般的な許可制御だけでは spoofing 対策になりません。
• 宛先 IP が内部ホストであること自体は、普通にあり得ます。
• 送信元 IP の不自然さに注目します。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。不要なTCP接続要求を止めるのは、知らない人が勝手にドアをノックしてきたら開けない、という基本的な防御だよ。でも今回のポイントは「送信元IPアドレスのなりすまし」を見抜くことなので、IPスプーフィング対策としては直接の答えではないよ。

選択肢イ

これは不正解だよ。UDPの不要な通信を止めるのは、入口で「用事のない窓口には通さない」ような一般的な防御だよ。ただし、IPアドレスを偽って社内の人のふりをするIPスプーフィング対策そのものではないんだ。

選択肢ウ

これは不正解だよ。直接インターネットと通信すべきでない社内PC宛ての通信を止めるのは、奥の部屋に外部から直接入れないようにする対策だよ。大事な防御だけど、外から来た人が社内の人の名札を付けているかを見分けるIPスプーフィング対策とは別物だよ。

選択肢エ（正解）

これは正解だよ。IPスプーフィングは、外から来た人が「私は社内の人です」と名札を偽るような攻撃なんだ。外部から入ってきたのに送信元IPアドレスが自ネットワークのものなら、その名札はおかしいよね。だからファイアウォールで止めるのが有効だよ。