平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問10

サーバー生存確認用の「ping通信」を止めて、攻撃者から自分の存在を隠す

ファイアウォールでの通信制限についての問題だよ。「ping（ピング）」コマンドは、相手のサーバーが生きて動いているかを調べるツールで、「ICMP」というプロトコルを使ってパケットの往復テストをするんだ。悪者が「生きているサーバー」を探し回るのを防ぐために、外部からのpingに反応させたくない場合は、ファイアウォールで「ICMP（特にICMPエコーリクエスト）」という通信を遮断（ブロック）すればいいよ！

この問題で問われていること

ポート番号を持つTCP/UDPのサービス（DNSやFTPなど）と区別して、pingコマンドで使われているネットワーク制御用のプロトコル「ICMP」を止める対策を選択しよう。

ping の正体

ping は TCP や UDP のポート番号を使わず、ICMP Echo Request / Reply で到達確認を行います。したがって、応答を止める設定対象は ICMP になります。

送信元 -> ICMP Echo Request\n宛先 -> ICMP Echo Reply

確認ポイント

• 21 番や 53 番のような番号は別サービスの話です。
• ping をアプリケーションサービスとして見ないようにしましょう。
• 「応答しないようにする」なら、使っている ICMP を直接止めます。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはこの問題では正解だよ。pingはTCPやUDPのポート番号を使わず、ICMPという別の合図で「そこにいる？」と確認する仕組みなんだ。だから、pingに返事しないようにするには、特定の窓口番号ではなくICMPそのものを通さない設定にするんだよ。

選択肢イ

これは不正解だよ。TCP/UDPの53番はDNS、つまり名前をIPアドレスに変える案内所みたいな窓口だよ。DNSを止めると名前解決には影響するけど、pingの「そこにいる？」というICMPの合図を止める設定としてはズレているよ。

選択肢ウ

これは不正解だよ。TCPの21番はFTPというファイル転送サービスの受付窓口みたいなもの。今回止めたいのはpingだから、ファイル受け渡しの窓口を閉めても、pingへの返事を止める目的には合わないよ。

選択肢エ（正解）

これは不正解だよ。UDPの123番はNTP、つまり時刻合わせのための窓口だよ。家の時計を合わせに来る人を止めても、玄関で「いる？」と聞いてくるpingへの返事は止まらない、というイメージだね。