平成26年度春期 情報処理安全確保支援士 午前Ⅱ 問6

午前II 問06：戻りの通信を“会話の続き”として見分ける仕組みだよ

これは、NATみたいにアドレスを書き換える話でも、アプリケーション層の中身を細かく調べる話でもないよ。たとえるなら、受付係が「さっき中から出した問い合わせへの返事だね」と過去の通信記録を見て、戻ってきたパケットを通してあげる方式なんだ。

この問題で問われていること

ポイントは、通信を1個ずつバラバラに見るのではなく、「前に通したリクエストと対応している戻りパケットか」を状態として追跡する仕組みを見抜けるかだよ。他の方式との違いをしっかり区別しよう。

State-Aware Packet Filtering

dynamic packet filtering allows return packets only when they correspond to previously permitted outbound requests

track request state\nallow matching return packet\nnot NAT\nnot application inspection

確認ポイント

• 通信状態を追跡する方式です。
• NAT の説明と混同しない。
• 戻り通信だけを許可できる。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。内部のIPアドレスを外向きの別の住所に変えて、家の間取りを外から見えにくくするような働きはNATの説明だよ。ステートフルインスペクションの主役は住所の変換ではなく、通信の行きと帰りのつながりを覚えてチェックすることなんだ。

選択肢イ

これは不正解だよ。暗号化された通信は、封をされた手紙みたいなものだから、普通のステートフルインスペクション型ファイアウォールが勝手に中身を復号して判断するわけではないよ。復号して中身を見るには、SSL/TLSを終端するプロキシなど別の仕組みが必要なんだ。

選択肢ウ

これは不正解だよ。パケットの中身、つまり手紙でいう本文まで読んで「このアプリの操作は怪しいぞ」と見るのは、アプリケーションゲートウェイやWAF寄りの役割なんだ。ステートフルインスペクションは、本文を細かく読む係というより、受付で「この返事はさっき中から出した問い合わせへの返事かな？」と流れを確認する係だよ。

選択肢エ（正解）

これは正解だよ。ステートフルインスペクションは、受付係が「さっきこちらから注文した荷物の配達だね」と記録と照合して通すイメージだよ。戻りのパケットも、過去に通したリクエストと対応しているものだけ通せるので、突然外から来た怪しい返事っぽい通信は止めやすいんだ。