平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問11

VLANでネットワークを部屋分けする効果だよ

VLANは、1台のスイッチの中をいくつかの“別々の部屋”に分けるような仕組みだよ。部屋を分けると、ブロードキャストという全員向けのお知らせも同じVLAN内にしか届かなくなる。だから、アドレス情報などが関係ない端末にまで広がりにくくなり、情報が余計に見えてしまうリスクを下げられるんだ。

この問題で問われていること

この問題では、ICMPを止める話やMACアドレスで認証する話ではなく、VLANでネットワークを分けるとブロードキャストの届く範囲を狭められる、というセキュリティ上の効果を選べるかがポイントだよ。

VLAN 分割の効果

ARP や各種ブロードキャストは同一 VLAN 内だけへ届くため、ネットワークを分けない場合より情報露出範囲を狭められる。

VLAN ごとにブロードキャストドメイン分離\n-> 情報到達範囲を限定

確認ポイント

• VLAN 機能だけで ICMP を全遮断するわけではありません。
• MAC アドレスによる接続可否判定を自動で行うわけでもない。
• ブロードキャスト到達範囲の制限を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。VLANでポートをグループ分けしても、スイッチがICMP、つまりpingみたいな通信を全部止めるわけではないんだ。部屋を仕切りで分けることはできても、特定の種類の手紙を全部没収する受付係になるわけではない、というイメージだよ。

選択肢イ（正解）

これが正解だよ。VLANでセグメントを分けると、ブロードキャストという「同じ部屋のみんな聞いて！」という呼び掛けが、別の部屋まで届きにくくなるんだ。学校の放送をクラス内だけに絞るようなもので、ARPなどのアドレス情報が余計な範囲に広がるリスクを減らせるよ。

選択肢ウ

これは間違いだよ。MACアドレスで接続可否を判断するのは、ポートセキュリティなど別の機能の話だよ。VLANは席や部屋を分ける仕組みであって、入口で身分証を見て入室OKか判定する警備員そのものではないんだ。

選択肢エ

これは間違いだよ。物理ポートごとに決まったIPアドレスのPCだけを許可する、というのはVLANの基本機能ではないよ。VLANは住所の許可リストを作る仕組みではなく、机の島を分けて会話の届く範囲を区切る仕組み、と考えると分かりやすいよ。