平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問15

午前II 問15：pingを止めたいならICMPを止めよう

DMZ上のサーバに対して、インターネットからのpingに返事をさせたくないなら、通さないようにする相手はICMPだよ。pingは「そこにいる？」と確認する呼びかけみたいなもので、その呼びかけにはTCPやUDPではなくICMPが使われるんだ。

この問題で問われていること

この問題では、pingが使うプロトコルは何かを押さえよう。Webなら80番や443番、DNSなら53番のようにTCP/UDPのポート番号で考えたくなるけど、pingはポート番号ではなくICMPで考えるのがポイントだよ。

ping の正体

ping は ICMP Echo Request / Reply で動作するため、HTTP や FTP のようなポート番号ベースの通信ではありません。応答を止めるには ICMP を遮断します。

ICMP Echo Request\nICMP Echo Reply

確認ポイント

• 21 や 110、123 は別サービスの番号です。
• ping を TCP/UDP アプリケーションと考えないようにします。
• プロトコル名そのものを止める発想で選びます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

この問題文なら、ICMPは本来の正解だよ。pingは、郵便物を特定の窓口番号に出すというより、「いますか？」と呼び鈴を鳴らす確認みたいな通信で、ICMPのエコー要求・応答を使うんだ。だからpingに応答させたくないなら、ファイアウォールでICMPを通さないようにするのが正しいよ。提示された判定は問題内容と矛盾しているよ。

選択肢イ

TCPのポート番号21は不正解だよ。これはFTPの制御用、つまりファイル転送の受付窓口なんだ。ファイル受け渡し窓口を閉めても、pingの確認そのものとは別物なので、ping応答の防止にはならないよ。

選択肢ウ

TCPのポート番号110は不正解だよ。これはPOP3、つまりメールを取りに行くための窓口なんだ。郵便受けの窓口を閉めても、家の外から「いる？」と確認するpingの呼びかけは別ルートなので、止める対象としては違うよ。

選択肢エ

UDPのポート番号123は不正解だよ。これはNTP、つまり時刻合わせ用の窓口なんだ。時計を合わせる受付を閉めても、pingの「そこにいますか？」という呼び鈴は止まらない、というイメージだよ。