令和元年度秋期 情報処理安全確保支援士 午前Ⅱ 問5

午前II 問05：戻ってくる通信だけを通す“門番”の仕組みだよ

ダイナミックパケットフィルタリングは、社内PCなど内部から外部へ出ていった通信をいったん覚えておいて、その通信への返事として戻ってきたパケットだけを通す仕組みだよ。たとえるなら、受付で「この人はさっき中の人が呼んだお客さんだ」と確認できる相手だけを通す感じ。通信の状態を追跡して判断するので、ステートフルインスペクションに近い考え方だよ。

この問題で問われていること

この問題では、NATのようなアドレス変換、暗号通信を復号して中身を見る検査、アプリケーションごとに代理で通信するゲートウェイ機能と混同しないことが大事だよ。ポイントは「内部から始まった通信の状態を覚えて、その戻り通信だけを通す方式」を選べるかどうかだよ。

動的フィルタリング

先に要求パケットが通ったことを覚えておき、そのセッションに属する応答パケットだけを許可する。

要求パケット通過\n-> 状態記録\n-> 対応する応答だけ通過

確認ポイント

• IP アドレス変換は NAT の話です。
• 暗号化データ復号やアプリ層内容検査が本質ではありません。
• 戻りパケットを対応付けて通す説明を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。内部ネットワークの住所を外から見えにくくするのは、NATやNAPTの説明だよ。会社の内線番号を外部には代表番号だけで見せるようなイメージだね。通信を許可するかどうかを判断する仕組みそのものの説明ではないから、この選択肢は別の機能を説明しているんだ。

選択肢イ

これは不正解だよ。暗号化された通信は、鍵のかかった箱に入った荷物みたいなものなんだ。ファイアウォールがその合鍵を持っていなければ、中身を復号して確認することはできないよ。だから『暗号化されたデータ部を復号して判断できる』という説明は、一般的な機能としては言いすぎなんだ。

選択肢ウ（正解）

これは正解だよ。過去に内側から出ていったリクエストを覚えておいて、それに対応する返事だけを通す仕組みなんだ。たとえば受付で『この人はさっき宅配便を頼んだから、その返送品は通してOK』と記録を見て判断する感じだよ。勝手に来た怪しい荷物は止めるけど、こちらから頼んだ返事なら通せる、というのがポイントだね。

選択肢エ

これは不正解だよ。パケットの中身、つまり手紙でいう本文まで読んでアプリの不正操作を見つけるのは、WAFやアプリケーションゲートウェイのような役割なんだ。普通のパケットフィルタリングやステートフルな通信確認は、主に宛先・送信元・ポート番号・通信の流れを見るイメージだよ。封筒の宛名や受付記録を見る係であって、本文を細かく読んで泥棒の作戦を見抜く係ではないんだ。