令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12：IPSは“通り道の検問”、IDSは“横から見張る監視員”だよ

インラインモードのシグネチャ型IPSは、通信の通り道に直接置かれる“検問所”みたいなものだよ。通信が通るたびに中身を見て、登録済みの攻撃パターン、つまりシグネチャに合ったものを見つけたら、その場でリアルタイムに止めるんだ。一方、ミラーポート接続は通信をコピーして横から観察する形なので、どちらかというとIDSのように“見つけて知らせる”役割に近いよ。

この問題で問われていること

この問題では、装置を通信経路上に置いて止めるのか、横から見て検知するのかという配置形態と、シグネチャで攻撃パターンを見分ける検知方式を正しく組み合わせて区別できるかを確認しよう。

インライン IPS

経路上に置いてシグネチャ一致パケットをその場で止める。

通信経路上\n+ シグネチャ一致\n-> 遮断

確認ポイント

• ミラーポート接続はインラインではありません。
• 通常から外れた通信を見つけるのはアノマリ型の特徴です。
• 経路上設置かつシグネチャ一致遮断を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは間違いだよ。ミラーポートに接続するのは、通信のコピーを横から見る防犯カメラのような方式で、インラインモードではないよ。さらに「通常時の通信から外れた通信」を不正と見るのはアノマリ型なので、インラインモードでもシグネチャ型でもない説明になっているんだ。

選択肢イ

これは間違いだよ。シグネチャ型として「定義した異常な通信と合致する」は合っているけど、ミラーポートに接続する方式は、通り道の外から防犯カメラで見ている感じなんだ。インラインモードは検問のように通信の通り道に直接入って止める方式なので、設置場所が違うよ。

選択肢ウ

これは間違いだよ。通信経路上に置くというインラインモードの説明は合っているけど、「通常時の通信から外れた通信」を怪しいと見るのはアノマリ型の考え方だよ。シグネチャ型は、普段と違うかではなく、指名手配リストに載っている攻撃パターンと一致するかで判断するんだ。

選択肢エ（正解）

これは正解だよ。インラインモードのIPSは、道路の途中にある検問みたいに通信の通り道そのものに置かれて、怪しい車をその場で止められるんだ。さらにシグネチャ型は、指名手配写真と照合する感じで「定義済みの攻撃パターン」と一致した通信を不正と判断するので、この説明はぴったりだよ。