令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

午前II 問13

インラインモードで動くアノマリ型IPSは、通信の通り道に置く“関所”みたいなものだよ。ふだんの通信の動き方を覚えておいて、「いつもと違う怪しい動きだ」と判断した通信を、その場で止める仕組みだよ。

この問題で問われていること

ポイントは、IPSをどこに置くのかと、何を見て不正と判断するのかをセットで区別することだよ。通り道で止めるのがインライン、ふだんとの違いで見つけるのがアノマリ型、と整理しよう。

インライン・アノマリ型 IPS

経路上に設置し、通常モデルとの差分で異常を検知して止める。

通信経路上\n+ 通常からの逸脱検知\n-> 遮断

確認ポイント

• ミラーポート接続ならインラインではありません。
• 異常な通信パターンを定義するのはシグネチャ型寄りです。
• 経路上設置かつ通常逸脱検知を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ミラーポートにつなぐ方式は、通路の横から防犯カメラで見ているだけのイメージで、通信の通り道そのものにはいないんだ。だから怪しい人を見つけることはできても、その場で通せんぼして遮断するIPSの説明としては合わないよ。さらに「異常な通信パターンに一致したら止める」はシグネチャ型寄りで、今回のアノマリ型とは違うよ。

選択肢イ

これは不正解だよ。「普段と違う動きを怪しいと見る」という考え方はアノマリ型として合っているよ。でも、ミラーポート接続は道路脇の監視カメラみたいなもので、通信の通り道の外から見ているだけなんだ。IPSとして遮断するには、検問所みたいに通信経路上に置く必要があるよ。

選択肢ウ

これは不正解だよ。IPSを通信経路上に置いて遮断できる、という部分は合っているよ。ただし「異常な通信をあらかじめ定義し、それに一致したら不正」は、指名手配写真と照合するシグネチャ型の考え方なんだ。今回のポイントは、普段の通信から外れたものを怪しいと見るアノマリ型だよ。

選択肢エ（正解）

これが正解だよ。IPSは通信の通り道に置く検問所みたいなものだから、怪しい通信を見つけたらその場で止められるんだ。さらにアノマリ型は「いつもの通行パターン」を覚えておいて、そこから大きく外れた動きを不正と判断する方式だよ。普段と違う動きを見つけて止める、という説明なので正しいよ。