平成23年度秋期 ITサービスマネージャ 午前Ⅰ 問15

パケットフィルタリングの防御対象整理

パケットフィルタリングを考えるときは、通信のどの側面を守る話なのかを切り分け、送受信の関係、通過点、適用される条件の粒度を順に整理します。用語の印象だけで判断せず、問われている観点を一つに絞って確認しましょう。

この問題で問われていること

説明が扱う防御対象の範囲と、制御が作用する位置の関係を見極め、設問が求める対象のレベルと説明の粒度が対応しているかだけを確認してください。細かな用語の連想や個別の動作を先に決めつけないことが重要です。

視点

防御対象を整理する際は、まず通信を構成する要素を抽象化し、次にどの境界で制御が働く想定かを対応づけます。最後に、設問が尋ねる対象のレベルと説明の粒度が一致しているかを見ます。

確認ポイント

• 設問が中心に置く防御対象の範囲を一文で言い換える
• 制御が働く位置と、守ろうとしている対象を混同していないか確認する
• 説明の粒度が問いの焦点と揃っているか、用語の印象に頼らず見直す

正解

ア

解説

パケットフィルタリング型ファイアウォールは、IPアドレスやポート番号などの通信条件に基づいて通過を許可または拒否する。公開していないサービスへの接続要求を遮断する用途に適している。一方、ソフトウェアの脆弱性攻撃、添付ファイル内のマクロウイルス、メール爆弾によるDoS攻撃には、内容検査や脆弱性対策、負荷制御など別の防御が必要になる。

理由

パケットフィルタリングは、送信元・宛先IPアドレス、プロトコル、ポート番号などを条件に通信を制御する。外部から利用させる必要のないサービスへの接続を、該当する通信条件で拒否できるため、アが適切です。

比較

脆弱性を突く攻撃やマクロウイルスは、許可された通信の内容やサーバ・端末上の処理に関係する。メール爆弾のようなDoS攻撃も、単純な通信条件の遮断だけでは必要なメール通信まで巻き込む可能性があり、内容検査、修正プログラム、レート制限などを組み合わせる必要がある。

選択肢ア（正解）

これは正解だよ。外部に公開していないサービスは、外部から接続を受け付ける必要がない。そのサービスが使用する宛先ポート番号や通信方向などをフィルタリングルールで拒否すれば、必要な公開サービスへの通信を許可したまま、不要な接続要求を遮断できる。

選択肢イ

これは不正解だよ。サーバで動作するソフトウェアの脆弱性を突く攻撃は、正規のポートを使い、許可された通信として到達する場合がある。パケットの送信元や宛先だけを条件にするフィルタリングでは、脆弱性の有無や攻撃内容を十分に判断できず、修正プログラムなどが必要になる。

選択肢ウ

これは不正解だよ。電子メールに添付されたファイルのマクロウイルスは、メール通信が許可された後の添付ファイルや端末上の実行内容に含まれる。パケットフィルタリングは通常、添付ファイル内のマクロの安全性を判定する機能ではないため、ウイルス対策ソフトなどが必要である。

選択肢エ

これは不正解だよ。電子メール爆弾などのDoS攻撃は、大量の通信やメールを送り付けてサービスの処理能力や回線を圧迫する。通常のメール通信まで必要なサービスとして許可している場合、単純なパケット条件だけでは攻撃と正常通信を区別しにくく、別の負荷制御や監視が必要になる。

学習のポイント

パケットのヘッダ情報で防げる攻撃と、内容や処理量の検査が必要な攻撃を区別する。