令和元年度秋期 ITサービスマネージャ 午前Ⅰ 問12

機能と効果の因果関係を確かめる

セキュリティ機能の効果を問う問題では、その機能が通信のどの情報に対して何を行うのかをまず整理し、そこから直接導ける効果かどうかを一つずつ確かめる姿勢が役立ちます。他機能の効果との混同に注意しましょう。

この問題で問われていること

着目点は一つ、「その機能の動作から、その効果が本当に生じるのか」という因果のつながりです。検討する効果ごとに、機能の仕組みだけで説明できるか、別の仕組みを前提にしていないかを自分の言葉で確認してください。

視点

ファイアウォールは複数の機能を組み合わせて動作しており、機能ごとに扱う対象や働くタイミングが異なります。ある効果がどの機能に由来するのかを切り分けて考えると、機能の名称と効果の対応を取り違えにくくなります。変換の前後で通信の何が変わり何が変わらないのかを、自分で簡単な図に描いて整理してから考えると、効果の由来を判断しやすくなります。

確認ポイント

• アドレス変換の前後で、通信のどの部分が書き換えられるのかを自分で説明できるか
• 検討している効果が、その書き換えだけで成立するのか、別の機能を前提としているのか
• 結果として起こりうることと、その機能の目的や直接の効果とを区別して考えているか

正解

エ

解説

NAPTは、内部PCのプライベートIPアドレスとポート番号を、グローバルIPアドレスとポート番号に変換する機能だよ。対応表は内部から始めた通信で作られる。そのため、外部から一方的に来た通信は内部PCに届きにくくなり、不正アクセスを困難にできるんだ。正解はエだよ。

理由

内部PCがインターネットへアクセスすると、NAPTは送信元のプライベートIPアドレスとポート番号を、グローバルIPアドレスと別のポート番号に書き換えるよ。この対応は変換表に記録されるんだ。外部からは内部PCの本当のアドレスが見えないし、変換表にない通信が外部から一方的に来ても、転送先の内部PCが決まらない。そのため、利用者PCへの不正アクセスが困難になるんだ。

比較

NAPTは、アドレスとポート番号を変換するだけの機能だよ。通信内容を見て攻撃かどうかを判断する機能ではないんだ。公開Webサーバの脆弱性を突く攻撃への防御はWAF、侵入の検知と遮断はIDS/IPSの役割だよ。特定のWebサービスへのHTTP通信の遮断は、URLフィルタリングやプロキシが担うんだ。どれもNAPTの効果ではないよ。

選択肢ア

これは不正解だよ。公開Webサーバの脆弱性を突く攻撃は、HTTPリクエストの中身に攻撃コードを含めることが多いよ。防ぐには、WAFなどで通信内容を検査する必要があるんだ。NAPTはアドレスとポート番号を変換するだけで、許可された通信の中身は判断しないから、この効果には当たらないよ。

選択肢イ

これは不正解だよ。インターネットからの侵入を検知して、検知後の通信を遮断するのはIDSやIPSが担う機能だよ。NAPTは変換表に従って、パケットのIPアドレスとポート番号を書き換える仕組みなんだ。通信を分析して侵入を検知する機能は持っていないから、説明として合わないよ。

選択肢ウ

これは不正解だよ。特定のWebサービスを利用するHTTP通信を見分けて遮断するのは、URLフィルタリングやプロキシなど、アプリケーション層を検査する機能の役割だよ。NAPTは宛先URLやHTTPの内容を見て通信を選別する機能ではないから、この効果は当てはまらないんだ。

選択肢エ（正解）

これは正解だよ。NAPTでは、内部PCのプライベートIPアドレスとポート番号がグローバルIPアドレスとポート番号に変換されるから、外部からは内部PCのアドレスが見えないよ。変換表の対応は内部から始めた通信で作られるので、外部から一方的に来たパケットは内部PCに転送されにくいんだ。だから、不正アクセスを困難にできるよ。

学習のポイント

NAPTの変換の仕組みと、WAF・IDS/IPS・URLフィルタリングなど内容を検査する機能との違いを区別すること。