令和5年度春期 ITストラテジスト 午前Ⅰ 問15

技術の目的と要件の対応を確かめる

セキュリティ技術は名称が似ていても、それぞれ解決しようとする課題が異なります。問題が求めている要件を自分の言葉で整理し、各技術が本来何のために使われるものかを思い出して、両者が対応しているかを一つずつ照らし合わせましょう。

この問題で問われていること

問われているのは、技術の名前を覚えているかではなく、その技術がどのような目的で導入されるかという理解です。要件の中の条件（環境や制御の対象など）を読み落とさず、目的が一致する技術かどうかを判断する観点が中心になります。

視点

一つの技術でも、何を守るのか、誰や何を対象にするのか、どの時点で働くのかによって役割が異なります。名称や略語の印象で判断せず、その技術が導入される目的を一文で説明できるかを自分で確かめると、要件との対応を判断しやすくなります。

確認ポイント

• 問題が求めている要件を、条件を省かずに自分の言葉で一文にまとめたか
• 検討する各技術について、本来の導入目的を一文で説明できるか
• 名称の印象ではなく、目的と要件が一致しているかどうかで判断しているか

正解

エ

解説

正解はエの認証VLANだよ。PCを接続したときの認証結果に応じて所属VLANを動的に割り当てるので、フリーアドレス制でどの席のLANポートにつないでも、幹部のPCだけを特定のIPセグメントに収容できるんだ。

理由

要件は、1台のスイッチに全てのPCとサーバがつながった環境で、幹部のPCにだけ特定IPセグメントのアドレスを動的に割り当てることだよ。ただしフリーアドレス制のため、幹部が接続するLANポートは日によって変わるんだ。認証VLANなら、PCを接続したときに利用者や端末を認証し（例：IEEE 802.1X）、その結果に応じて幹部用VLANに所属させられるよ。そのVLANのIPセグメントからのアクセスだけをサーバで許可すれば、幹部のPCだけがサーバにアクセスできるようになるんだ。

比較

スタティックVLANはポートごとに所属VLANを固定するので、座る席が変わるフリーアドレス制には合わないよ。IDSは不正な通信を検知する技術で、IPマスカレードは内部アドレスを外部向けに変換する技術なんだ。どちらも、幹部のPCだけを特定のセグメントに振り分ける仕組みではないよ。

選択肢ア

これは不正解だよ。IDS（侵入検知システム）は、ネットワークやホストの通信・ログを監視して、不正アクセスや攻撃の兆候を検知し、管理者に通知する技術だよ。幹部のPCに特定IPセグメントのアドレスを動的に割り当てる機能はないし、PCをセグメント単位で分ける仕組みでもないから、この要件は満たせないんだ。

選択肢イ

これは不正解だよ。IPマスカレード（NAPT）は、複数の内部端末のプライベートIPアドレスとポート番号を、一つのグローバルIPアドレスとポート番号に変換して外部と通信させる技術だよ。今回の通信は1台のスイッチでつながった内部ネットワーク内で完結しているし、幹部のPCだけを特定のIPセグメントに所属させる目的にも合わないんだ。

選択肢ウ

これは不正解だよ。スタティックVLANは、スイッチのポートごとに所属VLANを固定で設定する方式だよ。フリーアドレス制では、幹部も一般従業員も日によって違う席のLANポートにPCを接続するんだ。そのため、一般従業員のPCが幹部用セグメントに入ったり、幹部のPCが別のセグメントに入ったりしてしまい、要件を満たせないよ。

選択肢エ（正解）

これは正解だよ。認証VLANは、PCをLANポートに接続したときに利用者や端末を認証し、その結果に応じて所属VLANを動的に割り当てる技術だよ。どの席のポートにつないでも幹部のPCだけを幹部用VLANに収容し、そのIPセグメントのアドレスを割り当てられるんだ。サーバでそのセグメントからのアクセスだけを許可すれば、要件を満たせるよ。

学習のポイント

VLANの割当て方式として、ポートで固定するスタティックVLANと、認証結果で動的に決める認証VLANの違いを押さえよう。