ネットワークスペシャリスト試験 令和5年度 春期 午前II 問18

【正解】エ

インラインモードのIPSは、監視対象の通信が必ずIPSを通過するように、通信経路上へ直列に設置されます。そのため、不正と判定したパケットをその場で破棄し、後続のネットワークへ到達させない能動的な防御ができます。また、シグネチャ型は、既知の攻撃に見られる文字列、命令列、通信手順などをあらかじめ検知ルールとして定義し、それと合致する通信を不正と判断します。設置方式と検知方式の両方を正しく表しているエが正解です。

アのミラーポートに接続するという説明は誤りです。ミラーポートを使う方式は、通信経路外で複製パケットを受け取るプロミスキャスモードです。さらに、通常時から外れた通信を検知する部分は、シグネチャ型ではなくアノマリ型の説明です。

イもミラーポートに接続する点が誤りです。定義した異常な通信との照合はシグネチャ型ですが、経路外で監視する構成はインラインモードではありません。経路外の装置は、通過中の不正パケットを直接破棄できません。

ウの通信経路上に設置する点はインラインモードとして正しいですが、通常時の通信からの逸脱を不正と判断する点が誤りです。これは、正常時の基準と比較するアノマリ型の検知方式です。

【ポイント】 インラインか経路外かは設置方式、シグネチャ型かアノマリ型かは検知方式であり、別々の観点です。 IPSは遮断を行い、IDSは主に検知と通知を行うという違いも押さえてください。