システムアーキテクト試験 令和4年度 春期 午前II 問20

【正解】エ

NAPTは、内部ネットワークの複数の利用者PCが持つプライベートIPアドレスとポート番号を、ファイアウォールなどが持つグローバルIPアドレスと別のポート番号に変換する機能です。内部から通信を開始すると変換対応表が作成され、インターネットから戻る応答はその表に従って元のPCへ転送されます。一方、対応表にないインターネット側からの一方的な通信は、転送先となる内部PCを特定できません。このため、内部PCのアドレスを直接指定した不正アクセスが困難になり、エが正解です。

アの公開Webサーバの脆弱性を悪用する攻撃を防御できるという説明は誤りです。NAPTはアプリケーションの内容や脆弱性を検査しません。この種の攻撃には、脆弱性の修正、WAF、IPSなどを利用します。

イの侵入を検知し、検知後の通信を遮断するという説明は誤りです。侵入の検知はIDS、検知と自動遮断はIPSの役割です。NAPT自体は攻撃を判定する機能ではありません。

ウの特定のWebサービスへのHTTP通信を検知し、遮断するという説明は誤りです。これはURLフィルタリング、プロキシ、アプリケーション制御機能などの役割です。NAPTは主にIPアドレスとポート番号を変換します。

【ポイント】 NAPTは、NATにポート番号の変換を加え、複数の内部端末で一つのグローバルIPアドレスを共有できる仕組みです。 副次的な防御効果はありますが、ポート転送を設定した通信や内部から開始した通信は通るため、アクセス制御やIDS・IPSとの併用が必要です。