情報処理安全確保支援士試験 令和3年度 秋期 午前II 問6

【正解】ウ

ステートフルパケットインスペクションは、通信の状態を記録し、その記録に基づいてパケットの通過可否を判断する方式です。例えば、内部端末から外部サーバへ接続要求を送ると、送信元と宛先のIPアドレス、ポート番号、TCPの状態などが状態管理表に記録されます。その後に外部から到着したパケットが、先に送った要求に対する正当な応答であると確認できれば、戻りの通信として通過させます。したがって、ウが正解です。

アのIPアドレス変換による内部構成の隠蔽は誤りです。これは、プライベートIPアドレスとグローバルIPアドレスを変換するNATやNAPTの説明です。

イの暗号化されたデータ部を復号して判定することは誤りです。これは、TLS通信をいったん終端して内容を検査するSSL／TLSインスペクションの説明です。通常のステートフル検査だけでは暗号文の内容を確認できません。

エのデータ部を調べてアプリケーション層の攻撃を防ぐことは誤りです。これは、アプリケーションゲートウェイや、Web通信を対象とするWAFなどの説明です。

【ポイント】 ステートフル型は通信の状態を管理するため、単純な送信元・宛先情報だけを見るスタティックなパケットフィルタリングより精密に判断できます。 「先行する要求と戻りの応答の対応関係を確認する」という特徴を覚えてください。