情報処理安全確保支援士試験 令和5年度 春期 午前II 問12

【正解】エ

インラインモードのIPSは、監視対象となる通信が必ずIPSを通過するように、通信経路上へ直列に設置されます。また、シグネチャ型は、既知の攻撃に固有のパケット列や文字列などをシグネチャとして定義し、それに合致する通信を不正と判定します。したがって、経路上に設置し、定義済みの異常な通信との一致によって遮断するエが適切です。IPS自身を通信が通過するので、不正パケットをその場で破棄できます。

アのミラーポートへの接続は誤りです。これは通信経路外でパケットの複製を監視する方式であり、さらに通常時からの逸脱で判定する部分はアノマリ型の説明です。

イのミラーポートへの接続は誤りです。シグネチャとの照合は正しいものの、経路外で監視する構成はインラインモードではなく、一般にIDSなどで用いる受動的な監視方式です。

ウの通常時の通信から外れた通信を不正とする説明は誤りです。経路上への設置はインラインモードですが、判定方式はシグネチャ型ではなくアノマリ型です。

【ポイント】 設置方式と検知方式は別々に整理します。インラインは通信経路上、ミラーポート方式は通信経路外です。 シグネチャ型は既知の攻撃パターンとの一致、アノマリ型は正常状態からの逸脱によって判定します。