応用情報技術者 2014年 秋期 午後 問01

問題文の前提
・下線①には「①FWによるIPアドレスやポート番号を用いたパケットフィルタリングだけでは外部からの攻撃を十分に防ぐことができない」と記載されています。
・FW（ファイアウォール）の基本機能は「IPアドレスやポート番号」による層3／層4フィルタリングであり、通信を許可したサービスの“内容”までは検査しません。

各選択肢とFWの可否判断
ア：「DNSサーバを狙った、外部からの不正アクセス攻撃」
　　– DMZにはDNSサーバが公開されており、FWは53/TCP・UDP通信を許可している想定です。ポート自体は許可されるため、DNSサービスの弱点を突く不正アクセスはFWでは検知・遮断できません。
イ：「WebサーバのWebアプリケーションプログラムの脆弱性を悪用した攻撃」
　　– Webサーバは80/TCPや443/TCPで公開済みです。FWはポートを開けるだけなので、アプリケーション層での SQL インジェクション等は通過してしまいます。
ウ：「内部Webサーバを狙った、外部からの不正アクセス攻撃」
　　– 内部Webサーバは内部セグメントにあり、外部からのHTTPポートはFWで閉じられています。よってFWが遮断可能です。
エ：「ファイルサーバを狙った、外部からの不正アクセス攻撃」
　　– ファイルサーバも内部セグメントのため、外部向けポートは開放されておらずFWで遮断可能です。
オ：「プロキシサーバを狙った、外部からのポートスキャンを悪用した攻撃」
　　– DMZに存在するプロキシサーバの不要ポートはFWで閉じられている前提です。ポートスキャン自体は行われるものの、本質的な攻撃（未使用ポートへの到達）はFWで防御できます。

結論
FWだけでは防げない＝アプリケーション層を突く、またはポート開放が必須で中身の検査ができない攻撃に該当するため、該当する選択肢は
「ア、イ」となります。

【問題文】には
　「案1：社内ネットワークのルータとFWの間にネットワーク型のIPSを導入する。」
　「今回、dを目的とする場合には案1を…」
　とあります。ネットワーク型IPSはネットワークの“入口”に置き、通過する全通信を検査します。したがって X社全体を対象に「外部からの不正アクセス攻撃」を検出・遮断するのが主目的です。解答群でこれに該当するのは
　「ウ：外部からの不正アクセス攻撃の検出や防御をX社の社内ネットワーク全体に対して行うこと」。
　よって d＝「ウ」です。

同じく【問題文】には
　「案2：セキュリティ強化の対象とするサーバにWAFを導入する。」
　「eを目的とする場合には案2を選択…」
　とあります。さらに前段で
　「WAFは、cことができる」
　と述べ、図2の要件「2.3 Webアプリケーションプログラムの脆弱性を悪用した攻撃を防ぐために…」に対応させています。WAFはHTTPレイヤでWebアプリケーションの脆弱性攻撃を検出・防御する製品なので、解答群では
　「イ：WebサーバのWebアプリケーションプログラムの脆弱性を悪用した攻撃の検出や防御」
　が適切です。したがって e＝「イ」です。

よって最終解答は
　d：ウ
　e：イ