応用情報技術者 2018年 春期 午前2 問44

パケットフィルタリング【午前2解説】

正解の理由

解法ステップ

1. パケットフィルタリングが「何を見て判断するか」を確認する（主にOSIの第3層・第4層のヘッダ）。
2. 各選択肢の攻撃や対象が「ヘッダ情報のみで判別できるか」「ペイロード（アプリケーション層）を解析する必要があるか」「大量トラフィックによるサービス停止か」を判定する。
3. 「ヘッダだけで精確にブロックでき、かつ正規のサービスに影響を与えない」ものを選ぶ。これに該当するのが ア です。

選択肢別の誤答解説

• ア: 外部に公開しないサーバへのアクセス
  パケットフィルタは宛先IPやポートで遮断できるため、公開すべきでないサーバへの外部アクセスだけを止められ、他サービスに影響を与えにくい。必要に応じてアクセス元ネットワークを限定するルールも設定可能。
• イ: サーバで動作するソフトウェアの脆弱性を突く攻撃
  多くは正規プロトコル（例：HTTP）を使ってペイロード内で悪用します。パケットフィルタではペイロード内容を判別できないため、該当攻撃をブロックするにはWAF、アプリケーション層のパッチ適用やDPIが必要。ポートを閉じれば防げるが、それは「本来必要なサービスに影響を及ぼす」ため問意に合わない。
• ウ: 電子メールに添付されたファイルに含まれるマクロウイルスの侵入
  添付ファイルの内容はアプリケーション層のデータであり、検出にはメールゲートウェイでのウイルススキャンやエンドポイントのアンチウイルスが必要。パケットヘッダだけでは対応不可。
• エ: 不特定多数の IoT機器から大量のHTTPリクエストを送り付ける DDoS 攻撃
  分散元が多数であり、宛先は正規のHTTPポートであるため、ポート単位で遮断すると正規利用者に影響が出る。ソースIPを個別に遮断しても効果が限定的。DDoS対策はレート制御、CDN、スクラビングサービス等が必要。

よくある誤解

• ステートフルインスペクションはアプリケーション層を解析すると思い込む誤解
  ステートフルインスペクションはトランスポート層（TCPセッションなど）の状態を追跡して許可判断を行う技術で、ペイロードの内容（アプリケーション層データ）を解析するのはアプリケーションゲートウェイ（プロキシ）やディープパケットインスペクション（DPI）です。
• パケットフィルタでマルウェアやメール添付を検知できると考える誤解
  ヘッダ情報だけでマルウェアを特定することは原理的に難しく、専用の検査機構が必要です。
• DDoSは単純なフィルタルールで容易に防げると考える誤解
  大量分散ソースや正規ポートを狙う攻撃は、単純なパケットフィルタだけでは正規利用者を巻き込まずに防ぐのは困難です。

補足コラム

• パケットフィルタリング（L3/L4フィルタ）: IPアドレス、ポート、プロトコル、TCPフラグ等を基に高速にフィルタリング。性能面で有利だが、アプリケーション層の脅威には無力。
• ステートフルファイアウォール: コネクションテーブルを保持し、応答パケットのみ許可するなどより正確なセッション制御を行う（ただしアプリ層の内容解析は行わない）。
• アプリケーションゲートウェイ（プロキシ）／WAF／DPI: HTTPやメールの内容を解析して攻撃やマルウェアを検知・ブロック可能。コストや遅延が増す場合がある。
• DDoS対策: オンプレでのACLに加え、ISPレベルのフィルタ、CDNやクラウドベースのスクラビングサービス、レートリミットやキャッシングの併用が有効。

FAQ