基本情報技術者 2015年 秋期 午前（科目A） 問41

ミラーポートを用いたLANアナライザ運用での留意点【午前2 解説】

要点まとめ

• 結論→ミラーポートで取得するパケットは平文や認証情報など機微情報を含むため、盗聴悪用を防ぐ運用管理とアクセス制御が必須です。
• 根拠→ミラーポート（SPAN/RSPAN）はネットワークを通過する全トラフィックのコピーを生成し、解析側で復元・解析が可能であるため情報漏洩リスクが高いです。
• 差がつくポイント→単に「測定する」だけでなく、誰がいつ見られるか、保存・削除・暗号化・監査ログまで含めた運用ルールを示せることが合格の差になります。

正解の理由

よくある誤解

• ミラーポートはネットワークに影響を与える（パケットを破棄する）と思い込みやすいが、通常は受動的にトラフィックを複製するため通信の中断は起きません。
• LANアナライザの保管場所や使用方法を利用者全員に周知する必要があると考えがちだが、実務上は管理者・担当者に限定して周知・教育を行うことが現実的で効果的です。
• 測定のために物理的にケーブルを切断する必要があるという誤解（選択肢エ）。ミラーリングは切断不要で行えるのが通常です。

解法ステップ

1. 問題文のキーワードを確認：「ミラーポート」「LANアナライザ」「留意すること」。
2. ミラーポートの機能を思い出す：トラフィックの複製（受動的）、通信経路の切断は不要。
3. 各選択肢を機能と安全性の観点で照合：機能的に起こり得ること・セキュリティ上の懸念を判断。
4. 「盗聴に悪用される」という選択肢がミラーポートのリスクを的確に表しているので正答とする。

選択肢別の誤答解説

• ア: LANアナライザがパケットを破棄してしまうので、測定中は測定対象外のコンピュータの利用を制限しておく必要がある。
  → 誤り。ミラーポートはパケットを複製する仕組みであり、通常は本線のパケットを破棄しません。測定機器側がキャプチャしきれない場合にログ欠落は起こり得ますが、「測定対象外の利用制限」は本質的対策ではありません。
• イ: LANアナライザはネットワークを通過するパケットを表示できるので、盗聴などに悪用されないように注意する必要がある。
  → 正解。ミラーポートで複製されたパケットには認証情報や個人情報が含まれる場合があり、適切なアクセス制御や監査が必要です。
• ウ: 障害発生に備えて、ネットワーク利用者に対してLANアナライザの保管場所と使用方法を周知しておく必要がある。
  → 誤り。管理者・運用担当者に対する周知や手順整備は必要ですが、利用者全員に保管場所を公開するのは不必要かつリスクを高めます。
• エ: 測定に当たって、LANケーブルを一時的に切断する必要があるので、ネットワーク利用者に対して測定日を事前に知らせておく必要がある。
  → 誤り。ミラーポートを使ったキャプチャはケーブルの切断を伴わないのが一般的であり、事前通知は必須ではありません（影響がある場合は別途通知）。

補足コラム

• ミラーポートの具体名：スイッチではSPAN（Switched Port Analyzer）やRSPAN（Remote SPAN）が一般的です。SPANは同一スイッチ内でポートを複製、RSPANはVLANを使ってリモート転送します。
• 運用上の対策例：ミラーポートの使用は最小化（時間・対象IPフィルタ）、解析端末のログ・アクセス監査、有資格者のみ実施、キャプチャデータの暗号化と保管期限の明確化など。
• コマンド例（Cisco スイッチでの簡易SPAN設定）:

# 例: source Gi1/0/1, destination Gi1/0/10
monitor session 1 source interface Gi1/0/1
monitor session 1 destination interface Gi1/0/10

• キャプチャ例（tcpdumpで特定ホストのみ取得）:

sudo tcpdump -i eth0 host 192.0.2.10 -w capture.pcap
# 必要最小限のフィルタを使いデータ量とプライバシーリスクを低減

FAQ