情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問20

無線クライアント隔離【情報セキュリティマネジメント解説】

正解の理由

• SSID（Service Set Identifier：無線LANのネットワーク名）
• MACアドレス（ネットワーク機器に割り当てられる識別子）
• レジストラ（domain registrar：ドメイン名の登録業者）

解法ステップ

1. 「守りたいもの」を確認する：設問は「同一アクセスポイントに接続している端末同士の不正アクセスを防ぐこと」が目的。
2. 各対策がどの層／どの仕組みで働くかを考える：端末間通信を直接遮断するのはAP側の機能かどうか。
3. 回答を比較する：AP側で端末間通信を遮断できるのはクライアント隔離のみ。他は別の目的か、容易に回避される。
4. 結論：端末間のアクセス遮断に直接効くのはエ。

選択肢別の誤答解説

• ア：MACアドレスフィルタリングを設定する。
  • 説明：MACアドレスで接続を許可・拒否する方式。
  • なぜ不適切か：MACアドレスはネットワークに流れる際に見えるため、攻撃者が正規端末のMACを「偽装（spoof）」して容易に突破できます。実務では補助的対策にはなるが、単独で公衆無線LANの利用者のなりすまし防止には弱いです。
• イ：SSIDを暗号化する。
  • 説明：「SSIDを秘匿する（ブロードキャスト停止）」ことを指す意図の選択肢。
  • なぜ不適切か：SSIDは無線の管理フレームやビーコンで簡単に観測でき、隠しても特別な秘密性は得られません。「暗号化」という表現自体が誤解を招きます。SSIDを隠しても盗聴やなりすましを根本的に防げません。
• ウ：自社登録のドメインをSSIDに設定する。
  • 説明：ドメイン名（例: example.co.jp）をSSIDに使うという案。
  • なぜ不適切か：SSIDは文字列に過ぎず、攻撃者が同じSSIDを付けた偽アクセスポイントを簡単に作れます。ドメイン登録の有無はSSIDの正当性を保証しません。正当な機器の識別には、証明書や802.1Xなどの認証が必要です。
• エ：同一APに接続している端末同士の通信を遮断する。
  • 説明：アクセスポイントのクライアント隔離機能を指す。
  • なぜ適切か：この設定は、無線接続中の端末同士の直接通信をブロックし、利用者間の不正アクセス（ファイル共有やリモートデスクトップ等による侵入）を防げます。公衆無線LANで一般的に有効な対策です。

よくある誤解

1. 「SSIDを隠せば安全」
   • 実際：隠しSSIDは経験者には簡単に見つかる上、端末側の挙動で問題（自動接続の危険など）が生じます。安全性向上には寄与しません。
2. 「MACアドレスは変えられない固有値だから信頼できる」
   • 実際：簡単に偽装可能です。管理目的のログには利用できるが、認証手段としては脆弱です。
3. 「同じSSIDなら正規のアクセスポイントだ」
   • 実際：SSIDは誰でも設定可能なので、同一SSIDだけで正当性を判断できません。証明書や認証方式の確認が必要です。

補足コラム

• クライアント隔離は「同一AP内の端末間通信」を遮断するだけで、利用者がインターネット経由で悪意あるサイトにアクセスするのは防げません。
• ログイン方式（例：WPA2/WPA3 Enterprise：企業向けの認証方式）やHTTPS、VPNを併用することで端末と外部サービス間の通信の保護が必要です。
  職場での運用イメージ：公衆用SSIDはクライアント隔離をONにし、社内ネットワークとは別VLANに分け、社内リソースは別の認証済みSSIDだけからアクセス可能にする、という組み合わせが現実的です。

FAQ