情報セキュリティマネジメント 2018年 春期 午前（科目A） 問18

SMTPの送受信ポート組合せ【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. SMTPの標準ポート番号を確認する。答え：25番。
2. クライアント（社内PC）は接続を開始する側なので、送信元ポートは通常1024以上のエフェメラルポートを使う。
3. TCPは双方向の応答（SYN／SYN-ACK／ACK）を行うので、戻りのパケット（サーバ→PC）もファイアウォールで許可する必要がある。
4. 静的パケットフィルタは「状態を覚えない」ため、戻りパケットについても送信元・宛先ポートの組合せで明示許可が必要。
5. 以上を満たす組合せを選ぶと、クライアント→サーバが「送信元：1024以上／宛先：25」、サーバ→クライアントが「送信元：25／宛先：1024以上」である ウ。

選択肢別の誤答解説

• ア：クライアント側の送信元ポートが25になっている（「送信元: PC／送信元ポート:25」）。これは通常ありえません。サーバの待ち受けポート25に対し、クライアントはエフェメラルポートを送信元に使います。
• イ：110番はPOP3（Post Office Protocol 3：メール受信プロトコル）のポートです。今回の送信はSMTPの通信なのでポート番号が異なります。
• ウ：クライアント→サーバが「src:1024以上 → dst:25」、サーバ→クライアントが「src:25 → dst:1024以上」となり、静的フィルタで双方向のTCP通信を成立させる正しい組合せです。
• エ：宛先ポートが110となっており、これもPOP3に対応する番号でSMTP送信には不適切です。

よくある誤解

• 静的フィルタでも「戻り通信は自動で通る」と考えてしまうこと。実際は状態を保持しないため明示許可が必要です。
• 「25番がどちら側か混同する」問題。サーバの待ち受けポートが25で、クライアントは高い番号（1024以上）を送信元に使います。
• SMTP送信＝メール全般と思い込み、POP3（受信）やIMAPのポートを混同すること。用途ごとにポートが異なります。

補足コラム

• 「静的なパケットフィルタリング型ファイアウォール」は、IPアドレスやポート番号などパケットの表層情報で判定します。一方で「ステートフルインスペクション（stateful inspection）」は、TCPの接続状態（セッション）を追跡して、クライアントが開始した接続の戻りパケットを自動で許可できます。実務では、セキュリティと使い勝手の両面からステートフルなものが一般的です。
• 実際のメールクライアントは、認証付き送信に「587（Submission）」や暗号化の「465（SMTPS）」を使うことが多く、社内運用ではこれらのポートも検討します。本問題は「デフォルトのポート番号」を前提にしている点に注意してください。
• エフェメラルポートの範囲はOSによって違いますが、試験問題では「1024以上」として扱うことが多いです。職場でルールを作る際は、どのポートが使われるかを明確にしてファイアウォールの設定に反映させましょう。

FAQ