ITパスポート 2025年 問77

ネットワークやホストを監視して不正アクセスや不審な通信を発見・報告する仕組みはどれか【ITパスポート 解説】

正解の理由

• 「監視して発見・報告する」＝IDS（検出と通知）
• IDSは攻撃を自動でブロックする装置ではなく、検出してアラート（警告）を出すのが基本です（自動で止めるのは後述のIPS：Intrusion Prevention System（侵入防止システム））。

解法ステップ

1. 問題文のキーワードを拾う：「監視」「発見」「報告」。
2. 各選択肢の役割を確認する。
   • DMZ：特定のネットワーク区画（防御のための領域）で、監視や検出そのものではない。
   • IDS：監視して不正を「検出」し「報告」する。
   • アンチパスバック：入退室管理のルールで、監視や通信検出の装置ではない。
   • ボット：自動プログラムであり、仕組み（監視）ではない。
3. 一致する役割はIDSのみ。したがって イ を選ぶ。

選択肢別の誤答解説

• ア: DMZ
  DMZ（Demilitarized Zone：非武装地帯、ITでは外部と内部の間に置く公開用ネットワーク領域）の役割は、外部公開サービス（公開サーバ）を外部から分離して内部ネットワークを守ることです。監視して「発見・報告する」仕組みそのものではありません。監視は別途IDSなどで行います。
• イ: IDS（正解）
  IDS（Intrusion Detection System：侵入検知システム）は、ネットワークやホスト上の通信やログを分析して、不正アクセスや異常な振る舞いを検出し、管理者へアラートを出します。検出方式には署名検知（既知攻撃のパターン照合）や異常検知（通常と異なる振る舞いを検出）があります。
• ウ: アンチパスバック
  アンチパスバック（anti-passback）は、入退出管理で同じIDカードを使って連続して入退室を繰り返す不正を防ぐルールや仕組みです（例：カードで入室したら退室記録があるまで再入室を許さない）。ネットワーク通信を監視して不正を検出・報告する仕組みではありません。
• エ: ボット
  ボット（bot：自動化プログラム）は、正当な自動化ツールの他に、不正に遠隔操作されるマルウェア型（ボットネットの一部）もあります。これは「不正を行う主体」かもしれませんが、監視・検出・報告する「仕組み」ではありません。

よくある誤解

1. IDSは攻撃を自動で止めると思う
   → IDSは基本的に「検出・報告」が主で、自動で通信を遮断するのはIPS（Intrusion Prevention System：侵入防止システム）です。一部機能統合製品は自動対応もしますが、問題文が「発見し、報告する」とあるためIDSが合致します。
2. DMZが監視機能だと思う
   → DMZは監視用の場所ではなく「公開サーバを置く領域」です。監視はIDSやログ管理など別の仕組みが担います。
3. 「ボット」はセキュリティ対策だと思う
   → ボットは防御側の仕組みではなく、攻撃や自動処理を行うプログラムのことです。用語の向き（攻撃か防御か）を確認しましょう。

補足コラム

• IDSの種類
  • ネットワーク型IDS（NIDS：Network-based IDS）
    → ネットワーク上の通信を監視する。ルーターやミラーリングされたポートで通信を解析します。
  • ホスト型IDS（HIDS：Host-based IDS）
    → 各ホスト（サーバやPC）のログ、ファイル改ざん、プロセスなどを監視します。
• 検出方式の違い
  • 署名検知（シグネチャ検知）: 既知の攻撃パターンに一致すると検出。正確だが未知攻撃に弱い。
  • 異常検知（アノマリ検知）: 通常とは異なる振る舞いを検出。未知攻撃の発見に有利だが誤検知が出やすい。
• 実務での使われ方
  IDSのアラートはSIEM（Security Information and Event Management：セキュリティ情報とイベント管理）に集められ、ログ相関分析や運用担当への通知を行います。

FAQ