ネットワークスペシャリスト 2015年 午後1 問03

解答の論理構成

• 【問題文】では、シグネチャ型と対比して「他方のア型は、定義されたプロトコルの仕様などから逸脱したアクセスがあった場合を不正とみなす」と記述されています。プロトコル逸脱＝正常との差異を検知する方式は “アノマリ（異常検知）型” です。
  ➡ ア：アノマリ 又は 異常検知
• IDS の接続方法として「IDS は、監視対象のネットワークにあるSWのイポートに接続し」とあり、スイッチポートが受信フレームをコピーして出力する機能＝ミラーポート（ミラー／ミラーリング）を指します。
  ➡ イ：ミラー 又は ミラーリング
• さらに「IDS 側のネットワークポートをウモードにすることで、IDS 以外を宛先とする通信を取り込むことができる」とあるため、複製フレームを自分宛でなくとも受信する “プロミスキャスモード” が必要です。
  ➡ ウ：プロミスキャス
• 「IDS側のネットワークポートにエアドレスを割り当てなければ、IDS自体がOSI基本参照モデルの第3層レベルの攻撃を受けることを回避できる」とあるので、第3層＝IP 層のアドレスを付与しない運用を示しています。
  ➡ エ：IP
• UDP 攻撃検知時に送る ICMP について「ICMPヘッダのコードに port オ を設定したパケット」と明示されています。UDP 宛先ポートが無い場合に返される ICMP は “destination unreachable / port unreachable” であり、キーワードは “unreachable” です。
  ➡ オ：unreachable

誤りやすいポイント

• アの空欄を “ビヘイビア型” と誤記する例が多いですが、【問題文】は正常からの逸脱を判定すると明示しており “アノマリ型” が正解です。
• イのミラーポートを “SPAN” と書くと略称は通じますが、出題は一般名称を求めているため減点対象になります。
• エを “MAC” とすると第2層しか保護できず、設問が「OSI基本参照モデルの第3層レベルの攻撃」を避けると述べている点と矛盾します。
• オで “error” “blocked” など曖昧な単語を書くと減点されます。ICMP Type3／Code3 の正式語 “unreachable” を外さないことが重要です。

FAQ

解答の論理構成

1. 通信経路の把握
   • 【問題文】の図1より、インターネット → ルータ → SW1 → FW → SW3 → 内部LAN という経路で通信が流れます。
   • DMZ 経由は「インターネット ⇔ DMZ」のみで、内部LAN には SW2 を通らず到達します。
2. SW ごとの監視範囲
   • 【問題文】には「インターネットとDMZ間の通信は、IDSをSW1又はSW2に接続した場合は検出可能だが、SW3に接続した場合は検出できない。」とあります。
   • 同じロジックで考えると、インターネット ⇔ 内部LAN の通信は SW1 と SW3 を通るため、これらに IDS を接続すれば検出可能です。
   • 逆に SW2 は経路外なので検出できません。
3. 表1 への反映
   • インターネット ⇔ 内部LAN 行を追加し、
     • SW1 列：○
     • SW2 列：×
     • SW3 列：○
   • これが【模範解答】の「インターネット↔内部 LAN」の行と一致します。

誤りやすいポイント

• 「FW の手前＝SW1 だから内部 LAN 側の通信は見えない」と早合点しやすい。実際には FW を越えた後も同一フローなので SW1 でも検出可能です。
• 図上の位置関係だけを見て「すべてのインターネット通信は SW2 も経由する」と誤認するケース。DMZ と内部 LAN の物理分離に注意が必要です。
• IDS の接続モード（ウモード）に気を取られ、経路解析を疎かにしてしまうミス。

FAQ

解答の論理構成

1. 連携の目的を確認
   本文では下線付きの「① IDS と FW が連携することで、検知した送信元アドレスからの不正な接続を遮断する」と記載されています。ここから、IDS が検知した“送信元アドレス”を FW に受け渡し、FW 側でそのアドレスをブロックする動作だと分かります。
2. FW が取る具体的な遮断手段を推定
   FW が通信制御を行う代表的な機能はアクセス制御リスト（ACL）です。ACL には許可／拒否ルールを記述でき、特定の送信元アドレスを拒否リストへ加えれば遮断が実現します。
3. “連携”のメカニズムを表現
   IDS 側が検知イベントをトリガにして FW の ACL へ自動的にエントリを追加（あるいは変更）する――これが「動的に変更する」仕組みです。
4. 解答文をまとめる
   以上を踏まえ、「FWのACLを動的に変更して、遮断の対象とする送信元アドレスを追加する」という記述で要件を網羅できます。

誤りやすいポイント

• 「IDS が直接パケットを破棄する」と誤解しやすい
  本文では IDS と FW の“連携”で遮断すると明言されており、IDS 単体でドロップするわけではありません。
• “ブラックリストファイルを更新”など FW 外部の仕組みだと勘違い
  FW 内部の ACL を自動更新するイメージを持たないと減点対象になります。
• “通信をリセットする”と書いてしまう
  TCP RST や ICMP による抑止は別の段落（RST/ICMP 送信機能）で説明されており、設問①の答えではありません。

FAQ

解答の論理構成

1. 【問題文】は、UDP の不正パケット検知時に「ICMP ヘッダのコードに port オ を設定したパケット」を送信して攻撃抑止を試みると説明しています。
2. しかし続けて、H 君は下線②のとおり「この ICMP を使った攻撃抑止のためのパケットが、実際は攻撃者に届かないことがある」と懸念しました。
3. 攻撃者に届かない主な理由は、攻撃者が不正パケットの「送信元アドレス」を偽装しているケースです。
4. 送信元アドレスが偽装されていれば、ICMP の応答は実際の攻撃者ではなく全く無関係の宛先へ配送されるため、攻撃抑止が成立しません。
5. 以上より、下線②の理由は「不正アクセスの送信元アドレスが偽装されている可能性があるから」となります。

誤りやすいポイント

• ICMP が途中の FW やルータで破棄される点に着目し、アドレス偽装を見落とす。
• 「他のサイトへの攻撃となる」という記述から、DDoS ばかりを想起し、本質である送信元アドレス偽装を答え忘れる。
• UDP にのみ注目し、TCP や他プロトコルとの違いに気を取られて設問の焦点を外す。

FAQ

解答の論理構成

1. 参照箇所の確認
   • 本文には、IPS について「③ 防御対象のサーバに新たな脆弱性が発見された場合の一時的な運用対応できる」とあります。
   • さらに前段で、「最近発見された一部のサーバのミドルウェアの脆弱性を悪用する攻撃は、FW の IDS 機能では検出できない…営業支援システムを数日間休止せざるを得なかった」と記述されています。
2. 課題の整理
   • 脆弱性公表からセキュリティパッチ適用までの間は、攻撃にさらされやすい。
   • 従来は休止という“止める”対策だったため業務影響が大きかった。
3. IPS が提供する解決策
   • 引用の③が示す「一時的な運用」は、パッチ適用までの“つなぎ”として通信レベルで防御することを指します。
   • IPS は不正パケットをリアルタイムで遮断できるため、脆弱性が残ったままでもサービスを継続可能です。
4. 以上を踏まえた要約
   • 「パッチ適用までの間、脆弱性を突く通信を遮断する」という表現が、引用③の意図と前段の課題を同時に解決する適切な記述になります。

誤りやすいポイント

• “一時的な運用”を「監視するだけ」と誤解し、遮断機能に触れない。
• パッチ適用後の恒久対策と混同し、「恒久的に防御する」と記述してしまう。
• “サーバの再起動”や“システム停止”など、本文にない手順を書き込む。

FAQ

解答の論理構成

• まず本文には、障害時でもシステムを「継続して利用できる状態」に保つ必要があると記載されています。
  引用：
  「ネットワークの通信量が急激に増えた場合でも、営業支援システムのレスポンス悪化を避け、継続して利用できる状態にすることが重要」
• そのために H 君は冗長化を検討しましたが、導入候補の IPS には「④ IPS の機能の一部が故障した場合に備えた機能」があると述べられています。
• 故障した場合でも通信断を発生させないようにする代表的な仕組みは、内部回路をバイパスして「通信をそのまま通過させ」る仕組みです。
• この仕組みがあれば、たとえ検査エンジンが故障してもデータパスは開いたままなので、業務継続という要件を満たせます。したがって設問が求める機能は「通信をそのまま通過させ、遮断しない機能」となります。

誤りやすいポイント

• 「自動フェイルオーバで待機系へ切替える」と勘違いしやすい
  └ 記述は「冗長化しないことにした」なので待機系はありません。
• 「誤検知を防ぐ調整機能」と読み違える
  └ 設問は“故障した場合”に備える機能を問うており、検知精度の話ではありません。
• 「通信を遮断して安全側に倒す」と逆に解釈する
  └ 本文の目的は業務継続であり、遮断ではなく通過が正解です。

FAQ

解答の論理構成

1. 目的の確認
   問題文では IDS と IPS を導入した後、「セキュリティレベルの継続的な向上」のために管理用 PC を利用すると明言しています。継続的にレベルを高めるには、攻撃の“現在”を把握し、対策を都度最適化する仕組みが必要です。
2. 管理用 PC の役割
   図2 において、管理用 PC は「管理用 LAN」に接続され、IPS と IDS のいずれとも物理的に近接しています。これは“監視・制御専用”であり、センサー（IDS）とアクチュエータ（IPS）双方の管理データを一元的に扱う前提と読み取れます。
3. セキュリティ運用で最も汎用的かつ重要な作業
   IDS は検知ログ、IPS は防御ログや遮断ログを生成します。これらを「取得して解析」する行為こそが
   ・シグネチャ更新や閾値調整
   ・フォールスポジティブ／フォールスネガティブの見直し
   ・遮断ポリシの最適化
   といった“継続的改善”の根拠になります。
4. 解答文の導出
   以上より、管理用 PC で行うべき具体的作業は「ログを取得し解析すること」であり、「不正アクセスへの対応を最適化する」という目的語句を補うことで端的かつ具体的な回答となります。

誤りやすいポイント

• 「設定変更」や「シグネチャ更新」だけを書くと、解析という前提作業が抜けてしまい趣旨が合わない。
• 「監視する」「通知を受ける」など抽象的表現のみでは“どのようなこと”の具体性が不足する。
• IDS と IPS のログを区別して書かず、どちらか一方のログだけに言及してしまう。

FAQ