ネットワークスペシャリスト 2015年 午後1 問03

解答の論理構成

• 【問題文】では、シグネチャ型と対比して「他方のア型は、定義されたプロトコルの仕様などから逸脱したアクセスがあった場合を不正とみなす」と記述されています。プロトコル逸脱＝正常との差異を検知する方式は “アノマリ（異常検知）型” です。
  ➡ ア：アノマリ 又は 異常検知
• IDSの接続方法として「IDSは、監視対象のネットワークにあるSWのイポートに接続し」とあり、スイッチポートが受信フレームをコピーして出力する機能＝ミラーポート（ミラー／ミラーリング）を指します。
  ➡ イ：ミラー 又は ミラーリング
• さらに「IDS側のネットワークポートをウモードにすることで、IDS以外を宛先とする通信も取り込むことができる」とあるため、複製フレームを自分宛でなくとも受信する “プロミスキャスモード” が必要です。
  ➡ ウ：プロミスキャス
• 「IDS側のネットワークポートにエアドレスを割り当てなければ、IDS自体がOSI基本参照モデルの第3層レベルの攻撃を受けることを回避できる」とあるので、第3層＝IP層のアドレスを付与しない運用を示しています。
  ➡ エ：IP
• UDP攻撃検知時に送るICMPについて「ICMPヘッダのコードにport オ を設定したパケット」と明示されています。UDP宛先ポートが無い場合に返されるICMPは “destination unreachable / port unreachable” であり、キーワードは “unreachable” です。
  ➡ オ：unreachable

誤りやすいポイント

• アの空欄を “ビヘイビア型” と誤記する例が多いですが、【問題文】は正常からの逸脱を判定すると明示しており “アノマリ型” が正解です。
• イのミラーポートを “SPAN” と書くと略称は通じますが、出題は一般名称を求めているため減点対象になります。
• エを “MAC” とすると第2層しか保護できず、設問が「OSI基本参照モデルの第3層レベルの攻撃」を避けると述べている点と矛盾します。
• オで “error” “blocked” など曖昧な単語を書くと減点されます。ICMP Type3／Code3の正式語 “unreachable” を外さないことが重要です。

FAQ

解答の論理構成

1. 通信経路の把握
   • 【問題文】の図1より、インターネット → ルータ → SW1 → FW → SW3 → 内部LANという経路で通信が流れます。
   • DMZ経由は「インターネット ⇔ DMZ」のみで、内部LANにはSW2を通らず到達します。
2. SWごとの監視範囲
   • 【問題文】には「インターネットとDMZ間の通信は、IDSをSW1又はSW2に接続した場合は検出可能だが、SW3に接続した場合は検出できない。」とあります。
   • 同じロジックで考えると、インターネット ⇔ 内部LANの通信はSW1とSW3を通るため、これらにIDSを接続すれば検出可能です。
   • 逆にSW2は経路外なので検出できません。
3. 表1への反映
   • インターネット ⇔ 内部LAN行を追加し、
     • SW1列：○
     • SW2列：×
     • SW3列：○
   • これが【模範解答】の「インターネット↔内部LAN」の行と一致します。

誤りやすいポイント

• 「FWの手前＝SW1だから内部LAN側の通信は見えない」と早合点しやすい。実際にはFWを越えた後も同一フローなのでSW1でも検出可能です。
• 図上の位置関係だけを見て「すべてのインターネット通信はSW2も経由する」と誤認するケース。DMZと内部LANの物理分離に注意が必要です。
• IDSの接続モード（ウモード）に気を取られ、経路解析を疎かにしてしまうミス。

FAQ

解答の論理構成

1. 連携の目的を確認
   本文では下線付きの「① IDSとFWが連携することで、検知した送信元アドレスからの不正な接続を遮断する」と記載されています。ここから、IDSが検知した“送信元アドレス”をFWに受け渡し、FW側でそのアドレスをブロックする動作だと分かります。
2. FWが取る具体的な遮断手段を推定
   FWが通信制御を行う代表的な機能はアクセス制御リスト（ACL）です。ACLには許可／拒否ルールを記述でき、特定の送信元アドレスを拒否リストへ加えれば遮断が実現します。
3. “連携”のメカニズムを表現
   IDS側が検知イベントをトリガにしてFWのACLへ自動的にエントリを追加（あるいは変更）する――これが「動的に変更する」仕組みです。
4. 解答文をまとめる
   以上を踏まえ、「FWのACLを動的に変更して、遮断の対象とする送信元アドレスを追加する」という記述で要件を網羅できます。

誤りやすいポイント

• 「IDSが直接パケットを破棄する」と誤解しやすい
  本文ではIDSとFWの“連携”で遮断すると明言されており、IDS単体でドロップするわけではありません。
• “ブラックリストファイルを更新”などFW外部の仕組みだと勘違い
  FW内部のACLを自動更新するイメージを持たないと減点対象になります。
• “通信をリセットする”と書いてしまう
  TCP RSTやICMPによる抑止は別の段落（RST/ICMP送信機能）で説明されており、設問①の答えではありません。

FAQ

解答の論理構成

1. 【問題文】は、UDPの不正パケット検知時に「ICMPヘッダのコードにport オ を設定したパケット」を送信して攻撃抑止を試みると説明しています。
2. しかし続けて、H君は下線②のとおり「このICMPを使った攻撃抑止のためのパケットが、実際は攻撃者に届かないことがある」と懸念しました。
3. 攻撃者に届かない主な理由は、攻撃者が不正パケットの「送信元アドレス」を偽装しているケースです。
4. 送信元アドレスが偽装されていれば、ICMPの応答は実際の攻撃者ではなく全く無関係の宛先へ配送されるため、攻撃抑止が成立しません。
5. 以上より、下線②の理由は「不正アクセスの送信元アドレスが偽装されている可能性があるから」となります。

誤りやすいポイント

• ICMPが途中のFWやルータで破棄される点に着目し、アドレス偽装を見落とす。
• 「他のサイトへの攻撃となる」という記述から、DDoSばかりを想起し、本質である送信元アドレス偽装を答え忘れる。
• UDPにのみ注目し、TCPや他プロトコルとの違いに気を取られて設問の焦点を外す。

FAQ

解答の導き方

1. 問題文の該当箇所を確認します。まず「IPSは、不正アクセスを監視するだけでなく、遮断する機能を強化したネットワーク機器である。」とあり、IPSは単に検知するだけでなく通信を遮断する能力を持つことが明示されています。次に「防御対象のサーバに新たな脆弱性が発見された場合の一時的な運用に対応できる」とあるため、発見直後の脆弱性に対して即時に何らかの運用的対策を取ることを指していると分かります。
2. 文中には「該当サーバにセキュリティパッチを適用するまで、営業支援システムを数日間休止せざるを得なかった。」ともあり、パッチ適用には時間がかかる／停止による業務影響が問題となる事情が示されています。したがって「一時的な運用対応」はパッチ適用を待つ間に被害を防ぎつつサービスを継続するための措置であると解釈できます。
3. 以上を合わせると、IPSの遮断機能を使って、パッチ適用などの恒久対策が完了するまでの間に脆弱性を悪用する攻撃通信を阻止する運用が該当します。具体的にはIPSで該当するシグネチャやルールを有効化して攻撃トラフィックを遮断することです。
   従って設問の一時的な運用対応は、保護する機器にセキュリティパッチを適用するまでの間、脆弱性を悪用する攻撃の通信を遮断する。

誤りやすいポイント

• IDSとIPSを混同してしまう。本文は「H君が調査したIDSには、検知した攻撃を遮断する機能を実装している機種があった」とも書いており、IDSにも遮断機能を持つものがあるが、設問の趣旨は「遮断を主要機能とするIPSによる一時対策」である点を取り違えない。
• 「一時的な運用対応」を恒久対策（ソフトウェア改修や恒久的設定変更）と誤解する。IPSの対応はあくまでパッチ適用までの暫定措置であり、根本対策は別途行う必要があります。
• 攻撃者への反撃やICMP等での追跡・攻撃（本文で問題点として触れられている手法）を一時対策と考える誤り。本文はその手法が届かないことや他への攻撃になる可能性を指摘しており、適切な一時対策は「遮断」であることを押さえる必要があります。
• 遮断によるフォールスポジティブ（正常通信の誤遮断）やフォールスネガティブ（検知漏れ）を軽視して、サービス停止や業務影響を招く設定を行うこと。

FAQ

解答の論理構成

• まず本文には、障害時でもシステムを「継続して利用できる状態」に保つ必要があると記載されています。
  引用：
  「ネットワークの通信量が急激に増えた場合でも、営業支援システムのレスポンス悪化を避け、継続して利用できる状態にすることが重要」
• そのためにH君は冗長化を検討しましたが、導入候補のIPSには「④ IPSの機能の一部が故障した場合に備えた機能」があると述べられています。
• 故障した場合でも通信断を発生させないようにする代表的な仕組みは、内部回路をバイパスして「通信をそのまま通過させ」る仕組みです。
• この仕組みがあれば、たとえ検査エンジンが故障してもデータパスは開いたままなので、業務継続という要件を満たせます。したがって設問が求める機能は「通信をそのまま通過させ、遮断しない機能」となります。

誤りやすいポイント

• 「自動フェイルオーバで待機系へ切替える」と勘違いしやすい
  └ 記述は「冗長化しないことにした」なので待機系はありません。
• 「誤検知を防ぐ調整機能」と読み違える
  └ 設問は“故障した場合”に備える機能を問うており、検知精度の話ではありません。
• 「通信を遮断して安全側に倒す」と逆に解釈する
  └ 本文の目的は業務継続であり、遮断ではなく通過が正解です。

FAQ

解答の論理構成

1. 目的の確認
   問題文ではIDSとIPSを導入した後、「セキュリティレベルの継続的な向上」のために管理用PCを利用すると明言しています。継続的にレベルを高めるには、攻撃の“現在”を把握し、対策を都度最適化する仕組みが必要です。
2. 管理用PCの役割
   図2において、管理用PCは「管理用LAN」に接続され、IPSとIDSのいずれとも物理的に近接しています。これは“監視・制御専用”であり、センサー（IDS）とアクチュエータ（IPS）双方の管理データを一元的に扱う前提と読み取れます。
3. セキュリティ運用で最も汎用的かつ重要な作業
   IDSは検知ログ、IPSは防御ログや遮断ログを生成します。これらを「取得して解析」する行為こそが
   ・シグネチャ更新や閾値調整
   ・フォールスポジティブ／フォールスネガティブの見直し
   ・遮断ポリシの最適化
   といった“継続的改善”の根拠になります。
4. 解答文の導出
   以上より、管理用PCで行うべき具体的作業は「ログを取得し解析すること」であり、「不正アクセスへの対応を最適化する」という目的語句を補うことで端的かつ具体的な回答となります。

誤りやすいポイント

• 「設定変更」や「シグネチャ更新」だけを書くと、解析という前提作業が抜けてしまい趣旨が合わない。
• 「監視する」「通知を受ける」など抽象的表現のみでは“どのようなこと”の具体性が不足する。
• IDSとIPSのログを区別して書かず、どちらか一方のログだけに言及してしまう。

FAQ