情報処理安全確保支援士 2021年秋期午前2 問06

問題文

ファイアウォールにおけるステートフルパケットインスペクションの特徴はどれか。

選択肢

ア：IPアドレスの変換が行われることによって、内部のネットワーク構成を外部から隠蔽できる。

イ：暗号化されたパケットのデータ部を復号して、許可された通信かどうかを判断できる。

ウ：過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる。（正解）

エ：パケットのデータ部をチェックして、アプリケーション層での不正なアクセスを防止できる。

ファイアウォールにおけるステートフルパケットインスペクションの特徴【午前2 解説】

要点まとめ

結論：ステートフルパケットインスペクションは、通信の状態を追跡し、対応する戻りパケットを許可する機能を持ちます。
根拠：通信の開始から終了までのセッション情報を管理し、単一パケットだけでなく通信の流れ全体を監視するためです。
差がつくポイント：単純なパケットフィルタリングと異なり、通信の状態を理解して戻り通信を正しく許可できる点が重要です。

正解の理由

選択肢ウは「過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる」とあります。これはステートフルパケットインスペクション（SPI）の本質的な特徴です。SPIは通信の状態（ステート）を保持し、リクエストに対するレスポンスを正しく識別して許可するため、双方向通信の管理が可能です。これにより、単なるパケット単位のフィルタリングよりも高度なセキュリティを実現します。

よくある誤解

IPアドレスの変換（NAT）はファイアウォールの機能の一部ですが、SPIの特徴ではありません。
暗号化されたパケットの復号はファイアウォールの標準機能ではなく、専用の装置や設定が必要です。

解法ステップ

問題文の「ステートフルパケットインスペクション」の意味を確認する。
SPIは通信の状態を追跡し、戻りパケットを識別して許可する技術であることを理解する。
選択肢の内容をSPIの特徴と照らし合わせる。
「戻りのパケットを通過させる」機能がSPIの本質であることから正解を選ぶ。

選択肢別の誤答解説

ア：IPアドレスの変換（NAT）はネットワークの隠蔽に役立ちますが、SPIの特徴ではありません。
イ：暗号化パケットの復号はファイアウォールの標準機能ではなく、SPIの説明として誤りです。
ウ：通信の状態を管理し、戻りパケットを許可するSPIの特徴を正確に表しています。
エ：アプリケーション層の不正アクセス防止は次世代ファイアウォール（NGFW）などの高度な機能であり、SPIの基本機能ではありません。

補足コラム

ステートフルパケットインスペクションは、OSI参照モデルのトランスポート層（TCP/UDP）に着目し、通信のセッション情報を管理します。これにより、単なるパケット単位のフィルタリングよりも柔軟かつ安全な通信制御が可能です。近年はNGFWによりアプリケーション層の検査も行われますが、SPIはその基盤技術として重要です。