情報処理安全確保支援士 2024年 秋期 午前2 問13
問題文
インラインモードで動作するアノマリ型IPSはどれか。
選択肢
ア：IPSが監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。異常な通信を定義しそれと合致する通信を不正と判断して遮断する。
イ：IPSが監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。通常時の通信を定義しそれから外れた通信を不正と判断して遮断する。
ウ：IPSが監視対象の通信を通過させるように通信経路上に設置される。異常な通信を定義しそれと合致する通信を不正と判断して遮断する。
エ：IPSが監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義しそれから外れた通信を不正と判断して遮断する。（正解）
インラインモードで動作するアノマリ型IPSはどれか【午前2 解説】
要点まとめ
- 結論：インラインモードのアノマリ型IPSは通信経路上に設置され、通常時の通信パターンから逸脱した異常を検知して遮断します。
- 根拠：アノマリ型は正常な通信を基準に異常を判断し、インライン配置でリアルタイムに通信を制御可能です。
- 差がつくポイント：インラインモードか経路外モードか、異常検知の基準が「異常定義」か「正常定義」かを正確に理解することが重要です。
正解の理由
選択肢エは、IPSが通信経路上にインラインで設置され、通常時の通信を定義してそれから逸脱した通信を不正と判断し遮断する点で、アノマリ型IPSの特徴を正確に表しています。アノマリ型は正常な通信パターンを学習・定義し、それに合致しない通信を異常とみなすため、選択肢エの説明が最も適切です。
よくある誤解
経路外で監視するIPSは検知のみで遮断はできないと誤解されがちですが、実際には遮断はインライン配置でのみ可能です。異常検知の基準を「異常定義」と「正常定義」で混同することも多いです。
解法ステップ
- IPSの動作モードを理解する（インライン＝通信経路上、経路外＝ミラーポート接続）。
- アノマリ型IPSの検知基準を確認（正常通信を定義し逸脱を異常と判断）。
- 選択肢の説明がインラインか経路外かを判別。
- 異常検知の基準が「通常時の通信を定義」か「異常な通信を定義」かを確認。
- インラインかつ正常定義による異常検知の選択肢を選ぶ。
選択肢別の誤答解説
- ア：経路外モードで異常通信を定義するのはシグネチャ型に近く、アノマリ型の特徴と異なります。
- イ：経路外モードで正常通信を定義し遮断するのは不可能で、インラインモードでなければ遮断できません。
- ウ：インラインモードで異常通信を定義するのはシグネチャ型IPSの特徴で、アノマリ型ではありません。
- エ：インラインモードで正常通信を定義し、それから逸脱した通信を遮断するアノマリ型IPSの正しい説明です。
補足コラム
IPS（侵入防止システム）は検知だけでなく遮断も行う点でIDS（侵入検知システム）と異なります。インラインモードは通信経路上に設置されるため、リアルタイムで通信を制御可能です。アノマリ型は正常な通信パターンを学習し、未知の攻撃にも対応しやすい反面、誤検知（誤判定）が発生しやすい特徴があります。
FAQ
Q: インラインモードのIPSはなぜ遮断が可能なのですか？
A: 通信経路上に設置されているため、異常通信を検知した際に通信を直接遮断・制御できます。
A: 通信経路上に設置されているため、異常通信を検知した際に通信を直接遮断・制御できます。
Q: アノマリ型IPSとシグネチャ型IPSの違いは何ですか？
A: アノマリ型は正常な通信パターンを基準に異常を検知し、シグネチャ型は既知の攻撃パターン（シグネチャ）を検知します。
A: アノマリ型は正常な通信パターンを基準に異常を検知し、シグネチャ型は既知の攻撃パターン（シグネチャ）を検知します。
関連キーワード: IPS, インラインモード、アノマリ型、侵入防止システム、通信遮断、ネットワークセキュリティ
\ せっかくなら /
情報処理安全確保支援士を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！