システム監査技術者 2024年 午前2 問20
問題文
DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき、ファイアウォールのルールで“通過禁止”に設定するものはどれか。ここで、このpingはエコーメッセージ（RFC 792）を利用しているものとする。
選択肢
ア：ICMP（正解）
イ：TCPのポート番号21
ウ：TCPのポート番号110
エ：UDPのポート番号123
🔒 解説は解答すると表示されます
ICMPによるping制御【午前2解説】
正解の理由
pingは、IPネットワーク上で相手との疎通を確認するために、ICMPのエコー要求（Echo Request）を送り、エコー応答（Echo Reply）を受け取る仕組みです。
したがって、インターネットから届くpingにDMZ上のコンピュータが応答しないようにするには、ファイアウォールでICMPを通過禁止にします。該当する選択肢はアです。
解法ステップ
- 問題文の「ping」に注目します。
- pingが利用するプロトコルを確認します。ここでは、RFC 792で定められたICMPのエコーメッセージを利用します。
- ICMPを通過禁止にする選択肢を選びます。
選択肢別の誤答解説
-
ア ICMP
pingのエコー要求・応答に使われるプロトコルです。通過禁止にすることで、インターネットからのpingを遮断できます。 -
イ TCPのポート番号21
FTPで制御用に使われるポート番号です。pingの遮断には関係ありません。 -
ウ TCPのポート番号110
POP3で使われるポート番号です。メール受信に関する通信であり、pingの遮断には使いません。 -
エ UDPのポート番号123
NTPで時刻同期に使われるポート番号です。pingの遮断には関係ありません。
よくある誤解
-
pingをTCPやUDPの通信だと思う
pingはTCP・UDPのポート番号ではなく、ICMPを利用します。 -
「ポート番号」を探せばよいと思う
ICMPには、TCPやUDPのようなポート番号はありません。 -
ファイアウォールでは宛先ポートだけを設定すると考える
通信の種類によっては、ICMPのようにプロトコル自体を指定して制御します。
補足コラム
ICMPをすべて遮断すると、pingだけでなく、ネットワークの診断や通信経路上の問題通知に使われるICMPメッセージも遮断される場合があります。実運用では、必要なICMP通信を許可しつつ、外部からのエコー要求だけを制限するなど、目的に応じたルールを設定します。
FAQ
Q. ICMPを通過禁止にすれば、pingの応答は必ずなくなりますか？
A. ファイアウォールを通過するICMPのエコー要求を遮断すれば、その経路からのpingには応答できなくなります。ただし、別の通信経路がある場合などは、その経路にもルールが必要です。
A. ファイアウォールを通過するICMPのエコー要求を遮断すれば、その経路からのpingには応答できなくなります。ただし、別の通信経路がある場合などは、その経路にもルールが必要です。
Q. ICMPにはポート番号がありますか？
A. ありません。ICMPはTCP・UDPとは異なるプロトコルで、ポート番号ではなくメッセージの種類などで識別されます。
A. ありません。ICMPはTCP・UDPとは異なるプロトコルで、ポート番号ではなくメッセージの種類などで識別されます。
関連キーワード: ICMP、ping、エコー要求、エコー応答、ファイアウォール、ポート番号
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！