セグメントを分けた時のセキュリティ上の効果｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問45
出典：令和6年秋期 午前 問45
分野：セキュリティ ／ 情報セキュリティ対策
VLAN機能をもった1台のレイヤー3スイッチに40台のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき，スイッチのポートをセグメントに分けない場合に比べて得られるセキュリティ上の効果の一つはどれか。
- ア：スイッチが，PCから送出されるICMPパケットを同一セグメント内も含め，全て遮断するので，PC間のマルウェア感染のリスクを低減できる。
- イ：スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
- ウ：スイッチが，PCのMACアドレスから接続可否を判別するので，PCの不正接続のリスクを低減できる。
- エ：スイッチが，物理ポートごとに，決まったIPアドレスをもつPCの接続だけを許可するので，PCの不正接続のリスクを低減できる。
TSUNAGARU-ADVICE
まず押さえたいこと
VLANを使うと、1台のスイッチに接続された端末を論理的に別々のセグメントへ分割できます。これによって、ブロードキャストが届く範囲をVLANごとに限定でき、不要な通信が他のセグメントへ広がりにくくなります。
迷ったときの判断軸
VLANの基本的な効果は、ブロードキャストドメインを分割することです。ICMPを自動的にすべて遮断したり、MACアドレスやIPアドレスだけで接続可否を決めたりする機能ではありません。アクセス制御が必要な場合は、ACLやポートセキュリティなど別の仕組みを組み合わせます。
科目Bにつなげるために
特にプロフェッショナルデジタルスキル（システム）試験や情報処理安全確保支援士試験合格を目指す方は、VLANをネットワーク分離と通信範囲の制御に結び付けて理解しましょう。部署や用途ごとにセグメントを分けることで、不要な通信や情報露出を抑える設計にもつながります。
VLANは、1台のスイッチに接続された端末を、物理的な配線とは関係なく、論理的に別々のグループに分ける技術です。
たとえば、同じスイッチにつながっていても、営業部用VLAN・経理部用VLAN・開発部用VLANのように分けることができます。これにより、通信範囲を分離し、セキュリティや管理のしやすさを高められます。
VLANで分けられたグループ同士は、基本的にそのままでは直接通信できません。異なるVLAN間で通信するには、ルータやL3スイッチなどを使って中継する必要があります。
つまりVLANは、物理的には同じネットワーク機器を使いながら、内部では別々のネットワークとして分けて管理する仕組みです。
例えば、ARPなどのブロードキャストパケットが他のVLANへ届かなくなるため、端末のアドレス情報などが不要に広い範囲へ伝わることを抑えられます。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：スイッチが，PCから送出されるICMPパケットを同一セグメント内も含め，全て遮断するので，PC間のマルウェア感染のリスクを低減できる。
⇒VLANを設定しただけでICMPパケットが全て遮断されるわけではありません。ICMPの通過可否は、ACLなど別の機能で制御します。
ウ：スイッチが，PCのMACアドレスから接続可否を判別するので，PCの不正接続のリスクを低減できる。
⇒MACアドレスによる接続可否の判定は、ポートセキュリティなどの機能です。VLANによるセグメント分割そのものの効果ではありません。
エ：スイッチが，物理ポートごとに，決まったIPアドレスをもつPCの接続だけを許可するので，PCの不正接続のリスクを低減できる。
⇒VLANには、物理ポートごとに特定のIPアドレスだけを許可する機能はありません。IPアドレスによる接続制御には、ACLなど別の仕組みが必要です。