ダイナミックパケットフィルタリングの特徴｜情報処理安全確保支援士 平成28年 秋期午前Ⅱ試験 問5
出典：平成28年秋期 午前Ⅱ 問5
分野：セキュリティ ／ 情報セキュリティ対策
ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。
- ア：IPアドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。
- イ：暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。
- ウ：パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。
- エ：戻りのパケットに関しては，過去に通過したリクエストパケットに対応したものだけを通過させることができる。
TSUNAGARU-ADVICE
まず押さえたいこと
ダイナミックパケットフィルタリングは、過去に通過した通信の状態を記録し、その通信に対応する戻りパケットだけを許可する方式です。単純な送信元・宛先IPアドレスやポート番号だけでなく、通信セッションの状態を見て通過可否を判断する点が特徴です。
迷ったときの判断軸
IPアドレス変換はNATやNAPT、暗号化通信の復号検査はSSL/TLSインスペクション、アプリケーション層の内容検査はWAFやアプリケーションゲートウェイに関係します。ダイナミックパケットフィルタリングでは、内部から開始した通信に対応する戻りだけを通すと考えると切り分けやすくなります。
科目Bにつなげるために
科目Bでは、ファイアウォールの設定・通信方向・セッション状態・外部からの不正接続などと組み合わせて問われることがあります。単に「このポートを許可する」と覚えるのではなく、誰が通信を開始し、その戻り通信かどうかを確認する視点を持つと、設定問題や通信経路の問題に対応しやすくなります。
ダイナミックパケットフィルタリングは、通信の開始時に通過したパケットの情報を一時的に記録し、その通信に対応する戻りのパケットだけを通過させる方式です。
例えば、内部ネットワークから外部へ送信したリクエストに対して返ってきた応答パケットは通過させますが、対応する通信が存在しない外部からのパケットは遮断できます。単純に送信元IPアドレスやポート番号だけを見る静的なフィルタリングより、通信の状態を考慮して制御できます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：IPアドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。
⇒NATやNAPTに関する説明です。IPアドレスを変換して内部ネットワークのアドレス構成を外部から見えにくくする仕組みであり、ダイナミックパケットフィルタリングそのものの特徴ではありません。
イ：暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。
⇒暗号化された通信内容を復号して検査する仕組みは、SSL/TLSインスペクションなどに関する説明です。ダイナミックパケットフィルタリングは、暗号化されたデータ部を復号して判断する方式ではありません。
ウ：パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。
⇒アプリケーション層まで通信内容を確認するプロキシ型ファイアウォールやWAFなどに近い説明です。ダイナミックパケットフィルタリングは、主に通信の対応関係や状態を基に通過可否を判断します。