pingに応答しないようにしたいときのFWの設定｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問15
出典：平成28年春期 午前Ⅱ 問15
分野：セキュリティ ／ 情報セキュリティ対策
DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき，ファイアウォールのルールで"通過禁止"に設定するものはどれか。
- ア：ICMP
- イ：TCPのポート番号21
- ウ：TCPのポート番号110
- エ：UDPのポート番号123
TSUNAGARU-ADVICE
まず押さえたいこと
pingは、IPネットワーク上で相手に到達できるかを確認するためにICMP Echo RequestとICMP Echo Replyを利用します。そのため、DMZ上のコンピュータをインターネットからのpingに応答させたくない場合は、ICMPの通過を制御する必要があります。
迷ったときの判断軸
TCP 21番はFTP、TCP 110番はPOP3、UDP 123番はNTPで使われる代表的なポート番号です。pingはTCPやUDPのポート番号を使う通信ではないため、ping = ICMPと結び付けて判断しましょう。
科目Bにつなげるために
科目Bでは、FWルール・DMZ・ICMP・疎通確認・通信制御などと組み合わせて問われることがあります。設定を読むときは、単にポート番号だけを見るのではなく、対象となるプロトコル・通信方向・送信元・宛先を確認して、どの通信を許可・遮断しているのかを整理しましょう。
pingは、相手のコンピュータまで通信できるかどうかを確認するためのコマンドです。pingでは、TCPやUDPではなく、ICMP（Internet Control Message Protocol）を使用します。
具体的には、送信元からICMP Echo Requestを送り、相手からICMP Echo Replyが返ってくることで到達性を確認します。そのため、DMZ上のコンピュータがインターネットからのpingに応答しないようにするには、ファイアウォールでICMPの通過を禁止します。
したがって、アが適切です。
❌他選択肢が誤りの理由イ：TCPのポート番号21
⇒TCPポート21番はFTPの制御用通信で使用されます。pingでは使用しません。
ウ：TCPのポート番号110
⇒TCPポート110番はPOP3で使用され、メールサーバから電子メールを受信するときなどに使われます。pingとは関係ありません。
エ：UDPのポート番号123
⇒UDPポート123番はNTPで使用され、コンピュータの時刻を同期するときに使われます。pingでは使用しません。