ダイナミックパケットフィルタリングの特徴｜情報処理安全確保支援士 平成30年 春期午前Ⅱ試験 問6
出典：平成30年春期 午前Ⅱ 問6
分野：セキュリティ ／ 情報セキュリティ対策
ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。
- ア：IPアドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。
- イ：暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。
- ウ：過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる。
- エ：パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。
TSUNAGARU-ADVICE
まず押さえたいこと
ダイナミックパケットフィルタリングは、過去に通過した通信の状態を記録し、その通信に対応する戻りのパケットを動的に通過させる方式です。内部から外部へ送ったリクエストに対する応答は許可し、外部から突然届いた不審な通信は遮断しやすくなるため、通信セッションの状態に基づいて判断する点が重要です。
迷ったときの判断軸
IPアドレスを変換して内部構成を隠すものはNATやNAPT、暗号化通信を復号して検査するものはSSL/TLSインスペクション、アプリケーション層のデータ部を検査して不正アクセスを防ぐものはWAFやアプリケーションゲートウェイに近い説明です。ダイナミックパケットフィルタリングは、行きの通信に対応する戻り通信を許可できる方式と判断しましょう。
科目Bにつなげるために
科目Bでは、FWルール、内部PCから外部サーバへの通信、戻り通信、DMZ構成などを読み取る問題が出ることがあります。通信を許可するか判断するときは、単に送信元と宛先を見るだけでなく、そのパケットが確立済みセッションに対応するものかを追う視点を持ちましょう。
ダイナミックパケットフィルタリングは、通信の開始を検知すると、その通信に対応する応答パケットを通過させるためのフィルタリングルールを一時的に生成する方式です。
例えば、内部ネットワークから外部サーバへ送信したリクエストに対して、対応する戻りのパケットだけを外部から内部へ通過させます。通信が終了すると、一時的に生成されたルールは削除されます。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：IPアドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。
⇒NAT又はNAPTの説明です。プライベートIPアドレスとグローバルIPアドレスを変換することで、内部のIPアドレスやネットワーク構成を外部から見えにくくします。ダイナミックパケットフィルタリングの特徴ではありません。
イ：暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。
⇒ダイナミックパケットフィルタリングは、暗号化通信を復号して内容を検査する方式ではありません。通信の方向、IPアドレス、ポート番号、過去の通信との対応関係などに基づいて通過可否を判断します。
エ：パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。
⇒アプリケーションゲートウェイやWAFなどに関する説明です。ダイナミックパケットフィルタリングは、主にネットワーク層・トランスポート層の情報と通信状態を基に制御し、アプリケーション層のデータ内容まで詳細に検査する方式ではありません。