IPA ネットワーク防御・セキュリティ製品 — 頻出論点と過去問

頻出論点

1. この分野は何か

社内のネットワークをどう区切り、境界や通り道にどんな機器を置けば、外からの攻撃を止めたり見つけたりできるかを扱う分野です。クラウドを使うときに利用状況や設定を見張る仕組みも含みます。

2. 実際の出題のされ方

境界やWebを守る仕組みと新しい防御の考え方は、ITパスポートで問われます。不正アクセスや予兆を検知して管理者に通知するIDS、Webアプリケーションの脆弱性を突く攻撃を防ぐWAF、境界防御にとらわれず内部・外部ネットワークの双方からのアクセスに二要素認証などを求めるゼロトラストセキュリティの基本が出題されています。

セグメント分割やアドレス変換の防御効果、VDI・クラウド設定管理は、応用情報技術者や高度試験の午前Iで問われています。レイヤ3スイッチのポートをVLANでセグメント分割してブロードキャストパケットの到達範囲を制限しアドレス情報の不要な流出を抑える効果、NAPT（IPマスカレード）によりインターネット側から内部PCへの直接侵入を困難にする効果、情報ネットワークと制御ネットワークの両方と通信するパッチ管理サーバをDMZに配置する設計が出題されています。また、HTTP/HTTPS上で動くREST APIへの攻撃をWAFで防ぐ問題、DMZ上のVDIサーバからデスクトップ画面の画像データだけをPCへ送るインターネット分離、クラウドの設定不備を監視・修正するCSPMも問われています。

フィルタリングルールの設計変更やIPS・WAFの検知動作、情報漏えい・シャドーIT対策は、高度試験の午前IIで問われます。パケットフィルタリングとステートフルパケットインスペクション（SPI）の違い、DBサーバをDMZから内部ネットワークへ移動した際のフィルタリングルールの削除・追加、DMZ上の機器がpingに応答しないようにICMPを遮断する設定が出題されています。さらに、IPSの設置方式（インラインモード／ミラーポート接続）と検知方式（シグネチャ型／アノマリ型）の組み合わせ、WAFにおけるフォールスポジティブ（過剰検知）の具体例、機密情報のコピーや送信を監視・ブロックするDLP、利用状況を可視化して未許可利用（シャドーIT）を特定するCASBとCSPMの切り分けも問われています。

3. 学習のポイント

第一に、ファイアウォールとネットワーク分離の仕組みを整理します。パケットフィルタリング型は送信元・宛先のIPアドレスとポート番号（TCP/UDPなど）で通過可否を判断し、それを拡張したステートフルパケットインスペクション（SPI）は過去に通過したリクエストから通信セッションの状態を認識して対応する戻りのパケットを動的に通過させます。また、VDI（仮想化デスクトップ基盤）を用いたインターネット分離でマルウェア侵入とPC内ファイルの流出をともに防ぐには、PCとVDIサーバ間の通信を画面転送プロトコルだけに限定し、ファイル転送を禁止することが条件となります。

第二に、IPSとWAFの動作原理・検知指標を押さえます。IPSの設置には、通信経路上に直接配置して通過させながら遮断するインラインモードと、スイッチのミラーポートで経路外からキャプチャする方式があります。検知方式には、定義した異常な通信パターンと照合するシグネチャ型と、通常時の通信を定義してそこから外れた通信を不正と判断するアノマリ型があります。また、WAFにおいて正当な入力に含まれる記号（数式の<など）を攻撃と誤認して遮断する現象はフォールスポジティブ（過剰検知）であり、独自フィールドや分割リクエストの攻撃を見逃すフォールスネガティブ（検知漏れ）と区別します。

第三に、クラウド・データ保護製品（CASB・CSPM・DLP）を対比します。

• CASB: クラウドサービス利用組織（カスタマ）の管理者が、従業員のSaaS等の利用状況を可視化し、許可を得ずに利用している者（シャドーIT）の特定や接続制限を行います。
• CSPM: クラウドサービスの設定を継続的に監視し、不適切な設定の検知や自動修正を行います。
• DLP: 特定の重要情報を監視し、利用者によるコピーや送信などの挙動を検知してブロックします。

4. 間違えやすいところ

各機器が検査する階層や対象プロトコルの取り違えが頻出します。たとえば、パケットフィルタリング型ファイアウォールがPOSTデータやURL、送信元MACアドレスで判断するとしたり、SPIが暗号化パケットのデータ部を復号して検査するとしたり、WAFでDNSキャッシュポイズニングやSMTPの第三者不正中継・メール爆弾を防げるとしたりする選択肢はすべて誤りです。

また、IPSの問題でミラーポートに接続する方式をインラインモードと取り違えさせる選択肢や、CASBの効果としてクラウドサービスプロバイダがDDoS攻撃対策や施設の入退室管理を行うことや脆弱性診断を行うことを挙げる選択肢、DBサーバをDMZから内部ネットワークへ移設した際にWebAPサーバからDBサーバへのSSH接続を許可ルールとして追加させる選択肢にも注意してください。