サイトアイコン やさしいネットワークとセキュリティ

パケットフィルタリング【平成21年度 春期 基本情報技術者試験 午後 問4】

湊 コウ

平成21年春 基本情報技術者試験 午後 問４

問４　パケットフィルタリングに関する次の記述を読んで、設問１、２に答えよ。

　X社では、図に示すネットワークを構築し、インターネットへのWebサイトの公開と電子メール（以下、メールという）の送受信を行っている。

　X社のネットワークは二つのファイアウォールによって、DMZ及び社内LANの二つのセグメントに分けられている。Webサーバ、メールサーバ及びデータベースサーバ（以下、DBサーバ）は、それぞれ次の役割を果たしている。

（1）Webサーバ

　Webサイトとして、自社の情報をインターネットに公開する。Webサーバ上では、社外との取引情報を処理するプログラムが動作する。このプログラムが利用するデータはDBサーバ上に格納される。

（2）メールサーバ

　社外とのメールの送受信を行う。また、取引先に対してメールを自動配信するプログラムが動作する。メール配信のためのデータはDBサーバ上に格納される。

（3）DBサーバ

　Webサーバ及びメールサーバで利用するデータを格納する。

　社内LANに接続された管理用PCからは、SSHを使った各サーバへのログイン操作と、メールサーバを介した外部とのメール送受信が可能である。管理用PCから自社Webサーバの参照はできるが、社外Webサイトの利用は許可されていない。

　ネットワーク上で使われるプロトコルとポート番号を表１に示す。

設問１　次の記述中の（　）に入れる正しい答えを、解答群の中から選べ。解答は重複して選んでもよい。

　インターネットとDMZをつなぐファイアウォールAのパケットフィルタリングの設定を表２に示す。また、DMZと社内LANをつなぐファイアウォールBのパケットフィルタリングの設定を表３に示す。

　フィルタリングの設定ルールは、送信元のIPアドレス、あて先のIPアドレス及び接続先ポート番号を指定して通信の許可/拒否を制御する。設定は上の行のルールから調べて、最初に条件が合致した行の動作を実行する。また、応答パケットについては動的フィルタリング機能によって自動的に許可されるので設定は不要なものとする。

a：メールサーバ、b：25

ファイアウォールAがあるインターネット〜DMZ間で必要な通信は以下のとおりです。

表２の１行目は①、２行目は②を許可するルールです。３行目には③を許可するルールが入ります。

c：メールサーバ、b：110

ファイアウォールBがあるDMZ〜社内LAN間で必要な通信のうち、送信元が管理用PCであるものは以下のとおりです。

表３の４行目は②、５行目は③、６行目は⑤、７行目は①を許可するルールです。３行目には残りの④を許可するルールが入ります。

 設問２　X社のネットワークでは、ファイアウォールによるパケットフィルタリングによって、インターネット接続に伴うセキュリティ上のリスクを低減しているが、パケットフィルタリングは、すべての脅威に対する防御とはならない。パケットフィルタリングによって防ぐことができるセキュリティ上のリスクとして、正しい答えを解答群の中から二つ選べ。

・Webサイトとやり取りされるデータの盗聴や改ざん

・WebサイトへのSQLインジェクション攻撃

・インターネットからDMZ内のサーバへの許可されていないポートでの接続

・インターネットから社内LANへの不正アクセスによる攻撃

・メールによる社内からのファイル流出

【出典：基本情報技術者試験　平成21年度春期午後問4（一部、加工あり）】

パケットフィルタリングで対象とするのは、送信元/宛先IPアドレス、送信元/宛先ポート番号などになりますので、それに合致している通信での攻撃などの脅威は防ぐことができません。

Webサイトとやり取りされるデータの盗聴や改ざん

WebサイトとはHTTPで通信されるため、通信経路上での盗聴や改ざんを防ぐことはできません。

WebサイトへのSQLインジェクション攻撃

SQLインジェクション攻撃はHTTP通信上で行われるため、防ぐことはできません。

メールによる社内からのファイル流出

メール通信はSMTPで許可されその内容までは検知しないため、防ぐことはできません。

モバイルバージョンを終了