情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問5: ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。

正解

ウ. 過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる。

問題の解説

ダイナミックパケットフィルタリング(ステートフルインスペクション)は、通信のコネクション状態を記憶し、内部から出た要求に対応する戻りパケットだけを動的に許可する方式。よって過去に通過した要求に対応する応答を通すウが正解。アドレス変換はNAT、データ部の復号や検査はTLS終端やアプリ層FWの機能で別物。実務では一時的に必要なポートのみ開けるため、固定の穴を減らせる。

選択肢ごとの解説

• アアドレスを変換し内部構成を隠すのはNATの機能であり、状態管理を行う動的フィルタの特徴ではない。
• イ暗号化データ部を復号して判断するのはTLS復号など別機能で、パケットフィルタリングの特徴ではない。
• ウ通過した要求に対応する戻りパケットを動的に通す点がステートフルな動的フィルタの特徴で正解。
• エデータ部を検査しアプリ層の不正を防ぐのはWAFやアプリケーションゲートウェイの役割で誤り。