平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解エ戻りのパケットに関しては，過去に通過したリクエストパケットに対応付けられるものだけを通過させることができる。

解説

行きのパケットを覚え、対応する戻りのパケットだけを通します。

ダイナミックパケットフィルタリングは、通信の状態に合わせて通過の規則を開け閉めする方式です。内側から外へリクエストのパケットが出ていくと、ファイアウォールはその組合せを記録します。戻ってくるパケットがその記録に対応するときだけ通し、通信が終われば規則を閉じます。戻りのポートを常に開けておく必要がないので、静的な規則より安全です。見分ける軸は、ファイアウォールが何を手掛かりに通過を決めているかです。

ほかの選択肢はなぜ違うのか

• アIP アドレスの変換が行われるので，ファ…：IP アドレスを付け替えて内部の構成を外から見えなくするのは、NAT や NAPT の働きです。戻りのパケットを過去の通信と照らし合わせて通すかどうかを決める仕組みとは別の機能です。
• イ暗号化されたパケットのデータ部を復号して…：暗号化されたデータを復号して中身を調べるのは、パケットフィルタが受け持つ範囲を超えています。フィルタはヘッダの情報で判断するもので、データ部の暗号を解く機能は持っていません。
• ウパケットのデータ部をチェックして，アプリ…：データ部を調べてアプリケーション層の不正を防ぐのは、アプリケーションゲートウェイや WAF の役目です。IP アドレスやポートで通過を決めるパケットフィルタとは見る層が違います。