平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6

解説

ダイナミックパケットフィルタリング（ステートフルインスペクションとも呼ばれる）は，静的なパケットフィルタリングを拡張した方式であり，過去に通過したパケット（例えば内部から外部への接続要求パケット）の情報をもとに通信セッションの状態を動的に記憶し，そのセッションに対応する戻りのパケット（応答パケット）だけを通過させることができます。これにより，あらかじめ戻りの通信について個別にルールを設定しなくても，正当なセッションに対応する通信を安全に通過させることが可能になります。

選択肢ごとの解説

• ア誤り。IP アドレスの変換によって内部ネットワーク構成を隠蔽するのは NAT（ネットワークアドレス変換）の機能であり，ダイナミックパケットフィルタリングの特徴ではありません。
• イ誤り。暗号化されたパケットのデータ部を復号して通信を判断する機能は，パケットフィルタリング型のファイアウォールにはなく，暗号化通信を終端するプロキシなどの機能です。
• ウ正しい。過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができるのが，ダイナミックパケットフィルタリングの特徴です。
• エ誤り。パケットのデータ部（アプリケーション層のデータ）をチェックして不正なアクセスを防止するのは，アプリケーションゲートウェイや WAF などの機能であり，パケットフィルタリングの範囲を超えるものです。