平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12
テクノロジ／セキュリティVLAN 機能をもった1台のレイヤ3スイッチに複数の PC を接続している。スイッチのポートをグループ化して複数のセグメントに分けると，スイッチのポートをセグメントに分けない場合に比べて，どのようなセキュリティ上の効果が得られるか。
出典：平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12
- アスイッチが，PC から送出される ICMP パケットを全て遮断するので，PC 間のマルウェア感染のリスクを低減できる。
- イスイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
- ウスイッチが，PC の MAC アドレスから接続可否を判別するので，PC の不正接続のリスクを低減できる。
- エスイッチが，物理ポートごとに，決まった IP アドレスをもつ PC の接続だけを許可するので，PC の不正接続のリスクを低減できる。
正解：イ
解説
VLAN 機能によってスイッチのポートを複数のセグメント（ブロードキャストドメイン）に分けると，あるセグメント内の PC が送出したブロードキャストパケットは，そのセグモント内だけに到達し，他のセグメントには転送されなくなります。これにより，本来同一のネットワーク内にいた場合に他の PC まで届いてしまっていたブロードキャストパケット（ARP 要求などに含まれるアドレス情報）の到達範囲が制限され，アドレス情報が不要にほかのセグメントへ流出するリスクを低減できます。
選択肢ごとの解説
- ア誤り。VLAN によるセグメント分けは，ICMP パケットを一律に遮断する機能ではなく，マルウェア感染そのものを直接防ぐものでもありません。
- イ正しい。スイッチが，PC からのブロードキャストパケットの到達範囲をセグメント内に制限するので，アドレス情報の不要な流出のリスクを低減できます。
- ウ誤り。MAC アドレスによる接続可否の判別は，ポートセキュリティや IEEE 802.1X 認証などの機能であり，VLAN によるセグメント分け自体が提供する機能ではありません。
- エ誤り。物理ポートごとに決まった IP アドレスの PC の接続だけを許可する機能は，DHCP スヌーピングや IP アドレス固定の管理策などによるものであり，VLAN によるセグメント分け自体が提供する機能ではありません。