令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6

解説

ステートフルパケットインスペクションは，単純な静的パケットフィルタリングを拡張し，過去に通過したリクエスト（要求）パケットの通信状態（セッション情報）を記憶しておき，そのリクエストに対応する戻りの応答パケットだけを通過させることができる方式です。あらかじめ戻りの通信について個別にルールを設定しなくても，通信のセッション状態に基づいて動的に通過・遮断を判断できる点が特徴です。

選択肢ごとの解説

• ア誤り。IP アドレスの変換によって内部のネットワーク構成を外部から隠蔽できるのは NAT（アドレス変換）の特徴であり，ステートフルパケットインスペクションの特徴ではありません。
• イ誤り。暗号化されたパケットのデータ部を復号して許可された通信かどうかを判断するのは，復号機能をもつプロキシなどの特徴であり，一般的なステートフルパケットインスペクションの機能ではありません。
• ウ正しい。過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる点が，ステートフルパケットインスペクションの特徴です。
• エ誤り。パケットのデータ部（アプリケーション層のデータ）をチェックして不正なアクセスを防止するのは，アプリケーションゲートウェイ（プロキシ型ファイアウォール）や WAF の特徴であり，ステートフルパケットインスペクションの特徴ではありません。