令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
テクノロジ／セキュリティステートフルパケットインスペクション方式のファイアウォールの特徴はどれか。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6
- アWeb クライアントと Web サーバとの間に配置され，リバースプロキシサーバとして動作する方式であり，Web クライアントからの通信を目的の Web サーバに中継する際に，受け付けたパケットに不正なデータがないかどうかを検査する。
- イアプリケーションプロトコルごとにプロキシソフトウェアを用意する方式であり，クライアントからの通信を目的のサーバに中継する際に，通信に不正なデータがないかどうかを検査する。
- ウ特定のアプリケーションプロトコルだけを通過させるゲートウェイソフトウェアを利用する方式であり，クライアントからのコネクションの要求を受け付け，目的のサーバに改めてコネクションを要求することによって，アクセスを制御する。
- エパケットフィルタリングを拡張した方式であり，過去に通過したパケットから通信セッションを認識し，受け付けたパケットを通信セッションの状態に照らし合わせて通過させるか遮断するかを判断する。
正解：エ
解説
ステートフルパケットインスペクション（SPI）方式のファイアウォールは，単純なパケットフィルタリング（送信元・宛先アドレスやポート番号による静的な判定）を拡張し，過去に通過した通信の状態（セッション情報）を記憶・追跡します。新たに受け付けたパケットについて，その通信セッションの状態（TCP コネクションの確立状況など）に照らし合わせて，通過させるか遮断するかを動的に判断する方式です。
選択肢ごとの解説
- ア誤り。Web クライアントと Web サーバの間でリバースプロキシとして動作し，中継時にパケットを検査する方式は，リバースプロキシ型のアプリケーションゲートウェイの説明であり，ステートフルパケットインスペクションの特徴ではありません。
- イ誤り。アプリケーションプロトコルごとにプロキシソフトウェアを用意する方式は，アプリケーションゲートウェイ（プロキシ型ファイアウォール）の説明であり，ステートフルパケットインスペクションの特徴ではありません。
- ウ誤り。特定のアプリケーションプロトコルだけを通過させ，コネクションを代理で確立し直す方式は，サーキットレベルゲートウェイの説明であり，ステートフルパケットインスペクションの特徴ではありません。
- エ正しい。パケットフィルタリングを拡張し，過去に通過したパケットから通信セッションを認識して，セッションの状態に照らして通過・遮断を判断する方式がステートフルパケットインスペクションの特徴です。