令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13
テクノロジ／セキュリティインラインモードで動作するアノマリ型 IPS はどれか。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13
- アIPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。異常な通信を定義し，それと合致する通信を不正と判断して遮断する。
- イIPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。通常時の通信を定義し，それから外れた通信を不正と判断して遮断する。
- ウIPS が監視対象の通信を通過させるように通信経路上に設置される。異常な通信を定義し，それと合致する通信を不正と判断して遮断する。
- エIPS が監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し，それから外れた通信を不正と判断して遮断する。
正解：エ
解説
IPS（侵入防止システム）には，設置形態として，通信経路上に直接設置し通信を通過させながら検査するインラインモードと，スイッチのミラーポートなどに接続して経路外で通信を監視するプロミスキャス（ミラーリング）モードがあります。また，検知方式には，既知の攻撃パターン（シグネチャ）に合致する通信を不正と判断するシグネチャ型と，あらかじめ定義した「通常時の通信」から外れた通信を異常（不正）と判断するアノマリ型があります。したがって，インラインモードで動作し，通常時の通信を定義してそこから外れた通信を不正と判断して遮断するものが，インラインモードで動作するアノマリ型 IPS に該当します。
選択肢ごとの解説
- ア誤り。経路外のミラーポートに接続される方式であり，インラインモードではありません。また，異常な通信そのものを定義する方式はシグネジ型の考え方に近く，アノマリ型の特徴（通常時の通信からの逸脱を検知）とは異なります。
- イ誤り。通常時の通信を定義しそこから外れた通信を検知する点はアノマリ型の特徴と合致しますが，ミラーポートに接続される経路外の方式であるため，インラインモードではありません。
- ウ誤り。通信経路上に設置されるインラインモードである点は合致しますが，異常な通信そのものを定義して検知する方式はシグネチャ型の考え方に近く，アノマリ型の特徴とは異なります。
- エ正しい。通信経路上に設置されて通信を通過させながら検査するインラインモードであり，かつ，通常時の通信を定義してそこから外れた通信を不正と判断するアノマリ型 IPS の説明です。