基本情報 平成27年度 秋期 問44｜テクノロジ系に関する問題

答えは a「番号1によって，通過を禁止する」 です。

パケットフィルタリング型ファイアウォールは「通行手形のチェック係」。ルール一覧を番号1から順に見て、最初に当てはまったルールで通すか止めるかを決め、残りのルールは見ません。

パケットAの送信元アドレスは 10.1.2.3。番号1のルールは「送信元 10.1.2.3、ほかは何でも（*）→ 通過禁止」なので、いきなり番号1に当てはまります。

👉 覚え方：ファイアウォール＝上から順に、最初の一致で決定。

ほかの選択肢：b 番号2・c 番号3 も条件には合うが、番号1が先に当てはまるので使われない／d 番号4 まで進むことはない。

なぜこれが正解か

正解は a。このファイアウォールはルールを番号1から順に照合し，最初に適合したルールの動作を適用する（First Match）。パケットA（送信元10.1.2.3，宛先10.2.3.4，TCP，送信元ポート2100，宛先ポート25）を照合すると：

• 番号1：送信元アドレスが 10.1.2.3 で，他の項目は全て「*」→ 適合。動作は通過禁止。

したがって番号1によって通過が禁止され，番号2以降は適用されない。

各選択肢の解説

• a 番号1によって通過を禁止する（正解）。
• b 番号2（宛先10.2.3.*，TCP，宛先ポート25→通過許可）にもパケットAは適合するが，先に番号1が適合しているので適用されない。
• c 番号3（宛先10.1.*）は，宛先10.2.3.4 なので適合しない。
• d 番号4は全てに適合する最後のルールだが，番号1で判定が終わるため適用されない。

覚え方・ひっかけ注意

パケットフィルタの3鉄則：(1) 上から順に照合し最初の一致で決定（First Match），(2) どれにも当てはまらない通信は拒否（Default Deny，本問の番号4），(3) 必要最小限の許可。ルールの順序によって結果が変わるため，「条件に合うルールが複数あっても，番号が若いものが優先される」点がひっかけになる。

理論的背景

ファイアウォールは進化段階で (1) パケットフィルタリング（L3-L4、ステートレス）、(2) ステートフルインスペクション（セッションテーブル管理）、(3) アプリケーションゲートウェイ（プロキシ型）（L7、コンテンツ検査）、(4) 次世代ファイアウォール（NGFW）（アプリ識別・IPS・URL Filter・SSL Decryption統合）、(5) WAF（Web Application Firewall）（HTTP特化）に分類される。

実務での使われ方

エンタープライズ環境では境界防御（Perimeter Defense）に加え、ゼロトラスト（Zero Trust：BeyondCorp）アプローチでマイクロセグメンテーションを実施。CASB／SASE／ZTNA（Zero Trust Network Access）が現代的アーキテクチャ。クラウド環境ではセキュリティグループ（AWS／Azure NSG／GCP Firewall Rules）がパケットフィルタの実装形態。Linux環境ではiptables／nftables／ufwで実現。

試験での位置づけ

情報セキュリティ・ネットワーク分野の頻出論点。基本情報・応用情報・情報処理安全確保支援士・ネットワークスペシャリストで毎期出題。ルール照合のシミュレーション問題は科目B（旧午後）にも登場する。

選択肢の発展補足

• ACLの設計指針：(1) 内向き（Inbound）と外向き（Outbound）を別管理、(2) 不要ルールの削除（Drift管理）、(3) ログ取得とSIEM連携、(4) 定期的なルール監査（PCI DSS等のコンプライアンス要件）。
• DMZ（DeMilitarized Zone）設計：3-leg FW構成 vs 2-leg FW二重構成の選定。
• ICMP制御の落とし穴：完全遮断するとPath MTU Discoveryが機能せず接続不能になる場合あり。Type 3 Code 4は許可推奨。
• 関連用語：IPS（Intrusion Prevention System）・IDS（Intrusion Detection System）・SIEM（Security Information and Event Management）・SOAR（Security Orchestration, Automation and Response）。