情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
戻り通信をポートだけで許さない
条件を整理し、答えを選んでから解き方を確認しましょう。
内部からHTTPS接続を許可するFWがある。外部からのパケットで送信元ポートが443なら全て通す案と、確立した接続の状態に対応する戻りだけを通す案を比較する。後者の利点はどれか。
答え・解き方を読む
実際の接続情報と照合して無関係な外部起点の通信を区別できる
図で見る
ポート番号だけで決めない
図を拡大して見る ↗外部パケットの送信元が443というだけで許可せず、内部から開始した接続の状態と照合します。
通信規則が許可する接続の模式図です。状態の一致だけでアプリの入力内容や利用者権限まで保証するものではありません。
考える順序
- 1ポート番号だけなら偽装した要求も区別できない
- 2状態表で端点と通信の進行を照合
- 3通信の許可とアプリ内部の認可は別に行う
選択肢ごとの理由
- 比較 · TCPのACKビットがあれば接続情報との照合を省略してよい
ACKビットだけでは実際に成立している接続との関係を確認できません。
- 比較 · 送信先が内部端末の一時ポートならどの外部送信元からも応答と扱う
宛先ポートだけでなく相手や接続状態も照合します。
- 正解 · 実際の接続情報と照合して無関係な外部起点の通信を区別できる
ポート番号だけなら偽装した要求も区別できない。状態表で端点と通信の進行を照合。通信の許可とアプリ内部の認可は別に行う。
- 比較 · 送信元443だけが一致すれば内部から開始した接続への応答と判定できる
ポート番号だけでは既存接続への応答かを識別できません。