正解：エ
各選択肢の解説
ア通信の中身に含まれる、攻撃に使われる文字列のパターン
誤り。通信の中身まで検査するのはWAFやIPSです。どれも「通信を止める」 仕組みなので混同しますが、パケットフィルタリングは中身を読まず、 通信の宛先などの外形的な条件だけで仕分けます。
イ端末上で動いているプログラムが行う操作の履歴
誤り。これはEDRが記録・監視する情報です。EDRは端末の中の動きを見る 仕組みで、ネットワークの出入口に置くファイアウォールからは、端末の中の プログラムの操作は見えません。
ウファイルに含まれる、既知のマルウェアに特有のデータの並び
誤り。これはマルウェア対策ソフトがパターンマッチング法で照合する情報です。 ファイルの中身を調べるのはマルウェア対策ソフトの役割で、ファイアウォールは ファイルの中身を検査しません。
エ通信の送信元・宛先のIPアドレスと、ポート番号
正解。パケットフィルタリングは、パケットに付いているIPアドレスや ポート番号をあらかじめ決めた規則と照らし合わせ、許可されたものだけを 通します。
理解を深めるために
封筒の宛名だけを見て仕分ける郵便係
パケットフィルタリングは、封筒の差出人と宛先、あて先の部署名だけを見て 「この組み合わせは通す、これは通さない」と仕分ける郵便係です。 封筒を開けて中の手紙は読みません。 IPアドレスが差出人と宛先の住所、ポート番号が「どの部署（どのサービス）あてか」に あたります。
なぜ宛名だけで判断するのか
- ネットワークの出入口ではたくさんの通信を速く処理する必要があり、 外形的な条件で機械的に仕分けるのが向いています
- 例えば「外部からは、公開Webサーバの443番ポートあての通信だけを許可する」 といった規則を決めておき、合わないパケットを止めます
- その代わり、許可した宛先・ポートに届く通信の中に攻撃が紛れていても、 中身を見ないので止められません。そこを補うのがWAFやIPSです
混同しやすいものとの違い
| 仕組み | 判断に使う情報 |
|---|---|
| ファイアウォール（パケットフィルタリング） | IPアドレス・ポート番号 |
| WAF・IPS | 通信の中身（攻撃の特徴） |
| EDR | 端末上のプログラムの動き |
| マルウェア対策ソフト | ファイルの中身（既知のマルウェアの特徴） |
試験では「何を見て判断するか」で仕組みを区別させる問題がよく出ます。 ファイアウォールは中身を見ない、と押さえておけば、他の仕組みとの役割分担も 自然に整理できます。