正解：ア
各選択肢の解説
ア送信元の偽装が疑われるので、インターネット側から届く送信元がプライベートIPアドレスの通信は破棄する。
正解。プライベートIPアドレスはインターネット上では使われないため、外から届いた通信の 送信元にあるのは不自然です。偽装を疑い、境界のファイアウォールで破棄するよう規則を設けます。
イ社内の端末から出た通信が戻ってきたものなので、社内からの通信と同じ規則で通過させる。
誤り。192.168.x.x を「社内のアドレス」と思い込んだ判断です。プライベートIPアドレスは どの組織でも使えるので、自社の端末とは限りません。外から届いた以上、信用する根拠になりません。
ウ利用者の通信がNATで変換された後の正規のアドレスなので、そのまま通過させてよい。
誤り。NATは、社内から出ていく通信のプライベートIPアドレスをグローバルIPアドレスに変換します。 変換後にインターネットを流れるのはグローバルIPアドレスなので、プライベートのまま届くのは逆です。
エ送信元のアドレスの登録者を調べ、そのアドレスを使っている組織に通信の停止を依頼する。
誤り。グローバルIPアドレスなら割当て先を調べられますが、プライベートIPアドレスは どの組織にも割り当てられていないため、登録者は特定できません。依頼する相手がいない通信です。
理解を深めるために
外から届いた手紙に「社内便」の差出人
社外から郵便で届いた封筒の差出人欄に「3階 総務課」とだけ書いてあったら、怪しいと思うはずです。 社内便でしか使わない書き方が、外から来る手紙に書かれているからです。 インターネット側から届く通信の送信元がプライベートIPアドレスであるのは、これと同じ状態です。
なぜ破棄するのか
プライベートIPアドレス（10.x.x.x、172.16〜31.x.x、192.168.x.x）は、組織の中で自由に使える代わりに、 インターネット上では使われない決まりです。社内から外へ出る通信は、NATでグローバルIPアドレスに 変換されてから流れます。そのため、外から届いた通信の送信元がプライベートIPアドレスなら、 次のどちらかを疑います。
- 攻撃者が送信元を偽装している（応答を受け取らない攻撃や、社内からの通信のふりをする攻撃）
- どこかの機器の設定誤り
どちらでも通す理由はないので、境界のファイアウォールでインターネット側から入ってくる、 送信元がプライベートIPアドレスの通信は破棄する規則を置きます。
混同しやすい考え方との違い
| 考え方 | 実際 |
|---|---|
| 外から来た送信元のプライベートIPは不自然 | 偽装を疑い、境界で破棄する |
| 192.168.x.x は自社の端末 | どの組織でも使えるので、自社とは限らない |
| NAT変換後の正規のアドレス | NATの変換後はグローバルIPアドレスになる |
| 登録者に停止を依頼する | プライベートIPアドレスには登録者がいない |
試験では、アドレスの種類と「どちら側から届いたか」を組み合わせて判断できるかが問われます。