正解：ア
各選択肢の解説
ア確認した通信だけを許可し、それ以外の通信はすべて拒否する。
正解。使う通信が分かっているなら、それだけを通して残りをすべて拒否します。 想定していない通信は、危険かどうかを判断するまでもなく入れません。
イ攻撃によく使われるポートを拒否し、それ以外は許可する。
誤り。危ないものを並べて止める拒否リストの考え方です。知られた攻撃は止められますが、 リストに無い経路はすべて通ってしまいます。使う通信が確定しているこの場面では、 止めるものを数えるより、通すものを絞るほうが漏れがありません。
ウ管理用の接続は、送信元を限らずどこからでも許可する。
誤り。管理用の接続はサーバを操作できる入口なので、攻撃者に最も狙われます。 使うのは社内の運用端末だけだと分かっているので、許可は送信元をその端末に 限ってかけるべきで、どこからでも受け付ける理由はありません。
エ将来使うかもしれない通信も、あらかじめ許可しておく。
誤り。手間を省くつもりでも、使っていない通信の入口を開けておくことになり、 その先で動いているサービスに弱点があれば攻撃に使われます。 通信は使うと決まった時点で、その分だけ許可を追加します。
理解を深めるために
名簿に載った人だけ通す受付
招待客の決まったパーティーなら、受付は名簿に載った人だけを通し、ほかは断ります。 「不審者リストに載っている人だけ断る」受付では、リストに無い不審者が素通りします。 ファイアウォールの規則も同じで、必要な通信だけを許可し、残りはすべて拒否するのが基本です。
なぜ「通すものを決めて、残りを拒否」なのか
ファイアウォールは、送信元・宛先・ポート番号などの規則に従って、通信を通すか止めるかを決めます。 規則の作り方には大きく2つの考え方があります。
- 必要な通信だけ許可し、残りを拒否する（許可リストの考え方）
- 危険な通信だけ拒否し、残りを許可する（拒否リストの考え方）
拒否リストの考え方では、知られていない攻撃や、うっかり動いていたサービスへの通信が通ってしまいます。 この問題のように使う通信が確定しているなら、許可リストの考え方で作れます。 さらに、許可する通信も「どこから」まで絞ります。管理用の接続は運用端末からだけ、 HTTPSは外部から、というように、通信ごとに送信元を限るのが最小限の許可です。
混同しやすいものとの違い
| 規則の作り方 | 想定していない通信はどうなるか |
|---|---|
| 確認した通信だけ許可、残りは拒否 | 通らない |
| 危険なポートだけ拒否、残りは許可 | 通る |
| 管理用の接続を送信元を限らず許可 | 管理の入口が誰にでも開く |
| 将来の分まで先に許可 | 使っていない入口が開いたまま残る |
試験では、規則の作り方を問われたら「必要なものだけ・必要な相手からだけ許可し、残りは拒否」が 正解の形になります。手間を省く理由で許可を広げる選択肢は外します。