令和6年度 秋期 応用情報技術者試験 午後問題 問5 セキュアWebゲートウェイ導入とFWルール変更
この問題は2024(R6)秋 応用情報技術者 午後に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
学習ガイド
セキュアWebゲートウェイサービスを社内ネットワークへ導入する場面を扱ったネットワーク設計の問題です。導入前後の構成図とファイアウォールの許可ルール表を突き合わせ、どの通信経路が変わり、どのルールを書き換えるべきかを読み取る力が試されます。正答率が高かった問題だからこそ確実に得点したいところで、この記事では経路の変化を1本ずつ追いながら各空欄の根拠を確認します。
この記事で押さえる論点
- プロキシ型クラウドサービス導入前後の通信経路の変化を図から追う
- FWの許可ルールを送信元・宛先の組合せで設計し直せる
- 略語(空欄のアルファベット指定)を文脈から特定する解き方に慣れる
出題情報
- 出題
- 2024(R6)秋 応用情報技術者 午後 問5
- 配点
- 20点満点
- 模範解答
- 公表(設問ごとに掲載)
出題趣旨・採点講評(IPA 公表)
企業内のネットワーク利用や管理において，クラウドサービスを利用したインターネットセキュリティ対策が増加してきている。
本問では，セキュアWebゲートウェイサービスの社内ネットワークへの適用検討を題材として，ネットワークの変更設計や運用管理の知識を問う。
問5では，セキュアWebゲートウェイサービスの社内ネットワークへの適用検討を題材に，ネットワークの変更設計や運用管理について出題した。全体として正答率は高かった。
問題本文
セキュアWebゲートウェイサービスの導入に関する次の記述を読んで，設問に答えよ。
E社は，インターネットを利用した人材紹介業を営む会社である。
E社のネットワークは，DMZセグメント，内部セグメント及びサーバセグメントから構成されている。DMZセグメントには，コンテンツフィルタリング機能やWebサイトのアクセス制御機能をもつプロキシサーバ及びDNSサーバが設置されている。プロキシサーバでは，内部セグメントからインターネット向けのHTTP通信，HTTP Over TLS（以下，HTTPSという）通信を中継し，アクセスログを保管している。内部セグメントにはE社の従業員が利用するPCが，サーバセグメントには業務サーバが，それぞれ設置されている。
E社の従業員は，PCのWebブラウザを用いて，HTTP通信でサーバセグメントの業務サーバに直接アクセスして業務を実施したり，HTTPS通信でY社が提供するSaaS（以下，Y社SaaSという）にアクセスして，電子メールサービス，ファイル共有サービス，チャットサービスなどを活用したりしている。
〔E社のネットワーク構成〕
E社のネットワーク構成を，図1に示す。
図の説明テキスト
E社のネットワーク構成図。Y社SaaSがインターネットを経由してE社に接続されている。E社内の構成は、ルータからファイアウォール（FW）に繋がり、そこからDMZセグメント（プロキシサーバ、DNSサーバ）とL3SW（レイヤー3スイッチ）に分岐する。L3SWには内部セグメント（複数のPC）とサーバセグメント（業務サーバ）が接続されている。Y社SaaSからインターネットはip7、ルータのWAN側はip1、ルータとFW間はip2、プロキシサーバはip3、DNSサーバはip4、FWとL3SW間はip5、業務サーバはip6というラベルが示されている。図の左下に「FW：ファイアウォール」「L3SW：レイヤー3スイッチ」という凡例があり、図の下部に「注記 ip1, ip2, …, ip7 はグローバル又はプライベートIPアドレスである。」「図1 E社のネットワーク構成」という記載がある。
E社のルータでは，a機能を用いて，E社内に割り当てられたプライベートIPアドレスをグローバルIPアドレス及びポート番号に変換している。
Y社SaaSでは，E社からのアクセスに対して①送信元IPアドレスでアクセス制限を行っている。
〔セキュアWebゲートウェイサービスの導入検討〕
E社では，近年の業務拡大に伴い，インターネット利用の機会が急激に拡大してきた。情報システム部のF部長は，悪意のあるWebサイトへ意図せずにアクセスしたり，社内の機密情報や顧客情報が漏えいしたりするおそれがあると考え，インターネットアクセスに対するセキュリティ対策を強化することにした。そこで，部下のG主任に，社内のプロキシサーバに代えて，Z社がSaaSとして提供するセキュアWebゲートウェイサービス（以下，サービスZという）の導入検討を指示した。
〔サービスZの概要〕
G主任は，サービスZの概要を調査した。
サービスZは，PCからインターネット上のWebサイトへのアクセスを安全に行うためのサービスであり，主な機能は次の三つである。
(1) アクセス先の b やIPアドレスから悪意のあるWebサイトであるかどうかを評価し，安全でないと評価された場合はアクセスを遮断する機能
(2) 機密情報や顧客情報がE社外に漏えいしないように，TLSで暗号化された通信内容をサービスZ内で復号して通信内容を検査し，これらの情報が含まれていないことを確認する機能
(3) ②インターネット上のWebサイトから受け取ったプログラムをサービスZ内の保護された領域で動作させ，E社システムが不正に操作されるおそれがないことを確認する機能
サービスZを利用するためには，E社の全てのPCに専用のクライアントソフトウェア（以下，ソフトCという）を導入し，PCのWebブラウザからインターネット上のWebサイトへのアクセスを，ソフトCを介して行う必要がある。ソフトCからサービスZには，HTTPS通信を用いて接続する。サービスZは，PCからインターネット上への全てのWebアクセスについて，どのPCからアクセスされたものかを識別して，アクセスの監視や各種制御を行う。
〔ネットワーク構成の変更〕
G主任は，サービスZの調査結果を基に，サービスZ導入後のE社のネットワーク構成案を図2のように考えた。
図の説明テキスト
サービスZ導入後のE社のネットワーク構成案を示す図。
左側に「Y社SaaS」「Z社SaaS」が配置され、それぞれ「ip7」「ip8」として「インターネット」に接続している。
インターネットからE社ネットワークへ接続される。
E社ネットワークの構成：
・インターネットから「ルータ」に「ip1」で接続され、ルータから「FW」へ「ip2」で接続されている。
・FWから「DMZセグメント」と「L3SW」に分岐している。
・DMZセグメント内には「DNSサーバ」が配置され、FWから「ip4」で接続されている。
・FWから内部ネットワーク側の「L3SW」へ「ip5」で接続されている。
・L3SWから「内部セグメント」と「サーバセグメント」に分岐している。
・内部セグメント内には「PC」が複数台配置されている。
・サーバセグメント内には「業務サーバ」が配置され、L3SWから「ip6」で接続されている。
図の下部に以下の注記がある：
注記 ip1, ip2, ip4, ip5, …, ip8はグローバル又はプライベートIPアドレスである。
その下にキャプションとして「図2 サービスZ導入後のE社のネットワーク構成案」と記載されている。
G主任は，サービスZ導入に当たって必要となる作業を検討し，次の四点に整理した。
(1) 現行のE社のネットワーク構成からプロキシサーバを廃止し，社内のPCからインターネット上のWebサイトへのアクセスは，宛先IPアドレスがcのものだけを許可するように，FWの許可ルールを変更する。
(2) PCにソフトCを導入する。このソフトCは，各PC上でローカルプロキシとして動作する。各PCのプロキシ設定を変更して，このソフトCをプロキシとして利用する。ソフトCからHTTPS通信によってインターネット上のWebサイトへアクセスできるようにするために，cを宛先IPアドレスとするようソフトCの通信設定を行う。
(3) PCのプロキシ設定で，dについては，これまでどおり直接HTTP通信ができるように設定する。
(4) Y社SaaSの送信元IPアドレスでのアクセス制限の設定を変更する。
〔FWの許可ルールの見直し〕
サービスZ導入前のE社FWの許可ルールでは，PCのWebブラウザからインターネットへのHTTP通信やHTTPS通信について，E社プロキシサーバを経由する通信だけを許可する設定になっていた。
G主任は，サービスZ導入後に必要なFWの許可ルールを検討した。
サービスZ導入前のE社FWの許可ルールを表1に，サービスZ導入後のE社FWの許可ルールを表2に示す。なお，ルールは項番の小さい順に参照され，最初に該当したルールが適用される。
図の説明テキスト
表1 サービスZ導入前のE社FWの許可ルール（抜粋）
| 項番 | 送信元 | 宛先 | プロトコル名/ポート番号 |
|---|---|---|---|
| 1 | 内部セグメント | e | TCP/443 |
| 2 | 内部セグメント | e | TCP/80 |
| 3 | e | インターネット | TCP/443 |
| 4 | e | インターネット | TCP/80 |
| 注記 FWは，応答パケットを自動的に通過させる，ステートフルパケットインスペクション機能をもつ。 |
図の説明テキスト
表2 サービスZ導入後のE社FWの許可ルール（抜粋）
| 項番 | 送信元 | 宛先 | プロトコル名/ポート番号 |
|---|---|---|---|
| 1 | 内部セグメント | c | TCP/f |
| 注記 FWは，応答パケットを自動的に通過させる，ステートフルパケットインスペクション機能をもつ。 |
G主任は，これまでの調査内容をF部長に報告し，サービスZの主な三つの機能を導入することになった。
設問と解答・解説
設問1
〔E社のネットワーク構成〕について答えよ。
(1)
本文中の 空欄a に入れる適切な字句をアルファベット4字で答えよ。
模範解答
NAPT
採点基準(配点 2点)
正確性（内容）(2点)
- 2点: 「NAPT」と正しく解答できている。
- 1点: 技術的な意味は理解しているが、アルファベット4字の指定から外れている（例: NAT等）。
- 0点: 不正解、または無解答。
解説
IPアドレス変換技術に関する知識問題です。
プライベートIPアドレスとグローバルIPアドレスを相互に変換する際、ポート番号も合わせて変換することで、複数のプライベートIPアドレスを1つのグローバルIPアドレスでインターネット通信させる技術は NAPT (Network Address Port Translation) または IPマスカレード と呼ばれます。
本問では「アルファベット4字」の指定があるため、NAPT が正解となります。
高得点のポイント
- 指定通り アルファベット4字 で解答すること
- IPアドレスとポート番号の変換技術として NAPT を正しく答えること
(2)
本文中の下線①について，アクセスが許可される送信元IPアドレスを，図1中の字句を用いて答えよ。
模範解答
ip1
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 「ip1」と正しく解答できている。
- 1点: 図1中の字句を用いているが、IPアドレスの指定が誤っている（例: ip2など別のIPアドレス）。
- 0点: 不正解、または無解答。
解説
ファイアウォールなどのアクセス制御において、許可される送信元IPアドレスを特定する問題です。
E社からインターネットへの通信を許可するためには、インターネット接続ルータに設定されているグローバルIPアドレスが送信元となります。図1の構成では、FWのインターネット側インタフェースのIPアドレス ip1 がNAPTによって変換された後の送信元IPアドレスとなります。
高得点のポイント
- 送信元IPアドレスによるアクセス制限の仕組みを理解していること
- NAPT変換後の送信元IPアドレスとして ip1 を正しく図中から抽出すること
設問1(2)は，正答率がやや低かった。送信元IPアドレスによるアクセス制限は，ネットワークに関するセキュリティ技術の基本なので，是非理解してほしい。
設問2
〔サービスZの概要〕について答えよ。
(1)
本文中の 空欄b に入れる適切な字句をアルファベット3字で答えよ。
模範解答
URL
採点基準(配点 2点)
正確性（内容）(2点)
- 2点: 「URL」と正しく解答できている。
- 1点: 意図は伝わるが、アルファベット3字の指定から外れている、または軽微な誤記がある。
- 0点: 不正解、または無解答。
解説
Webサイトのフィルタリング機能に関する知識問題です。
危険なWebサイトの判別には、接続先のIPアドレスだけでなく、アクセス先のリソースを特定する URL (Uniform Resource Locator) が広く利用されています。セキュアWebゲートウェイでは、この URL の内容を確認してアクセスの可否を判断します。
高得点のポイント
- 危険なWebサイトの判別基準として URL が利用されることを理解していること
- 指定通り アルファベット3字 で解答すること
(2)
本文中の下線②の機能の名称を解答群の中から選び，記号で答えよ。
模範解答
選択肢ウ: サンドボックス
配点 1点
解説
マルウェア対策機能に関する知識問題です。
安全な仮想環境内で疑わしいファイルを実行し、その振る舞いを監視してマルウェアかどうかを判定する機能は サンドボックス です。
各選択肢の解説
- ア (HTTPSデコード): 暗号化されたHTTPS通信を復号して中身を検査する機能であり、ファイルを実行して判定する機能ではありません。
- イ (アンチウイルス): 既知のマルウェアのシグネチャ（定義ファイル）と照合して検知する機能であり、未知のファイルを実行して振る舞いを見る機能ではありません。
- ウ (サンドボックス): 正解。隔離された仮想環境でファイルを実行し、振る舞いから悪意のあるプログラムを検知する機能です。
- エ (セキュアブラウジング): ブラウザを隔離された環境で実行し、端末をマルウェア感染から守る機能です。
- オ (トラフィック検査): ネットワーク上を流れるパケットを監視・分析して異常を検知する機能であり、ファイル実行による判定機能ではありません。
設問2(1)は，正答率がやや低かった。危険なWebサイトの判別には，URLや接続先のIPアドレスが利用されている。特にURLの内容の確認は重要であるので，理解を深めてほしい。
設問3
〔ネットワーク構成の変更〕について答えよ。
(1)
本文及び表2中の 空欄c に入れる適切な字句を，図2中のIPアドレスを用いて答えよ。
模範解答
ip8
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 「ip8」と正しく解答できている。
- 1点: 図2中のIPアドレスを用いているが、宛先が誤っている（別のIPアドレスを解答している）。
- 0点: 不正解、または無解答。
解説
ネットワーク構成の変更に伴う、経路設定の変更に関する問題です。
セキュアWebゲートウェイ（サービスZ）を導入したことで、社内からインターネットへのWeb通信はサービスZを経由する必要があります。そのため、PCからのWebトラフィックの宛先は、変更後の構成においてサービスZに接続するためのルータのインタフェースのIPアドレス、すなわち ip8 となります。
高得点のポイント
- クラウドサービス（サービスZ）経由での通信経路を正しく理解していること
- 変更後の構成図（図2）から適切なIPアドレス ip8 を抽出すること
(2)
本文中の 空欄d に入れる適切な字句を，図2中の機器の名称を用いて答えよ。
模範解答
業務サーバ
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 「業務サーバ」と正しく解答できている。
- 1点: 図2中の機器の名称を用いているが、対象の機器が誤っている。
- 0点: 不正解、または無解答。
解説
ネットワーク構成変更後の社内通信経路に関する問題です。
プロキシサーバを経由せずに直接アクセスすべき社内の宛先として該当する機器を答えます。社内ネットワーク内に配置され、PCから内部通信としてアクセスする主なサーバは 業務サーバ です。セキュアWebゲートウェイはインターネットへの通信に利用するため、社内の 業務サーバ 宛ての通信は除外（バイパス）する設定が必要となります。
高得点のポイント
- プロキシ（サービスZ）経由とすべき通信と、直接通信すべき社内通信の違いを理解していること
- 図2の機器の名称から、社内宛ての通信先として 業務サーバ を正しく解答すること
設問4
(1)
表1中の 空欄e に入れる適切な字句を，図1，図2又は表1中の字句を用いて答えよ。
模範解答
プロキシサーバ
ip3
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 「プロキシサーバ」または「ip3」と正しく解答できている。
- 1点: 図や表中の字句を用いているが、対象の機器またはIPアドレスが誤っている。
- 0点: 不正解、または無解答。
解説
ファイアウォールのフィルタリングルールの移行に関する問題です。
変更前の構成（図1）において、社内からインターネットへのWebアクセスは プロキシサーバ を経由していました。そのため、FWでは送信元IPアドレスが ip3 （プロキシサーバのIPアドレス）の通信を許可していました。
高得点のポイント
- 変更前のWebアクセスが プロキシサーバ を経由する構成であったことを理解していること
- 該当する機器のIPアドレスとして ip3（または機器名として プロキシサーバ） を正しく特定すること
(2)
表2中の 空欄f に入れる適切な字句を，図1，図2又は表1中の字句を用いて答えよ。
模範解答
443
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 「443」と正しく解答できている。
- 1点: ポート番号として関連する字句を用いているが、値が誤っている（例: 80など）。
- 0点: 不正解、または無解答。
解説
サービスZへの通信に必要なポート番号に関する問題です。
サービスZ（セキュアWebゲートウェイ）とは暗号化されたトンネルやHTTPSによるセキュアな通信を行います。一般的にHTTPS通信で用いられる宛先ポート番号は 443 であるため、ファイアウォールの許可ルールにおいて宛先ポート番号 443 を指定します。
高得点のポイント
- セキュアなWeb通信（HTTPS）で利用される標準的なポート番号が 443 であることを理解していること
- ネットワーク構成図や表を参照し、ファイアウォールのフィルタリングルールとして適切に導き出せること