正解：エ
各選択肢の解説
ア社内から社外へ出ていくパケットのうち、送信元が社内のアドレスでないものを破棄する。
誤り。これは自社の中から送信元を偽ったパケットが外へ出ていくのを止める設定 （エグレスフィルタリング）です。同じ「送信元のアドレスを見て破棄する」設定なので混同しますが、 守る相手は社外です。外から入ってくる偽装パケットは止められません。
イ過去に攻撃を観測した社外のIPアドレスを一覧に登録し、そこからのパケットを破棄する。
誤り。攻撃元のアドレスを登録して止める方法です。送信元で止める点は同じですが、 この攻撃のパケットは送信元に社内のアドレスを名乗って届くので、社外のアドレスの一覧には 当たりません。偽れる値を一覧と照らしても防げません。
ウ社外と社内サーバの間の通信をTLSで暗号化し、内容を盗み見られないようにする。
誤り。これは盗聴への対策です。通信を守る点で似ていますが、サーバが接続を許すかどうかは 依然として送信元IPアドレスで決まっており、偽った送信元のパケットを受け入れてしまう 状況は変わりません。
エインターネット側から届いたパケットのうち、送信元が社内のアドレスであるものを破棄する。
正解。社内のアドレスを送信元とするパケットが、正当にインターネット側から届くことはありません。 入口でこれを捨てれば、社内のふりをしたパケットが社内のサーバまで届かなくなります。
理解を深めるために
名札は自分で書ける
受付で「社員です」という名札だけを見て通す建物があるとします。名札を本人が自由に書けるなら、 外から来た人が「社員」と書いた名札を付けてくれば通れてしまいます。 IPパケットの送信元IPアドレスはこの名札と同じで、送った側が書き込む値です。 送信元を偽って別の機器のふりをするのがIPスプーフィングで、 「社内のアドレスなら信用する」という仕組みの信頼を悪用します。
なぜ入口で捨てればよいのか
社内のアドレスは社内のネットワークの中にしかありません。
- インターネット側から届いたのに送信元が社内のアドレス、というパケットは、正当な通信ではありえない
- そこで境界のファイアウォールで、外から入ってくるこうしたパケットを破棄する （イングレスフィルタリングと呼ばれる）
- 偽ったパケットへの応答は本物のアドレス宛てに返るため攻撃者には届きにくいが、 一方的に送り付けるだけで済む攻撃には使える。応答が見えないから安全、とは言えない
根本的には、送信元IPアドレスだけで接続を許す設計そのものを見直し、 利用者の認証を組み合わせることも検討します。
混同しやすいものとの違い
| 対策 | 何を止めるか |
|---|---|
| 外から入る、送信元が社内のパケットを破棄 | 社内を名乗る偽装パケットの侵入 |
| 内から出る、送信元が社内でないパケットを破棄 | 自社が偽装パケットの発信元になること |
| 攻撃元アドレスの一覧で破棄 | 名乗った送信元が一覧にある通信だけ |
| TLSによる暗号化 | 通信内容の盗聴 |
入口と出口のどちらのフィルタかは、「誰を守るか」で見分けます。 外から自社を守るのが入口側、自社から他者への迷惑を防ぐのが出口側です。