基本情報技術者インターネット通信の安全性オリジナル・公式資料照合難易度★★☆☆☆
状態追跡型ファイアウォールは、内部PCのTCP送信元ポート51000番から、外部WebサーバーのTCP 443番への新規接続を許可し、外部からの新規接続は拒否する。追跡中の許可済み接続に属する戻りのパケットは許可する設定である。説明として正しいのはどれか。
A
接続状態との対応を確認して応答を通せるので、すべての外部からの新規接続を開放する必要はない★ 正解
許可して開始した通信の状態を記録し、その応答を認める仕組みです。任意の外部発接続を一律に許す必要はありません。
B
外部の送信元ポートが443番なら、対応する接続がなくても同じ状態として扱う
送信元ポート番号だけでは既存接続との対応を証明できません。接続状態やアドレス等の情報も照合します。
C
Webサーバーからの応答も宛先443番なので、外部から内部宛ての443番だけを開放すればよい
応答の宛先は内部PCが使った51000番です。Webサーバーの待受けポート443番と、応答の宛先ポートを取り違えています。
D
接続状態の追跡によって、TLS暗号文の復号とWebアプリのSQLインジェクション対策まで代行できる
接続の状態追跡と、TLSの復号・アプリケーションの入力処理は別の機能です。状態追跡だけでSQLの組立てを安全にできません。
解説
状態追跡は、パケットを既存の通信状態と対応付けて制御します。戻りの通信を認めることと、外部発の任意の新規接続を許すことを区別します。状態追跡だけでアプリの安全性が保証されるわけではありません。
根拠資料・確認情報
対応範囲：2026年度 基本情報技術者試験 科目A・B
資料確認日：2026-10-28
同じレッスンの問題
問題 1
HTTPSクライアントがhttps://pay.exampleへ接続した。証明書の署名チェーンと有効期間は正しいが、subjectAltNameのDNS名はshop.exampleだけで、pay.exampleに一致する識別子はない。接続先の識別を検証する処理として適切なのはどれか。
問題 2
TLS 1.3で、証明書認証と一時的なECDHE鍵交換を用いて通信した。再開用PSK・0-RTTは使わず、通信終了後に一時秘密値と通信鍵は消去された。後日、第三者が当時の暗号化通信の記録とサーバーの証明書用秘密鍵だけを入手した。前方秘匿性が意味するものはどれか。
問題 3
署名されたDNSゾーンの応答について、DNSSECの信頼の連鎖と署名検証が正しく成立した。DNSSECが主として提供する性質はどれか。通信経路の暗号化を追加する別の方式は考えない。
問題 4
社員PCと社内ゲートウェイの間で、社内宛て10.20.0.0/16の通信だけをIPsecトンネルへ通す。一般のインターネット宛て通信は、そのトンネルを通さない設定である。このVPNの保護範囲について正しいのはどれか。