CompTIA Security+（SY0-701） 無料問題 5 / 10 ・ 分野3: セキュリティアーキテクチャ
新しいアプリケーションを社内に導入するにあたり、ファイアウォールのルールの方針を決める。NIST SP 800-41 Rev. 1 が一般に勧める、通信の既定の扱いはどれか。
- 通信の種類ごとの方針を決めず、運用中に誤って遮断された通信が出た都度、個別に許可を足していく
- 許可していない通信のうち、入ってくる通信は既定で遮断し、出ていく通信は既定で許可して、必要に応じて個別に遮断する
- 明示的に禁止した通信だけを遮断し、それ以外の通信は許可する。新しい攻撃には禁止の一覧を追加して対応する
- 許可していない通信は遮断し、必要な通信だけを許可する（deny by default）
正解と解説を見る
正解: D
正解の理由
「許可していない通信は遮断し、必要な通信だけを許可する（deny by default）」SP 800-41 Rev. 1 は、ファイアウォールは、ポリシーで明示的に許可されていない通信を遮断するのが一般的だと述べる。この方針を deny by default と呼び、攻撃のリスクを下げ、ネットワークを流れる通信量も減らせる。ホスト、ネットワーク、プロトコル、アプリケーションが変化するため、許可していない通信をすべて通す方式より安全だとする。
違う選択肢
「明示的に禁止した通信だけを遮断し、それ以外の通信は許可する。新しい攻撃には禁止の一覧を追加して対応する」…許可していない通信を遮断する deny by default のほうが安全な方針とされる。禁止を列挙する方式は、新しい攻撃や変更への追従が遅れる。
「許可していない通信のうち、入ってくる通信は既定で遮断し、出ていく通信は既定で許可して、必要に応じて個別に遮断する」…ポリシーで明示的に許可していない通信は、入る通信も出る通信も遮断するのが勧める既定の扱い。出る通信を既定で許可する方針は、SP 800-41 が勧める形ではない。
「通信の種類ごとの方針を決めず、運用中に誤って遮断された通信が出た都度、個別に許可を足していく」…ポリシーを先に定め、許可する通信を明示するのが前提。遮断を後から直す運用では、変化の多い環境でルールが安全に保てない。
押さえどころ
SP 800-53 の SC-7 (5) も、境界の管理されたインターフェースで、通信を既定で拒否し、例外として許可する形を求める。