平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問11

✓ これが正解イスイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

解説

セグメントを分けると、ブロードキャストの届く範囲が限られます。

VLAN は、1台のスイッチのポートを論理的にグループ分けし、別々のセグメントとして扱う機能です。セグメントを分けると、ブロードキャストドメインも分かれます。ブロードキャストパケットは同じセグメントの全ての機器に届くので、ARP の問合せなどに含まれる IP アドレスや MAC アドレスの情報が広く流れます。セグメントを分けておけば、その到達範囲が同じグループの中に限られ、ほかのグループにアドレス情報が伝わりにくくなります。見分けるときは、ポートをグループ化すること自体で生まれる働きなのか、別の設定や機能による効果なのかを区別します。

ほかの選択肢はなぜ違うのか

• アスイッチが，PC から送出される ICM…：セグメントを分けても、スイッチが ICMP パケットを全て止めるわけではありません。特定のパケットを止めるのはフィルタの設定であり、ポートのグループ化の効果ではありません。
• ウスイッチが，PC の MAC アドレスか…：接続してきた PC の MAC アドレスを見て許可するかを決めるのは、MAC アドレスによる認証やフィルタリングの機能です。ポートをグループに分ける操作では実現しません。
• エスイッチが，物理ポートごとに，決まった …：物理ポートごとに決まった IP アドレスの PC だけを許すのは、ポート単位のアドレス制限の機能です。セグメントを分割するだけでは、そうした接続の制限は生まれません。