令和6年度 秋期 午前Ⅱ 問13

✓ これが正解エIPS が監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し，それから外れた通信を不正と判断して遮断する。

解説

経路上に置き、通常時から外れた通信を不正とする形が該当します。

この問は、IPS をどこに置くかと、何を基準に不正と判断するかの2つの軸を組み合わせて4つの選択肢を作っています。1つ目の軸について、インラインモードは、IPS を通信経路の上に置き、監視する通信をすべて IPS に通過させる形です。通信が IPS を通るので、その場で遮断できます。2つ目の軸について、アノマリ型は、平常の状態を基準としてあらかじめ決めておき、その基準からの逸脱を異常とみなす方式です。攻撃の型を登録しておいて合致を探す方式とは考え方が逆になります。2つの条件を両方満たす選択肢を選びます。

ほかの選択肢はなぜ違うのか

• アIPS が監視対象の通信経路を流れる全て…：ミラーポートにつないで経路の外から通信をコピーして見る形なので、インラインモードではありません。しかも異常な通信を定義して合致を不正とする判定は、アノマリ型ではなくシグネチャ型の考え方です。
• イIPS が監視対象の通信経路を流れる全て…：通常時の通信を定義して外れたものを不正とする判定の方式は合っています。しかし、ミラーポートに接続して経路の外から見る置き方なので、経路上で通信を通過させるインラインモードには当たりません。
• ウIPS が監視対象の通信を通過させるよう…：通信経路上に置いて通過させる置き方は合っています。しかし、異常な通信を定義して合致したものを不正とする判定は、シグネチャ型の考え方であり、アノマリ型の説明にはなりません。