DoS攻撃を軽減できる2つのネットワークセキュリティソリューションとは？（2つ選択）

DoS攻撃を軽減するために有効なネットワークセキュリティソリューションとしては、「侵入防止システム（IPS）」と「ファイアウォール」の2つが挙げられます。本記事では、この2つのソリューションをはじめ、ピングスキャン、マルウェア、VLANホッピング、MACアドレステーブルオーバーフローなど、さまざまなネットワーク脅威への対策をQ&A形式でわかりやすく解説します。

ピングスキャンを緩和するにはどのような方法が使えますか？

ネットワークに影響を与えることなく、ポートスキャンやピングスイープを完全に防ぐことはできません。しかし、侵入防止システム（IPS）を活用すれば、ネットワークやホストに発生する被害を軽減できます。また、エッジルーターのICMPエコーおよびエコー応答機能を無効化することで、ピングスイープそのものを発生しにくくすることが可能です。

マルウェアのリスクを軽減する主な方法は何ですか？

マルウェアの脅威に対処するための基本は、コンピューター本体とソフトウェアの両方を常に最新の状態に更新することです。新しい脆弱性は日常的に発見されており、メーカーはこれらに対応するパッチ（ソフトウェアアップデート）を公開しています。デバイスの自動アップデート機能を有効にしておけば、更新漏れを防ぎ、セキュリティを維持しやすくなります。

ネットワークアドミッションコントロール（NAC）が提供する2つの機能は何ですか？

ネットワークアドミッションコントロール（NAC）ソリューションを利用すると、有線・無線・VPNクライアントのネットワークへの認証を行い、アクセスを許可する前にデバイスがポリシーに準拠しているかを評価・修正できます。さらに、ロール（役割）に基づいたアクセス権限の差別化や、ネットワークトラフィックの監視と使用状況のレポート作成も可能です。

VLANホッピング攻撃を緩和するためにネットワークエンジニアが取れる対策は？

VLANホッピング攻撃の脅威を軽減するには、以下のような対策が有効です。まず、VTP（VLANトランキングプロトコル）を無効化します。次に、すべてのスイッチポートを適切に設定し、未使用ポートは無効化またはアクセスポートとして固定します。加えて、トランクポートのネイティブVLANを管理用VLANとは別の未使用VLANに割り当てることで、攻撃経路を大幅に減らせます。

ピングスイープとポートスキャンを防ぐにはどうすればよいですか？

ピングスイープやポートスキャンに対抗するには、内部ホストにアクセスできる必要最低限のトラフィックのみを許可し、それ以外のトラフィックをすべて拒否するアクセス制御が基本となります。可能な限り、保護対象のホストから離れた位置（ネットワーク境界など）でフィルタリングを行うのが理想的です。HTTPで使われるTCP 80番ポートや、pingに使われるICMPなど、標準的なポートやプロトコルも不用意に許可しないよう注意しましょう。

ポートスキャンを緩和するにはどうすればよいですか？

プライベートネットワークを保護するには、ファイアウォールを導入して不正アクセスを防ぐことが有効です。さらにTCPラッパーと組み合わせれば、管理者はドメイン名やIPアドレスに基づいてサーバーへのアクセス制御を行うことができます。

ピングスイープとポートスキャンに使われるツールは何ですか？

Nmapが代表的なツールです。Nmapはポートスキャン用途で最も広く使われていますが、pingスキャンにも対応しています。-sPオプションを使用すると、ホストが稼働しているかどうかを確認できます。Nmapのピングスイープ機能は、この-sPオプションによって実行されます。

攻撃の3つの主要な種類とは何ですか？

ネットワーク攻撃は大きく分けて、アクセス攻撃、偵察（リーコネッサンス）攻撃、サービス拒否（DoS）攻撃の3種類があります。それぞれのカテゴリーには、さらに細かい攻撃手法のサブカテゴリーが存在します。

暗号技術によって確保される情報セキュリティの3要素とは？

CIAトライアドは、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）という3つの主要コンポーネントからなる情報セキュリティモデルです。セキュリティには多くの要素がありますが、それぞれが根本的な目標を表しています。

DoS攻撃はターゲットシステムのステートフルな状態をどのように悪用しますか？

DoS攻撃は、接続状態を保持するステートフルなシステムの特性（TCPの接続テーブルやバッファなど）を悪用し、大量のリクエストや不完全な接続を送りつけることでリソースを枯渇させます。一方、マルウェアはシステム内のファイルを破壊・削除するコードを実行し、中間者（MITM）攻撃ではネットワーク上を流れるデータが傍受・分析、あるいは改ざんされる恐れがあります。

MACアドレステーブルオーバーフロー攻撃を緩和する最も効果的な方法は？

MACアドレステーブルオーバーフロー攻撃を防ぐ最もシンプルかつ効果的な方法は、ポートセキュリティを有効にすることです。ポートセキュリティを使用すれば、1つのポートで学習できる有効なMACアドレスを1つ（または限定された数）に制限できます。

スイッチのMACアドレステーブルがオーバーフローするのを防ぐセキュリティ機能は？

攻撃者がスイッチのMACアドレステーブルを大量の偽装MACアドレスで溢れさせるのを防ぐには、ポートセキュリティを有効にします。これにより、ポートごとに許容されるMACアドレスの数に上限を設定でき、不正なフラッディングを阻止できます。

侵入アクティビティ検出時にCisco IOSファイアウォールIPS機能に設定できる3つのアクションは？

Cisco IOSファイアウォールのIPS機能は、侵入アクティビティを検出した際に、アラートの送信、パケットのドロップ、TCP接続のリセットといったアクションを実行するよう設定できます。

WLANを安全に保つためのベストな方法は？（2つ選択）

無線LAN（WLAN）を保護するには、強力なパスワードの設定と、ネットワーク通信の暗号化（WPA2/WPA3など）が特に重要です。加えて、SSIDの保護、ファイアウォールの導入、アンチウイルスソフトの活用、ファイル共有時の注意、アクセスポイントのソフトウェアへのパッチ適用なども有効な対策です。

ポートスキャンで発見される情報を制限できる2つのオプションは？（2つ選択）

ポートスキャナーによって取得される情報量を制限するには、侵入防止システム（IPS）とファイアウォールを活用します。認証や暗号化、パスワードだけでは、ポートスキャンによる情報漏えいを防ぐことはできません。