解説

NAPT（ネットワークアドレスポート変換、IPマスカレード）は、組織内のプライベートIPアドレスをもつ複数の端末が、1つのグローバルIPアドレスを共有してインターネットにアクセスできるようにする技術です。本問では、ファイアウォールのNAPT機能がもたらす「セキュリティ上の効果」を問うています。NAPTでは、内部からインターネットへアクセスする際に送信元のプライベートIPアドレスとポート番号をグローバル側に変換し、その対応を変換テーブルで管理します。外部からの通信は、この変換テーブルに対応する正規の応答でなければ内部へ転送されません。結果として、内部の端末のプライベートIPアドレスが外部から隠蔽され、インターネット側から内部端末を直接名指しした不正アクセスが困難になります。選択肢dは「内部ネットワークからインターネットにアクセスする利用者PCについて、インターネットからの不正アクセスを困難にすることができる」とあり、NAPTによるアドレス隠蔽のセキュリティ効果を正しく述べているため正解です。これは副次的効果であり、本来の目的であるアドレス節約と併せて理解しましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「DMZ上にある公開Webサーバの脆弱性を悪用する攻撃から防御できる」は、WAF（Webアプリケーションファイアウォール）やIPSなどの役割に近い説明です。NAPTはアドレス・ポートの変換を行うものであり、アプリケーション層の脆弱性を突く攻撃を検知・防御する機能はもたないため、当てはまりません。アプリケーション層の脆弱性を突く攻撃を検知・防御するのはWAFやIPSの役割であり、アドレスとポートの変換を行うNAPTにはそのような検査機能はありません。

選択肢 イ

「インターネットから内部ネットワークへの侵入を検知し、検知後の通信を遮断できる」は、IDS/IPS（不正侵入検知・防御システム）の説明です。NAPTはアドレス変換によって内部を隠蔽する効果はありますが、侵入を能動的に検知して通信を遮断する機能そのものはもっていません。侵入を能動的に検知して通信を遮断するのはIDS/IPSの機能です。NAPTは内部を隠蔽する効果はあっても、侵入を検知・遮断する仕組みそのものはもっていません。

選択肢 ウ

「インターネット上の特定のWebサービスを利用するHTTP通信を検知し、遮断できる」は、URLフィルタリングやアプリケーションフィルタリングの説明です。NAPTはポート番号を含むアドレス変換を行いますが、特定のWebサービスへのHTTP通信内容を識別して遮断する機能はもたないため、該当しません。特定のWebサービスへのHTTP通信を識別して遮断するのはURLフィルタリングの役割であり、アドレス・ポート変換を行うNAPTには通信内容を識別する機能はありません。

解くときのポイント

NAPTのセキュリティ効果＝内部のプライベートIPを隠蔽し、外部からの直接の不正アクセスを困難にする（副次的効果）。本来の目的は1つのグローバルIPの共有（アドレス節約）。攻撃検知・遮断はIDS/IPS・WAFの役割。