解説

ファイアウォールには、通信を制御する方式によっていくつかの種類があります。ステートフルインスペクション方式は、パケットフィルタリング方式を拡張したもので、個々のパケットを単独で検査するだけでなく、過去に通過したパケットから通信のセッション（コネクションの状態）を認識・記録し、新たに受け付けたパケットがそのセッションの状態に照らして妥当かどうかを判断して、通過させるか遮断するかを決めます。例えば、内部から外部へ送った通信の応答パケットは通過させ、そうした正当なセッションに対応しない外部からの不審なパケットは遮断する、といった制御ができます。選択肢dの「パケットフィルタリングを拡張した方式であり、過去に通過したパケットから通信セッションを認識し、受け付けたパケットを通信セッションの状態に照らし合わせて通過させるか遮断するかを判断する」が、ステートフルインスペクションの特徴として正しく、正解です。他の選択肢は、リバースプロキシ（Webサーバの代理）、アプリケーションゲートウェイ（プロトコルごとのプロキシ）、サーキットレベルゲートウェイ（コネクションを張り直して中継）の説明であり、いずれもステートフルインスペクションとは異なる方式です。各ファイアウォール方式の動作の違いを整理しておきましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「WebクライアントとWebサーバの間に配置され、リバースプロキシサーバとして動作し、通信を中継する際に不正なデータがないか検査する」は、リバースプロキシ（あるいはWAF）の説明です。Webサーバの代理として通信を検査する方式であり、セッションの状態に基づいて通過可否を判断するステートフルインスペクションとは異なります。

選択肢 イ

「アプリケーションプロトコルごとにプロキシソフトウェアを用意し、中継する際に不正なデータがないか検査する」は、アプリケーションゲートウェイ（アプリケーションレベルゲートウェイ）の説明です。プロトコルごとに代理して内容を検査する方式であり、セッションの状態を追跡するステートフルインスペクションとは異なります。

選択肢 ウ

「特定のアプリケーションプロトコルだけを通過させ、クライアントからのコネクション要求を受け付けて目的のサーバに改めてコネクションを要求してアクセスを制御する」は、サーキットレベルゲートウェイの説明です。コネクションを張り直して中継する方式であり、セッション状態に基づいてパケットの通過可否を判断するステートフルインスペクションとは異なります。

解くときのポイント

ステートフルインスペクション＝パケットフィルタリングを拡張し、通信セッションの状態を追跡して通過可否を判断。混同注意：アプリケーションゲートウェイ（プロトコルごとのプロキシ）、サーキットレベルゲートウェイ（コネクション張り直し）、リバースプロキシ。