解説

ダイナミックパケットフィルタリング（動的パケットフィルタリング）は、ファイアウォールの通信制御方式の一つで、通信の状態（セッション）を動的に追跡して、フィルタリングのルールを自動的に調整する方式です。具体的には、内部から外部へ送ったリクエストのパケットを記録しておき、それに対応する戻り（応答）のパケットだけを通過させるように、一時的に通過を許可します。これにより、内部から開始した正当な通信の応答は通すが、外部から一方的に送られてくる不審なパケットは遮断する、という柔軟で安全な制御ができます。静的（スタティック）なパケットフィルタリングが、あらかじめ固定したルールだけで判断するのに対し、動的方式は通信の文脈に応じてルールを動的に変える点が特徴です。選択肢cの「過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる」が、ダイナミックパケットフィルタリングの特徴として正しく、正解です。他の選択肢は、NAT（アドレス変換による内部構成の隠蔽）、暗号化通信の復号検査、アプリケーション層での不正アクセス防止であり、いずれもダイナミックパケットフィルタリングの本質とは異なる機能です。

なぜ他の選択肢は違うのか

選択肢 ア

「IPアドレスの変換が行われるので、内部のネットワーク構成を外部から隠蔽できる」は、NAT（ネットワークアドレス変換）の説明です。アドレス変換による内部構成の隠蔽の話であり、通信の状態を追跡して戻りパケットを通すダイナミックパケットフィルタリングとは機能が異なります。アドレス変換による内部構成の隠蔽はNAT（ネットワークアドレス変換）の説明であり、通信の状態を追跡して戻りパケットを通すダイナミックパケットフィルタリングとは機能が異なります。

選択肢 イ

「暗号化されたパケットのデータ部を復号して、許可された通信かどうかを判断できる」は誤りです。一般的なパケットフィルタリングは、ヘッダ情報（IPアドレスやポート番号、通信状態）に基づいて判断するものであり、暗号化されたデータ部を復号して中身を検査する機能はもちません。パケットフィルタリングはヘッダ情報に基づいて判断するものであり、暗号化されたデータ部を復号して中身を検査する機能はもたないため、この記述は誤りです。

選択肢 エ

「パケットのデータ部をチェックして、アプリケーション層での不正なアクセスを防止できる」は、アプリケーションゲートウェイやWAF、IDS/IPSなどの説明です。アプリケーション層のデータ内容を検査する機能であり、通信状態を追跡して戻りパケットの通過を制御するダイナミックパケットフィルタリングとは異なります。

解くときのポイント

ダイナミックパケットフィルタリング＝通信の状態を追跡し、内部から開始したリクエストに対応する戻りパケットだけを動的に通す。静的フィルタリング（固定ルール）との違い。NAT（隠蔽）やアプリ層検査（WAF等）とは別機能。