解説

ステートフルパケットインスペクション（SPI）は、パケットフィルタリングを拡張したファイアウォール方式です。通常のパケットフィルタリングが各パケットを独立して検査するのに対し、SPIは過去に通過したパケットのセッション状態（コネクション状態）を管理するステートテーブルを保持します。例えば、内部から外部へのTCP接続リクエスト（SYNパケット）が通過した場合、その戻りパケット（SYN-ACK）をステートテーブルで確認し、正規の応答であれば通過を許可します。これにより「リクエストに対する正当な応答」のみを許可し、不正な外部からのパケットを遮断できます。単純なパケットフィルタリングでは戻りパケットのポートを開放する必要があったのに対し、SPIは動的にポートを管理できるため、より柔軟かつ安全なフィルタリングが可能です。

なぜ他の選択肢は違うのか

選択肢 ア

「IPアドレスの変換によって内部のネットワーク構成を外部から隠蔽できる」はNAT（Network Address Translation）の特徴です。NATはプライベートIPアドレスとグローバルIPアドレスを変換する技術で、内部構成の隠蔽効果はありますが、ステートフルパケットインスペクションの主目的ではありません。SPIはセッション状態の追跡が特徴です。

選択肢 イ

「暗号化されたパケットのデータ部を復号して許可された通信かどうかを判断できる」はSSL/TLS復号機能を持つNext Generation Firewall（NGFW）やSSL/TLS可視化装置の特徴です。SPIは暗号化パケットの内容を復号する機能は持たず、セッションの状態追跡によるフィルタリングが主目的です。

選択肢 エ

「パケットのデータ部をチェックして、アプリケーション層での不正なアクセスを防止できる」はDPI（Deep Packet Inspection）またはアプリケーションゲートウェイ（第7層ファイアウォール）の特徴です。SPIはセッション状態に基づくフィルタリングを行いますが、アプリケーションデータの内容まで検査するものではありません。

解くときのポイント

ステートフルパケットインスペクション＝「過去のセッション状態を記録し、戻りパケットを正当性確認して通過許可」。他のFW方式の区別：①パケットフィルタリング（各パケット独立判断）②アプリケーションゲートウェイ/DPI（データ部検査）③NAT（アドレス変換）。「ステートフル」＝状態を持つ、がポイント。