解説

ステートフルパケットインスペクション（SPI）は通信のセッション状態（ステート）を追跡・管理することで、「過去に通過したリクエストに対応した正当な戻りパケット」のみを通過させるファイアウォール方式です。ステートテーブルにはSYN（接続開始）→SYN-ACK→ESTABLISHED（確立）→FIN（切断）などのTCPセッション状態、またはUDPの仮想セッション状態が記録されます。内部から外部への通信が開始された場合、その戻りパケット（外部→内部）は自動的に許可されます。これにより手動でインバウンドポートを開放する必要がなく、不正なインバウンド接続をデフォルトで遮断できます。

なぜ他の選択肢は違うのか

選択肢 ア

「Webクライアントと Webサーバとの間に配置されリバースプロキシサーバとして動作し、受け付けたパケットに不正なデータがないかどうかを検査する」はWAF（Web Application Firewall）またはリバースプロキシ型ファイアウォールの説明です。アプリケーション層での検査を行うため、SPIの「セッション状態の追跡」とは異なります。

選択肢 イ

「アプリケーションプロトコルごとにプロキシソフトウェアを用意し、通信に不正なデータがないかどうかを検査する」はアプリケーションゲートウェイ（またはアプリケーションレベルゲートウェイ）の説明です。L7（アプリケーション層）でプロキシとして機能するため、L4でセッション状態を管理するSPIよりも詳細な検査が可能ですが、オーバーヘッドが大きいです。

選択肢 ウ

「特定のアプリケーションプロトコルだけを通過させるゲートウェイを利用し、コネクション要求を受け付けて目的サーバに改めてコネクションを要求する」はサーキットレベルゲートウェイ（またはSOCKSプロキシ）の説明です。L5（セッション層）レベルで動作し、アプリケーションプロキシの一種ですが、アプリケーションデータの内容は検査しません。

解くときのポイント

ファイアウォール方式の階層別整理：パケットフィルタリング（L3/L4・ヘッダのみ）→SPI（L4・セッション状態追跡）→サーキットゲートウェイ（L5・接続中継）→アプリケーションゲートウェイ（L7・内容検査）。SPIの特徴＝「過去の通信を記憶して戻りパケットを自動許可」。