インラインアノマリ型IPS

問題の条件を2つに分けて整理します。 条件1:インラインモード ・インラインモードは、IPS(侵入防止システム)を通信経路上に直接設置し、通信を通過させながらリアルタイムに監視し、不正な場合はその場で遮断(破棄)する方式です(選択肢ウ、エが該当)。 ・スイッチのミラーポート等に接続して経路外から監視する方式はプロミスキャスモード等と呼ばれます(選択肢ア、イ)。 条件2:アノマリ型 ・アノマリ(異常検知)型は、事前に「通常(正常)の通信」の振る舞いをプロファイルとして定義・学習しておき、そこから大きく外れた通信を不正とみなす方式です。未知の攻撃にも対応しやすい特徴があります(選択肢イ、エが該当)。 ・逆に、既知の「異常な通信」のパターン(シグネチャ)を定義し、それに合致するものを不正とみなすのは「シグネチャ型(ミスユース型)」です(選択肢ア、ウ)。 両方の条件を満たすのは「エ」です。

インラインモードで動作するアノマリ型IPSはどれか。

出典令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13
ア
IPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
イ
IPS が監視対象の通信経路を流れる全ての通信パケットを経路外からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。
ウ
IPS が監視対象の通信を通過させるように通信経路上に設置される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
エ
IPS が監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。