ステートフル FW の通過判定
ステートフルインスペクション方式のファイアウォールに，次のルールを設定した。ルールは番号順に評価され，許可した通信の戻りのパケットは状態テーブルに基づいて通過させる。内部ネットワークは 192.0.2.0/24 である。このファイアウォールを通過するパケットはどれか。
番号 送信元 宛先 プロトコル/宛先ポート 動作
1 192.0.2.0/24 any TCP/443 許可
2 any any any 拒否- ア外部の 203.0.113.5 から，内部の 192.0.2.10 の TCP/443 宛てに送られた SYN パケット
- イ内部の 192.0.2.10 から，外部の 203.0.113.5 の UDP/443 宛てに送られたパケット
- ウ外部の 203.0.113.5 の TCP/443 から，内部の 192.0.2.10 の TCP/51000 宛てに送られた ACK フラグが立ったパケットで，192.0.2.10 から対応する接続を開始していないもの
- エ内部の 192.0.2.10 の TCP/51000 から外部の 203.0.113.5 の TCP/443 宛ての SYN が通過した後に，203.0.113.5 から 192.0.2.10 に返された SYN/ACK パケット
正解と解説を見る
正解 エ
この問題の基礎知識
- パケットフィルタリングでは，送信元・宛先の IP アドレス，プロトコル，ポート番号などを条件とするルールを順に評価し，一致したルールの動作を適用する。最後に全てを拒否するルールを置くのが一般的である。
- ステートフルインスペクションでは，許可した通信の接続情報を状態テーブルに記録し，その接続の戻りのパケットを通過させる。状態テーブルに対応する接続がないパケットは，戻りのパケットとはみなされない。
- TCP の接続は SYN，SYN/ACK，ACK の 3 ウェイハンドシェイクで確立され，接続を開始する側が SYN を送る。TCP と UDP は，ポート番号が同じでも別のプロトコルとして区別される。
ア外部の 203.0.113.5 から，内部の 192.0.2.10 の TCP/443 宛てに送られた SYN パケット
ルール 1 が許可するのは内部から開始する通信である。外部から開始される接続要求は，ルール 1 に該当せず戻りのパケットでもないので，ルール 2 で拒否される。
イ内部の 192.0.2.10 から，外部の 203.0.113.5 の UDP/443 宛てに送られたパケット
ルール 1 が許可するのは TCP の 443 番ポートである。宛先ポート番号が同じでも，プロトコルが UDP のパケット（HTTP/3 の QUIC など）はルール 2 で拒否される。
ウ外部の 203.0.113.5 の TCP/443 から，内部の 192.0.2.10 の TCP/51000 宛てに送られた ACK フラグが立ったパケットで，192.0.2.10 から対応する接続を開始していないもの
確立済みの接続の一部であるかのように見せかけたパケットである。ステートフルインスペクションでは，状態テーブルに対応する接続があるかを確認するので，このパケットは拒否される。
エ内部の 192.0.2.10 の TCP/51000 から外部の 203.0.113.5 の TCP/443 宛ての SYN が通過した後に，203.0.113.5 から 192.0.2.10 に返された SYN/ACK パケット正解
内部からの SYN はルール 1 で許可され，その接続が状態テーブルに登録される。返ってきた SYN/ACK はその接続の戻りのパケットと判断されるので，外部から内部への方向でも通過する。
検証用の出典出典照合済み
NIST SP 800-41 Rev. 1 Guidelines on Firewalls and Firewall Policy照合の根拠（3 件）
- エ（正解）: 内部からの接続要求がルールで許可されると状態テーブルに登録される
the connection attempt is first checked to see if it is permitted by the firewall ruleset. If it is permitted, an entry is added to the state table that indicates a new session is being initiated,
NIST SP 800-41 Rev. 1 · 2.1.2 Stateful Inspection（新しいタブで開きます） - エ（正解）: 登録された（確立途中の）接続の一部である戻りのパケット（SYN/ACK）は通過する
In the simplest case, a firewall will allow through any packet that seems to be part of an open connection (or even a connection that is not yet fully established).
NIST SP 800-41 Rev. 1 · 2.1.2 Stateful Inspection（新しいタブで開きます） - ウ（誤り）: 確立済みの接続を装った ACK パケットは，状態テーブルに対応する接続がないので通過しない
For example, an attacker could generate a packet with a header indicating it is part of an established connection, in hopes it will pass through a firewall. If the firewall uses stateful inspection, it will first verify that the packet is part of an established connection listed in the state table.
NIST SP 800-41 Rev. 1 · 2.1.2 Stateful Inspection（新しいタブで開きます）
ルール 1 は送信元が内部（192.0.2.0/24）で宛先 TCP/443 のものだけを許可する。ア は外部から開始する SYN，イ は UDP なのでいずれもルール 1 に該当せずルール 2 で拒否される。エ の SYN/ACK は，ルール 1 で許可された SYN の接続の戻りとして状態テーブルに基づき通過する。