ネットワークスペシャリスト 2022年 春期 午後I 問題

共通の文章

ネットワークの更改に関する次の記述を読んで,設問1ユー3に答えよ。 [現状のネットワーク)〕 A社は,精密機械部品を製造する中小企業であり,敷地内に事務所と工場がある。 事務所には電子メール(以下,メールという)送受信やビジネス資料作成などのた DD OAセグメントと,社外との通信を行うDMZが設置されている。工場には工作 機械やセンサを制御するための制御セグメントと,制御サーバと操作端末のアクセ スログ(以下,ログデータという)や制御セグメントからの測定データを管理する ための管理セグメントが設置されている。 センサやエ作機械を制御するコントローラの通信は制御セグメントに閉じた設計 としているので,事務所と工場の間は,ネットワークで接続されていない。また制 御セグメントと管理セグメントの間には,制御サーバが設置されているがルーティ ングは行わない。 操作端末は。制御サーバを介してコントローラに対し設定値やコマンドを送出す る。コントローラは,常に測定データを制御サーバに送信する。制御サーバは,収 集した測定データを,1日1回データヒストリアンに送る。データヒストリアンは, ログデータ及び測定データを区積する。 A社ネットワークの構成を,図1に示す。 くシターネッ{uasw LRA |: a}|DMZザーババ」| i!|Res|Raーーーーーーニーニーごニニニニニニニニニニニニニニニニニニニー」 =1[Batesにターoral |er||!Looser]ai 4中日サーバ]! i|コントローラ|7|||pe|} ha|||ーー| |Ae 1||ー| 1 meray ot bene ry|lloaszzzk Ll 工場事務所 FW:ファイアウォール L2SW:レイヤ2スイッチ LDAP:Lightweight Directory Access Protocol 図1 A社ネットワークの構成(抜粋) で2 aim ログデータの転送は,イベント通知を転送する標準規格(RFC 5424)の |』|プロトコルを利用している。データヒストリアンに著積された測定デー タとログデータは,ファイル共有プロトコルで操作端末に共有され,社員がUSBメ モリを用いて0Aセグメント内のPCに1週間に1回複製する。 制御サーバ,操作端末及びデータヒストリアンのソフトウェア更新は,必要の都 度,0AセグメントのPCでインターネットからダウンロードしたソフトウェア更新 ファイルを,USBメモリを用いて操作端末に複製した上で実施される。 A社の社員は,PCでメールの閲覧やインターネットアクセスを行う。OAセグメン トからインターネットへの通信はDMZ経由としており,DMZには社外とのメールを 中継する外部メールサーバと,OAセグメントからインターネットへのWeb通信を中 継するプロキシサーバがある。DMZにはグローバルIPアドレスが,0Aセグメント にはプライベートIPアドレスがそれぞれ用いられている。 d社員のメールボックスをもつつ内部メールサーバと,プロキシサーバは,2-V BR 証のためにLDAPサーバを参照する。プロキシサーバのユーザ認証には,Base64で エンコードするBasic認証方式と,MD5やSHA-256でハッシュ化する|b|認 証方式があるが,A社では後者の方式を採用している。また,プロキシサーバは, HTTPの|<|メソッドでトンネリング通信を提供し,トンネリング通信に利 用する通信ポートを443に限定する。 [ネットワークの更改方針] A社では,USBメモリ紛失によるデータ漏えいの防止,測定データのリアルタイム の可視化,及び過去の測定データの蓄積のために,USBメモリの利用を廃止し,工 場と事務所をネットワークで接続することにした。A社技術部のBさんが指示された 内容を次に示す。 (4)データヒストリアンにあるログデータをPCにファイル送信できるようにする。 またPCにダウンロードしたソフトウェア更新ファイルを操作端末にファイル送信 できるようにする。 (b)測定データの統計処理を行い時系列グラフとして可視化するサーバと,長期間 の測定データを加工せずそのまま蓄積するサーバを0Aセグメントに設置する。 (c)セキュリティ維持のために,工場の制御セグメント及び管理セグメントと,事 ー3一 務所の0Aセグメントとの間はルーティングを行わない。 Bさんは,工場のネットワークを設計したベンダに実現方式を相談した。指示(a) と(c)については,ファイル転送アプライアンス(以下,FTAという)がベンダから 提案された。指示(b)と(cC)については,ネットワークパケットプブローカ(以下, NPBという),可視化サーバ,キャプチャサーバがベンダから提案された。 Bさんがベンダから提案を受けた,A社ネットワークの構成を,図2に示す。 !7|-昌明iro CARD Caw HE] cs may}eats ||トー時|Et |Tis”|Pc|} lems wal[ しーーmare rr lougシトLPC} 工場事務所 注記網掛け部分は,ネットワーク更改によって追加される箇所を示す。 図2ベンダが提案したA社ネットワークの構成(抜粋) (管理セグメントとOAセグメント間のファイルの受渡し] FTAは,分離された二つのネットワークでルーティングすることなくファイルの 受渡しができるアプライアンスである。ファイルの送信者は,①FTA Webブラウ ザを使ってログインし,受信者を指定してファイルをアップロードする。ファイル の受信者は,FTAにWebブラウザを使ってログインし,自身が受信者として指定さ れたファイルだけをダウンロードできる。 FTAの機能を使いファイルの受渡しの際に上長承認手続を必須にする。上長へ の承認依頼,受信者へのファイルアップロード通知は,FTAが自動的にメールを送 信して通知する。承認は設定された上長だけが行うことができる。 Bさんが検討したFTAの利用時の流れを,表1に示す。 a 表1 FTAの利用時の流れ i|テッwmード送信者は,FTAにHTTPS(HTTP over TLS)でアクセスし,PC又は 操作端末からFTAにファイルをアップロードする。 SIE DRELAMEA—15,FTAから内部メールサーバに自動送信 される。 3|me上長は,PCでメールを確認後,FTAにHTTPSでアクセスし,ファイ ルの中身を確認した上で承認する。 iファイル受信者宛てのファイルアップロード通知メールが,FTAから内部メー アップロード通知|ルサーバに自動送信される。 law受信者は,PCでメールを確認後,FTAにHTTPSでアクセスし,ファ イルをPC又は操作端末にダウンロードする。 ②指示(cC)のとおり,FTAには静的経路や経路制御プロトコルの設定は行わない。 ③FTAは,認証及び認可に必要な情報について,既存のサーバを参照する。 Bさんは,ベンダからFTAを借りて想定どおりに動作をすることを確認した。 〔測定データの可視化〕 NPBは事前に入力ポート,出力ポートを設定し,入力したパケットを複数の出力 ポートに複製する装置である。NPBではフィルタリングを設定して,複製するパケ ットを絞り込むことができる。可視化サーバは複製されたパケット(以下,ミラー パケットという)を受信して統計処理を行い,時系列グダラフによって可視化をする ことができる。キャプチャサーバは大容量のストレージをもち,ミラーパケットを そのまま長期間保存することができ,必要時にファイルに書き出すことができる。 Bさんは,NPBの動作の詳細についてベンダに確認した。Bさんとベンダの会話を 次に示す。 Bさん:L2SWとNPBの転送方式は,何が違うのですか。 ベンダ:L2SWの転送方式では,受信したイーサネットフレームのヘッダにある送信 元MACアドレスとL2SWの入力ポートをMACアドレステーブルに追加し ます。フレームを転送するときは,宛先MACアドレスがMACアドレステ ーブルに学習済みかどうかを確認した上で,学習済みの場合には学習され ているポートに転送します。WS MACアドレスが学習されていない場合は ーー5ーー [a Juss. これに対してNPBの転送方式では,入力ポートと出力ポートの組合せを 事前に定義して通信路を設定します。今回のA社の構成では,一つの入力ポ ートに対して出力ポートを二つ設定し,パケットの複製を行っています。 NPBの入力は,L2SWからのミラーポートと接続する方法と,ネットワー クタップと接続する方法の二つがあります。ネットワークタップは,既存 の配線にインラインで接続し,パケットをNPBに複製する装置です。今回 検対したネットワークタップを使う方法では,送信側,受信側,それぞれ の配線でパケットを複製するので,NPBの入力ポートは2ポート必要です。 ③今回採用する方法では,想定トラフィック量が少ないので既存のL2SWの ミラーポートを用います。NPBにつながるケーブルは全て1000BASE-SXで Os Bさんは,ベンダへの確認結果を基にA社におけるNPBによる測定データの送信 について整理した。その内容を次に示す。 ・可視化サーバとキャプチャサーバを0Aセグメントに設置する。 ・コントローラは,更改前と同様に測定データを制御サーバに常時送信する。 ・⑤制御セグメントに設置されているL2SWの特定ポートにミラー設定を行い, L2SWの該当ポートの送信側,受信側,双方のパケットを複製してNPBに送信さ せる。 ・NPBは受信したミラーパケットを必要なパケットだけにフィルタリングした後に 再度複製し,⑥可視化サーバとキャプチャサーバに送信する。 Bさんは,FTA,NPBによるネットワーク接続方式を上司に説明し,承認を得た。

共通の文章

セキュアゲートウェイサービスの導入に関する次の記述を読んで,RH 1~3に答 Ruck N社は,国内に本社及び一つの営業所をもつ,中堅の機械部品メーカである。HEF 員は,N社が配布するPCを本社又は営業所のLANに接続して,本社のサーバ,及び SaaSとして提供される社の営業支援サービスを利用して業務を行っている。 N社は,クラウドサービスの利用を進め,従業員のテレワーク環境を整備すること にした。N社の情報システム部は,本社のオンプレミスのサーバからQ社のPaaSへ の移行と,Q社のセキュアゲートウェイサービス(以下,SGWサービスという)の 導入を検討することになった。SGCWサービスは,PCがインターネット上のサイトに 接続する際に,送受信するパケットを本サービス経由とすることによって,ファイ アウォール機能などの情報セキュリティ機能を提供する。 [現行のネットワーク構成 N社の現行のネットワーク構成を図1に示す。 Es 7]za aA Lee正re帳 FW:ファイアウォールLOW:レイヤ2スイッチ L3SW:レイヤ3スイッチ IPsecルータ:IPsec VPNルータ 図1 N社の現行のネットワーク構成GRE) N社の現行システムの概要を次に示す。 ・本社及び営業所のLANは,IPsecルータダを利用したIPsec VPNで接続している。 ms 8にデジ ・本社及び営業所のIPsecルータは,IPsec VPNを確立したときに有効化される仮想 インタフェース(以下,トンネルIFという)を利用して相互に接続する。 ・営業所のPCからP社営業支援サービス宛てのパケットは,営業所のIPsecルータ, 本社のIPsecルータ,L3SW,FW及びインターネットを経由してP社営業支援サー ビスに送信される。 ・FWは,パケットフィルタリングによるアクセス制御と,NAPTによるIPアドレス の変換を行う。 ・P社営業支援サービスでは,OREO IPアドレスから送信されたパケットだけを 許可するアクセス制御を設定して,本社のFWを経由しない経路からの接続を制限 している。 本社及び営業所のIPsecルータは,LAN及びインターネットのそれぞれでデフォル トルートを使用するために,VRE(Virtual Routing and Forwarding)を利用して二つの [a|テーブルを保持し,経路情報をVRFの識別子(以下,VRE識別子という) によって識別する。ネットワーク機器のVREFとインタフェース情報を表1に,ネッ トワーク機器に設定しているVREと経路情報を表2に示す。 表1ネットワーク機器のVRFとインタフェース情報(抜粋) ou Ct) tt 2 Fe 65000:2-= Cam)_|Cate ate) wae TT, 65000:2ー a)|Ca) 注りINTIFは,インターネットに接続するインタフェースである。 注9 LAN-IFは,本社又は営業所のLANに接続するインタフェースである。 注abcd及びs.t.u.vは,固定のグローバルIPアドレスである。 9 wxyzは,ISPから割り当てられた動的なかグローバルIPアドレスである。 ーー9ーー] 表2ネットワーク機器に設定しているVREと経路情報(抜粋) VRF oeネクストホップとなる装 =ine kit ine IPsec Wn| eam[Pe Gn) N社のネットワーク機器に設定している経路制御を,次に示す。 ・本社のFW,L3SW及びIPsecルータには,OSPFによる経路制御を稼働させるため の設定を行っている。 ・本社のFWには,OSPFにデフォルトルートを配布する設定を行っている。 ・②本社のIPsecルータには,営業所のIPsecルータとIPsec VPNを確立するために, 静的なデフォルトルートを設定している。 ・本社及び営業所のIPsecルータには,営業所のPCが通信するパケットをTIPsec VPN を介して転送するために,トンネルIFをネクストホップとした静的経路を設定し ている。 ・本社のIPsecルータには,OSPFに③静的経路を再配布する設定を行っている。 [新規ネットワークの検討〕 Q社のPaaS及びSGWサービスの導入は,N社の情報システム部のR主任が担当す ることになった。R主任が考えた新規ネットワーク構成と通信の流れを図2に示す。 Seo aぞ守。つ as TPC:従業員がテレワーク拠点で利用するPC POP:Point of Presence ee一:PC及びTPCから,Q社PaaS及びP社営業支援システムを利用する際に発生する通信の流れ seインターネットとの接続 図2 R主任が考えた新規ネットワーク構成と通信の流れ(抜粋) R主任が考えた新規ネットワーク構成の概要を次に示す。 ・本社のサーバ上で稼働するシステムを,Qt PaaSへ移行する。 ・Q社SGWサービスを利用するために,本社及び営業所に導入する新IPsecルータ, 並びにTPCは,Q社SGWサービスのPOPという接続点にトンネルモードのTPsec VPNを用いて接続する。 ・PC及びTPC 5 P社営業支援サービス宛てのパケットは,Q社SGWサービスの POP&FW機能及びインターネットを経由して社営業支援サービスに送信され る。 ・Q社SGWサービスのFW機能は,パケットフィルタリングによるアクセス制御と, NAPTによるIPアドレスの変換を行う。 R主任は,POPとの接続に利用するIPsec VPNについて,検討した。 IPsec VPNには,IKEバージョン2と,ESPのプロトコルを用いる。新IPsecルー タ及びTPCとPOPは,IKE SAを確立するために必要な,暗号化アルゴリズム,Ke 似ランダム関数,完全性アルゴリズム及びDiffe-Hellmanグループ番号を,ネゴシエ ーションして決定し,IKE SAを確立する。次に,新IPsecルータ及びTPCとPOP は,認証及びChild SAを確立するために必要な情報を,IKE SAを介してネゴシエー ションして決定し,Child SAを確立する。 ={i= 新IPsecルータ及びTPCは,IPsec VPNを介して転送する必要があるパケットを, 長さを調整するESPトレーラを付加して| e|化する。次に,新しい ヘッダと,|sg ]SAを識別するためのESPヘッダ及びESP認証デ ータを付加して,POP宛てに送信する。 R主任は,IPsec VPNの構成に用いるパラメータについて,現行の設計と比較検討 した。検対したパラメータのうち,鍵の生成に用いるアルゴリズムとを 定めているDiffie-Hellmanグループ番号には,現行では1を用いているが,POPとの 接続では1よりもの長い14を用いた方が良いと考えた。 [接続テスト〕 Q社のPaaS及びSGWサービスの導入を検討するに当たって,Q社からテスト環境 を提供してもらい,AH,営業所及びテレワーク拠点から,Q社PaaS及び社営業 支援サービスを利用する接続テストを行うことになった。 R主任は,接続テストを行う準備として,P社営業支援サービスに設定しているア クセス制御を変更する必要があると考えた。P社営業支援サービスへの接続を許可す るIPアドレスには,Q社SGWサービスのFW機能でのNAPTのために,Q社SGW サービスから割当てを受けた固定のグローバルIPアドレスを設定する。R主任は,Q 社SGWサービスがN社以外にも提供されていると考えて,③④NAPTのためにQ社 SGWサービスから割当てを受けたグローバルIPアドレスのサービス仕様を,Q社に 確認した。 テスト環境を構築したR主任は,Q社PaaS MUOP社営業支援サービスの応答時 間の測定を確認項目の一つとして,接続テストを実施した。 R主任は,N社の幹部に接続テストの結果に問題がかかったことを報告し,Q社の PaaS及びSGWサービスの導入が承認された。

共通の文章

シングルサインオンの導入に関する次の記述を読んで,設問1ー3に答えよ。 Y社は,医療機器販売会社であり,都内に本社を構えている。受発注業務システム のサーバ(以下,業務サーバという)),営業活動支援システムのサーバ(以下,営業 支援サーバという)など,複数のサーバを本社で運用している。 Y社では,IT活用の推進によって社員が利用するシステムが増加した結果,パスワ ードの使い回しが広がり,セキュリティリスクが増大した。また,サーバの運用を 担当する情報システム部(以下,情シスという)では,アカウント情報の管理作業 が増大したことから,アカウント情報管理の一元化が課題になった。 このような状況から,Y社は,社内のシステムへのシングルサインオン(以下, SSOという)の導入を決定した。情シスのZ BEI,SSOの導入検討を部下のXE 任に指示した。 [ネットワーク構成及び機器の設定と利用形態] 最初に,X主任は,本社のネットワーク構成及び機器の設定と利用形態をまとめた。 X主任が作成した,本社のネットワーク構成を図1に示す。 “| 1しサーバ」|サーバ||サーバパコ OO 2 ae aa”aie |Dsi|it 7|py|ps| Sg aeサーバ1 |営業支援i ||i i{pc]~-[pc||Pc]-|Pc]!|I 中PCセグメント!!LEAT pose zay bh FW:ファイアウォール L2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチDS:デイレクトリサーバ 注記網掛け部分は,アカウント情報の一元管理のために,今後導入予定の機器を示す。 図1本社のネットワーク構成(抜粋) 現状の機器の設定と利用形態を次に示す。 (i)社内DNSサーバは,内部LANのゾーン情報を管理し,内部LAN以外のゾーン のホストの名前解決要求は,外部DNSサーバに転送する。 (ii)外部DNSサーバは,DMZのゾーン情報の管理及びフルサービスリゾルバの機 能をもっている。外部DNSサーバは,社外からの再帰問合せ要求は受け付けない。 一方,社内DNSサーバ及びDMZのサーバからの再帰問合せ要求は受け付け,再帰 問合せ時には,送信元ポート番号のランダム化を行う。 (iii)PCには,プロキシ設定でプロキシサーバのFQDNが登録されているが,(3)業 務サーバ及び営業支援サーバへのアクセスは,プロキシサーバを経由せずWebブ ラウザから直接行う。 (iv)PCのスタブリゾルバは,社内DNSサーバで名前解決を行う。 (v)PC,サーバセグメントとDMZのサーバでは,マルウェア対策ソフトが稼働し TWH,マルウェア定義ファイルの更新は,プロキシサーバ経由で行う。 (vi)(b)PCには,L3SWで稼働するDHCPサーバから,PCのIPアドレス,サブネ ットマスク及びその他のネットワーク情報が付与される。 図1中のFWに設定されている通信を許可するルールを表1に示す。 表1 FWに設定されている通信を許可するルール eases 注記FWは,ステートフルパケットインスペクション機能をもつ。 注"TCP/8080は,代替HTTPのポートである。 次に,X主任は,アカウント情報の一元管理をDSによって行い,DSの情報を利用 してSSOを実現させることを考え,ケルベロス認証によるSSOについて検討した。 ー15一 [ケルベロス認証の概要と通信手順〕 X主任が調査して理解した,ケルベロス認証の概要と通信手順を次に示す。 ・ケルベロス認証では,共通鍵暗号による認証及びデータの暗号化を行っている。 ・PCとサーバの鍵の管理及びチケットの発行を行う鍵配布センタ(以下,KDCとい う)が,DSから取得したアカウント情報を基にPC又はサーバの認証を行う。 ・KDCが管理するドメインに所属するPCとサーバの鍵は,事前に生成してPC又は サーバに登録するとともに,全てのPCとサーバの鍵をKDCにも登録しておく。 ・チケットには,PCの利用者の身分証明書に相当するチケット(以下,TGTという) と,PCの利用者がサーバでの認証を受けるためのチケット(以下,STという)の 2種類があり,これらのチケットを利用してSSOが実現できる。 ・PCの電源投入後に,利用者がID,パスワード(以下,PWという)を入力して KDCでケルベロス認証を受けると,HTTP over TLSでアクセスする業務サーバや 営業支援サーバにも,ケルベロス認証向けのAPIを利用すればSSOが実現できる。 ・KDCは,導入予定のDSで稼働する。 X主任は,内部LANにDSを導入したときの,SSOの動作をまとめた。PCの起動 から営業支援サーバアクセスまでの通信手順を図2に示す。 社員DS_ ri aR PC起動 ID,PWAA_ |妥証胡求(DPW) omen=。 営業支援サーバアクセス ⑧③HTTP要求 TTP Gon,WWAuentcaieiNegoiae)| 6営業支援サーバ用のST要求(TGT) @営業支援サーバ用のSTの払出し(ST) のBETTE要求(ケルベロス認証向けのAPIを利用してST提示) TTP応答(200 0K,認証成功を応答)|。 ITTP通信。。。。|| 図2 PCの起動から営業支援サーバアクセスまでの通信手順(抜粋) 図2中の,①て⑧の動作の概要を次に示す。 ①PCは,DSで稼働するKDCにID,PWを提示して,認証を要求する。 @KDCは,ID,PWが正しい場合にTGTを発行し,PCの鍵で暗号化したTGTを PCに払い出す。PCは,TGTを保管する。 @省略 ④省略 ⑤PCは,KDCにTGTを提示して,営業支援サーバのアクセスに必要なSTの発行 を要求する。 ©KDCは,TGTを基に,PCの身元情報,セッション鍵などが含まれたSTを発行 し,営業支援サーバの鍵でSTを暗号化する。さらに,KDCは,暗号化したSTに セッション鍵などを付加し,全体をPCの鍵で暗号化した情報をPCに払い出す。 セッション鍵は,通信相手の正当性の検証などに利用される。 ⑦PCは,全体が暗号化された情報の中からSTを取り出し,ケルベロス誰証向け のAPIを利用して,STを営業支援サーバに提示する。 営業支援サーバは,STの内容を基にPCを認証するとともに,アクセス権限を PCに付与して,HTTP応答を行う。 TGTとSTには,有効期限が設定されている。(c)PCとサーバ間で,有効期限が正 しく判断できていない場合は,有効期限内でも,PCが提示したSTを,サーバが使 用不可と判断する可能性があるので,PCとサーバでの対応が必要である。 (SRVレコードの働きと設定内容) 次に,X EES,ケルベロス認証を導入するときのネットワーク構成について検討 した。ケルベロス認証導入時には,DNSのリソースレコードの一つであるSRVレコ ードの利用が推奨されているので,SRVレコードについて調査した。 DNSサーバにSRVレコードが登録されていれば,サービス名を問い合わせること によって,当該サービスが稼働するホスト名などの情報が取得できる。 SRVレコードのフォーマットを図3に示す。 ごffー 図3 SRVレコードのフォーマット X主任は,図1に示したように,内部LANにDSを2台導入して冗長化し,それぞ れのDSでケルベロス認証を稼働させる構成を考えた。 3中の,Serviceには,ケルベロス認証のサービス名である,kerberosを記述す る。Priority lt,同一サービスのSRVレコードが複数登録されている場合に,MAT るSRVレコードを判別するための優先度を示す。Priorityが同じ値の場合は,Weight でTargetに記述するホストの使用比率を設定する。Portには,サービスを利用する ときのポート番号を記述する。 X主任は,2台のDSでケルベロス認証を稼働させる場合の,SRVレコードの設定 内容を検討した。 X主任が作成した,ケルベロス認証向けのSRVレコードの内容を図4に示す。ここ で,DSIとDS2は,本社に導入予定のDSのホスト名である。 _kerberos._tcp.naibulan.y-sha.jp.43200 IN SRV 120 2 88 DS1.naibulan.y-sha.jp. 4ケルベロス認証向けのSRVレコードの内容 X主任は,調査・検討結果を基にSSOの導入構成案をまとめ,Z課長に提出した。 導入構成案が承認され,実施に移されることになった。