ネットワークスペシャリスト午後I 事例記述令和7年 春期
午後I 問3
問3 セキュアWebゲートウェイの導入に関するネットワーク設計・移行
テーマ:セキュアWebゲートウェイサービスの導入とネットワーク構成の変更
左右2分割表示:左側の問題文をスクロールしながら右側の設問に解答できます
長文事例本文
図表クリックで拡大問3 セキュア Web ゲートウェイの導入に関する次の記述を読んで,設問に答えよ。
J 社は従業員 50 名の部品メーカーである。J 社では PC の Web ブラウザを利用して,社内の業務用サーバ,K 社が提供する電子メール・ストレージサービス(以下,K 社 SaaS という)に HTTPS でアクセスして業務を行っている。このたび,テレワーク勤務の導入,プロキシサーバの運用作業の省力化及びセキュリティ強化のため,L 社が提供するセキュア Web ゲートウェイサービス(以下,SWG サービスという)を導入することになり,その担当として情報システム部の C 主任が任命された。
〔J 社のネットワーク構成〕
J 社のネットワークは,DMZ セグメント(以下,DMZ という),サーバセグメント及び内部セグメントから構成されている。現状の J 社のネットワーク構成を図 1 に示す。
拡大
K 社 SaaS は,電子メールの送受信,ファイルの保存・参照・ダウンロードの機能を提供している。K 社 SaaS では,アクセスを許可する送信元を J 社のグローバル IP アドレスだけに制限し,利用時は利用者認証を行っている。
DMZ には,NTP サーバ及びプロキシサーバが設置されている。NTP サーバはプロバイダが提供する公開 NTP サーバと時刻同期しており,①社内のネットワーク機器,サーバ及び PC の時刻補正に利用されている。プロキシサーバは PC からインターネットへのアクセスに対して,登録した FQDN や IP アドレス宛ての通信をブロックする。PC のプロキシ設定は PAC ファイルを利用して,②インターネット上の Web サイトへはプロキシサーバを経由し,業務用サーバや K 社 SaaS へはプロキシサーバを経由せずに直接接続する設定としている。プロキシサーバは TCP/10080 で接続を待ち受ける設定にしている。
内部セグメントには,PC が設置されており,L3SW のもつ DHCP サーバ機能で IP アドレスなどが割り当てられている。
サーバセグメントには,業務用サーバ,認証サーバ及び syslog サーバが設置されている。認証サーバは,プロキシサーバ及び業務用サーバの接続時に RADIUS プロトコルを用いて利用者認証を行っている。syslog サーバは,③プロキシサーバ及び業務用サーバのアクセスログ,認証サーバの認証ログ,FW の通信ログ,L3SW の DHCP リースログ,J 社内のサーバやスイッチのシステムログを保存している。syslog サーバ
ースログ,J社内のサーバやスイッチのシステムログを保存している。syslog サーバに保存しているログは,業務用サーバや Web サイトへのアクセス履歴の確認,障害発生時の原因分析に利用されている。
J 社のネットワークからインターネットには,FW がもつキャッシュ DNS サーバ及び NAPT の機能を利用してアクセスしている。FW の許可ルールを表1に示す。
拡大
注記 FW は応答パケットを自動的に通過させるステートフルパケットインスペクション機能をもつ。
〔SWG サービスの仕様調査〕
C 主任は SWG サービスの仕様を調査した。
SWG サービスは,セキュリティ機能及びプロキシ機能をもつクラウド型のサービスである。PCにエージェントソフト(以下,ソフト E という)を導入し,Web ブラウザからソフト E 及び SWG サービスを経由して Web サイトにアクセスする。④ SWG サービスは HTTPS 通信のコンテンツを調査する機能をもつ。SWG サービスを経由して Web サイトにアクセスする HTTPS 通信を信頼させるために,PC に証明書をあらかじめインストールする。
SWG サービスは,一部の Web サイトで実施される送信元アドレス制限に対応するため,契約した企業単位に固定のグローバル IP アドレス(以下,SWG-GIP という)を割り当てるサービスメニューをもつ。契約した企業の通信を SWG サービスが中継する際,送信元アドレスを SWG-GIP に変換する。
ソフト E を導入すると,PC のプロキシ設定が変更され,プロキシサーバとしてソフト E が設定される。ソフト E は PC のローカルプロキシとして動作し,HTTP 及び HTTPS の通信を SWG サービスの TCP/443 ポート宛てに中継する。ソフト E は SWG サービスに登録された直接接続リストをダウンロードして,このリストに登録された Web サイトには SWG サービスを経由させずに,ソフト E から直接接続する。ソフト E は,SWG サービスにアクセスするときに利用者認証を行い,認証に失敗した場合又は未認証の場合,ソフト E 及び SWG サービスは HTTP 及び HTTPS の通信をブロックする。
SWG サービスのセキュリティ機能を表2に示す。
表2 SWG サービスのセキュリティ機能(抜粋)
拡大
〔導入検討〕
C 主任は,SWG サービスの導入に向けて,F 課長と検討を行った。
F 課長:まずは、社内ネットワークの変更点を説明してください。
C 主任:PC から SWG サービスを利用するため、全ての PC にソフト E を導入します。これによって、社内で利用する PC 及びテレワーク勤務のために社外に持ち出した PC (以下,R-PC という) からのアクセスが,SWG サービスを経由するようになります。SWG サービスのサービスメニューを利用して,SWG-GIP を割り当ててもらいます。また、R-PC から業務用サーバに接続できるように、現在利用している社内のプロキシサーバは、設定を変更してフォワードプロキシサーバからリバースプロキシサーバに利用方法を変更します。⑥フォワードプロキシサーバの機能停止に伴って FW の許可ルールを削除し,リバースプロキシサーバのために許可ルールを追加します。
F 課長:SWG サービスを導入した場合,社内の PC から K 社 SaaS へのアクセス経路を教えてください。
C 主任:SWG サービス導入時のネットワーク構成を図 2 に示します。図 2 の⑦(G),(F),(I),(H),(J)の経路になります。
拡大
図 2 SWG サービス導入時のネットワーク構成
- 18 -
F課長:FWに,⑧PCがSWGサービスへ接続するための許可ルールが必要ですね。次にSWGサービスのセキュリティ機能の利用方針を説明してください。
C主任:サイトブロック機能には,フォワードプロキシサーバでブロック先として登録していたFQDNやIPアドレスを設定します。レピュテーション機能では,安全性が高いWebサイトだけに接続させるため,導入時はできるだけしきい値を高く設定しておき,業務影響を確認しながら調整していきます。
F課長:現在は,PCから業務用サーバ及びK社SaaSには直接接続していますが,SWGサービスを導入した場合にダイレクト通信機能は利用しないのですか。
C主任:業務用サーバ及びK社SaaSには,SWGサービスを経由して通信させるため,ダイレクト通信機能は利用しない予定です。併せて,⑨K社SaaSの設定を変更します。また,業務用サーバへSWGサービスからの通信をFWで許可します。
F課長:なるほど。PC,R-PC どちらも SWG サービスを経由させてセキュリティポリシーを合わせていますが,⑩通信の経路を考慮すると業務用サーバのプライベートIPアドレスは直接接続リストに登録した方が良いですね。
C主任:分かりました。業務用サーバのプライベートIPアドレスを直接接続リストに登録します。
F課長:SWGサービスは90日間のトライアル利用ができるので,機能確認や移行方法を検討してください。
C主任はトライアルの結果を基に,SWGサービスの導入計画を立案し,承認された。
(4) 表 1 中の a,b に入れる適切な機器名を,図 1 中の字句で答えよ。
(5) 表 1 中の c,d に入れる適切な数字を答えよ。
拡大図1 現状のJ社のネットワーク構成
拡大表1 FWの許可ルール(抜粋)
拡大表2 SWGサービスのセキュリティ機能(抜粋)
拡大図2 SWGサービス導入時のネットワーク構成
設問一覧 & 解答・演習
まずは解答を作成してみましょう。「解答例を見る」をクリックするとIPA公式解答例と採点基準が開きます。
設問1 (1)記述問題
制限字数:25 字以内
本文中の下線①について,複数機器の時刻を補正する目的を,ログ解析に着目して25字以内で答えよ。
0 / 25 文字
設問1 (2)記述問題
制限字数:35 字以内
本文中の下線②について,J社がプロキシサーバを経由させる目的を,本文中の字句を用いて二つ挙げ,それぞれ35字以内で答えよ。
0 / 35 文字
設問1 (3)記述問題
制限字数:30 字以内
本文中の下線③のうち,FWの通信ログにおいて,PCからの不正な通信が確認された後でPCを特定するために確認するログを本文中の字句で答えよ。
0 / 30 文字
設問1 (4)記述問題
制限字数:20 字以内
表1中の a, b に入れる適切な機器名を,図1中の字句で答えよ。
0 / 20 文字
設問1 (5)記述問題
制限字数:10 字以内
表1中の c, d に入れる適切な数字を答えよ。
0 / 10 文字
設問2 (1)記述問題
制限字数:20 字以内
本文中の下線④について,あらかじめPCにインストールする証明書を20字以内で答えよ。
0 / 20 文字
設問2 (2)記述問題
制限字数:20 字以内
表2中の下線⑤について,ファイルが遠隔操作可能なマルウェアを含む場合,隔離環境上での動作時に観察される外部通信先の名称を答えよ。
0 / 20 文字
設問3 (1)記述問題
制限字数:10 字以内
本文中の下線⑥の機能停止に伴って削除する許可ルールを,表1中の項番1〜8から二つ選んで数字で答えよ。
0 / 10 文字
設問3 (2)記述問題
制限字数:50 字以内
(B) R-PCから(K)業務用サーバに接続する場合のアクセス経路を,図2中の(A)〜(M)を用いて,本文中の下線⑦の記述に従って答えよ。
0 / 50 文字
設問3 (3)記述問題
制限字数:60 字以内
本文中の下線⑧について,FWに追加する許可ルール(送信元,宛先,プロトコル/宛先ポート番号)を答えよ。
0 / 60 文字
設問3 (4)記述問題
制限字数:35 字以内
本文中の下線⑨について,K社SaaSの設定の変更内容を35字以内で答えよ。
0 / 35 文字
設問3 (5)記述問題
制限字数:10 字以内
本文中の下線⑩によって得られる利点を,通信の経路に着目して10字以内で答えよ。
0 / 10 文字
午後I長文記述の得点力を引き上げる定番対策書Amazon・楽天 公式提携
PR
IPA 厳選対策書徹底攻略 ネットワークスペシャリスト教科書 令和8年度瀬戸 美月 著 / インプレス
NW徹底攻略瀬戸 美月 著 / インプレス
徹底攻略 ネットワークスペシャリスト教科書 令和8年度
💡 推薦ポイント:午後I・午後IIの長文ネットワーク構成事例でどこに着目してパケットの流れや設定不備を読み解くか、実践的な解法プロセスを身につけられます。
¥3,278(税込)
※本リンク先はプロモーション(アフィリエイト広告)が含まれています
【出題趣旨】IPA公式発表
【採点講評】IPA公式発表
本問に関連するネットワークスペシャリスト重要用語解説
本番形式・制限時間付きで演習する
令和7年 春期 午後I(3問中2問選択・90分)を実戦演習モードで通し解答し、総合採点を受けられます。