分野 S｜セキュリティ 重点分野
ネットワークの防御（FW・IDS/IPS・VPN・WAF）
今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『6 技術的管理策に関する技術・手法（情報システムの適正利用の管理）／ネットワークセキュリティの方式・制御』『6 技術的管理策に関する技術・手法（情報システムの適正利用の管理）／ネットワークセキュリティの製品・サービス』
最終更新
問われ方
- DMZ の説明を選ぶ形
- DMZ 上の仮想デスクトップ（VDI）による効果を選ぶ形
- CAPTCHA に該当する仕組みを選ぶ形
- 問われるとしたら：事例で、状況に合う防御の仕組みを選ぶ形
- 問われるとしたら：FW・IDS／IPS・WAF の役割の a〜c の組合せの形
覚えること
- 境界防御：外部と内部の境に防御を置き、外からの不正な侵入を防ぐ考え方
- ファイアウォール：外部と内部のネットワークの境に置き、不正な侵入を防ぐシステム
- ファイアウォールの働き：通信の出入りを制御する。PC のマルウェアの検出や駆除はしない
- DMZ：インターネットと内部ネットワークの間に設ける中間のネットワーク
- IDS（侵入検知システム）：不正な通信を検知して、管理者に知らせる
- IPS（侵入防止システム）：検知に加えて、不正な通信を自動で遮断する
- WAF：Web アプリケーションと利用者の間の通信を検査し、攻撃などの不正な通信を遮断する
- VPN：インターネットなどを経由しても、暗号化などにより専用線で結んだように通信できる技術
- 検疫ネットワーク：持ち込んだ PC を、接続前に感染の有無などを確かめる隔離された専用のネットワーク
- 用語例：リバースプロキシ
- URL フィルタリング（Web フィルタリング）：危険なサイトや業務に不要なサイトへの接続を、URL を基に制限する
- CAPTCHA：アクセスしているのが人であることを、応答を求めて確かめる仕組み
- 許可リスト：許可する対象だけを登録し、それ以外を拒否する方式（アローリスト、パスリスト）
- 拒否リスト：拒否する対象を登録し、それ以外を許可する方式（ブロックリスト）
- 許可リストの向く場面：許可する対象が限られ、あらかじめ把握できている時
- 拒否リストの弱み：新しく現れる危険な対象の登録が、追いつかないことがある
ひっかけ
- WAF（Web アプリケーションへの攻撃）とファイアウォール（通信の出入り）の守る対象の取りちがえ
- DMZ（外部との間の中間）と検疫ネットワーク（持ち込み PC の検査用）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが採用する方式として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、従業員の PC から社外の Web サイトへの接続を制限することにした。業務で使う社外のサイトは取引先など限られた数で、全て把握できている。一方、危険なサイトは次々に新しく作られ、把握が追いつかない。
正解：イ 業務で使うサイトだけを許可リストに登録し、他の全てのサイトへの接続を拒否する。
ポイント
状況に合う許可リストと拒否リストの使い分けを問う問題です。
考え方と解き方
許可リストは、許可する対象が限られて把握できる時に向きます。拒否リストは、新しい危険な対象の登録が追いつかない弱みがあります。この立場なら、把握できているのは業務側か危険側かを先に考えます。
- 把握できているのは業務で使うサイトで、危険なサイトは把握が追いつきません。把握できている側を許可リストに登録し、それ以外を拒否する方式が合います。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 危険なサイトを拒否リストで追う方式では、新しく作られるサイトの登録が追いつかず、未登録の危険なサイトへの接続を許してしまいます。
- ウ 許可リスト外のサイトへ利用者の判断で接続できると、危険なサイトに接続できる余地が残ります。許可リストの狙いに合いません。
- エ 登録の頻度を上げても、危険なサイトが作られてから登録するまでの間は接続できてしまいます。把握できている業務のサイトを使うほうが確実です。
覚えておくこと
- 許可リスト：許可する対象だけを登録し、それ以外を拒否する方式（アローリスト、パスリスト）
- 許可リストの向く場面：許可する対象が限られ、あらかじめ把握できている時
- 拒否リストの弱み：新しく現れる危険な対象の登録が、追いつかないことがある
（テーマ・覚えること）
状況に合う防御の仕組みの使い方として、適切なものだけを全て挙げたものはどれか。
A 社の情報システム部の C さんは、防御の仕組みの使い方を、状況ごとに次の a〜c にまとめた。
- a 公開している Web アプリケーションの修正に時間がかかるので、その間の攻撃を止めるため WAF を置く。
- b 社内の PC どうしでの感染の広がりを止めるため、インターネットとの境に置いたファイアウォールを使う。
- c 誤った遮断で業務が止まるのを避けたい通信は、まず IDS で検知だけを行い、様子を見る。
正解：エ a、c
ポイント
状況に合う防御の仕組みの置き方と使い方を、a〜c で判断する問題です。
考え方と解き方
状況ごとに、守りたい場所と、通信がどこを通るかを考えます。境の FW は内部どうしの通信を通らず、IDS は検知まで、WAF は Web アプリケーションへの通信を見ます。
- a は適切です。WAF は、Web アプリケーションと利用者の間の通信を検査して不正な通信を遮断するので、修正までの間の攻撃を抑えられます。b は不適切です。境に置いたファイアウォールを通らない、内部どうしの通信は止められません。c は適切です。IDS は検知して知らせるだけなので、誤っても業務を止めずに様子を見られます。
- したがって、適切なのは a、c の全てで、エ です。
ほかの選択肢
- ア b は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- ウ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- ファイアウォール：外部と内部のネットワークの境に置き、不正な侵入を防ぐシステム
- IDS（侵入検知システム）：不正な通信を検知して、管理者に知らせる
- WAF：Web アプリケーションと利用者の間の通信を検査し、攻撃などの不正な通信を遮断する
（テーマ・覚えること）
C さんが採用する対策として、最も適切なものはどれか。
A 社の情報システム部の C さんは、委託先の担当者が自分の PC を持ち込み、社内の LAN に接続して作業することがあるのを課題としている。持ち込まれた PC がマルウェアに感染したまま接続されて、社内の PC に広がることは避けたい。
正解：ア 持ち込んだ PC を、隔離した専用のネットワークで感染の有無を確かめてから、社内の LAN に接続させる。
ポイント
持ち込み PC への対策として、検疫ネットワークを選ぶ問題です。
考え方と解き方
避けたいのは、感染した PC が社内の LAN に接続されることです。接続してから検知するのでは遅く、接続の前に確かめる仕組みを先に考えます。
- 接続前に、隔離した専用のネットワークで感染の有無などを確かめる仕組みが、検疫ネットワークです。確かめたあとで社内の LAN に接続させれば、感染した PC を入れません。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ DMZ は、インターネットと内部ネットワークの間に設ける中間のネットワークで、PC の検査用ではありません。しかも社内のサーバーへ自由にアクセスさせるのは、広がりを許すので適切ではありません。
- ウ IDS は検知して知らせるだけで、接続の前に確かめる仕組みではありません。感染した PC が接続されたあとの通知になるので、適切ではありません。
- エ CAPTCHA は、アクセスしているのが人であることを確かめる仕組みです。PC の感染の有無は確かめられないので、適切ではありません。
覚えておくこと
- 検疫ネットワーク：持ち込んだ PC を、接続前に感染の有無などを確かめる隔離された専用のネットワーク
- DMZ：インターネットと内部ネットワークの間に設ける中間のネットワーク
（テーマ・覚えること）
VPN を利用する効果として、最も適切なものはどれか。
正解：ウ インターネットなどを経由する社外の PC と社内との間の通信を暗号化し、専用線で結んだように使える。
ポイント
VPN の効果を、ほかの防御の仕組みと取りちがえずに選ぶ問題です。
考え方と解き方
選択肢は、どれも社外と社内の間の通信を守る話に見えます。仕組みの名前を思い浮かべて、何をするものかで切り分けます。
- VPN は、インターネットなどを経由しても、暗号化により専用線で結んだように通信できる技術です。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 不正な通信を検知して管理者に知らせるのは、IDS の働きです。
- イ 人の操作であることを応答で確かめるのは、CAPTCHA の働きです。
- エ 危険や業務に不要なサイトへの接続を URL を基に制限するのは、URL フィルタリングの働きです。
覚えておくこと
- VPN：インターネットなどを経由しても、暗号化などにより専用線で結んだように通信できる技術
（テーマ・覚えること）
このテーマの過去問
- 令和8年度 問3DMZはどれか。科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問9A社では現在，インターネット上のWebサイト…科目A（四択）
- サンプル問題（2022年12月） 問25Webサイトで利用されるCAPTCHAに該当…科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。