ネットワークを分けることがなぜ被害の抑制になるのかを、横展開の観点から解説。VLAN による分離、ARP の性質と対策、802.1X による接続端末の認証、DHCP の偽装への備えまで整理します。
侵入を完全に防ぐことはできない——この前提に立つと、次に効いてくるのが「入られた後にどこまで広がるか」です。一台が乗っ取られたときに、そこから他の端末やサーバへ次々と移っていくことを横展開といいます。ネットワークを分けておくことは、この横展開を止めるための備えです。
外部に公開するサーバと、内部の業務システムを同じ場所に置かない。公開サーバは DMZ に置き、そこから内部へは改めて許可された通信だけを通す。こうしておけば、公開サーバが破られても、そこから内部の情報へ直行はできません。段を分けることが目的です。
ここでよくある誤りが、DMZ に内部の情報を置いてしまうことです。「公開サーバから DB を参照したい」という要求に応えるうちに、DMZ 側へデータの複製を置いてしまう。そうすると、段を分けた意味が薄れます。DMZ には、外に見せてよいものだけを置く、という原則を保ちます。
VLAN は、物理的な配線を変えずに、論理的にネットワークを分ける仕組みです。同じスイッチに繋がっていても、別の VLAN に属していれば直接は通信できず、間にルータやファイアウォールを挟む必要があります。そこで許可した通信だけを通せば、部署間・システム間の到達性を制御できます。
最後の項目は見落とされがちです。組み込み機器は更新が難しく、初期設定のまま置かれることも多いため、乗っ取られると足がかりにされます。業務端末と同じ範囲に置かない、というだけで、影響を大きく減らせます。
ARP は、IP アドレスから MAC アドレスを求める仕組みです。設計上、応答が本物かを確かめる手立てがありません。そのため、偽の対応を覚え込ませることで、同じセグメントの通信を自分のところへ引き寄せることができてしまいます（ARP スプーフィング）。中間に入られると、暗号化していない通信は読まれます。
対策は、その通信が届く範囲を狭めること（セグメントを分ける）、スイッチ側で不正な ARP を落とす機能を使うこと、重要な機器では対応を固定すること、そしてそもそも通信を暗号化しておくことです。最後が効きます。中間に入られても読めない状態にしておけば、被害を抑えられます。
会議室の空きポートに、持ち込んだ機器を挿されたらどうなるか。何もしていなければ、その瞬間から内部ネットワークの一員になります。IEEE 802.1X は、ポートに繋がれた機器を認証してから通信を許す仕組みです。認証に通らない機器は、隔離用のネットワークに置くか、通信させません。
より簡易な手段として、ポートごとに接続できる MAC アドレスを制限する機能もあります。ただし MAC アドレスは書き換えられるため、これだけでは防ぎきれません。認証と組み合わせるか、使っていないポートは無効にしておく、という運用で補います。
DHCP も同様の注意が要ります。偽の DHCP サーバを持ち込まれると、端末に偽のデフォルトゲートウェイや DNS サーバを教え込めます。スイッチ側で、正規のポート以外からの DHCP 応答を落とす機能を使います。
スイッチやルータの管理画面も守る対象です。初期のパスワードのまま、業務用のネットワークから誰でも到達できる、という状態だと、そこを取られた時点で通信の制御を握られます。管理用の通信は専用の経路に隔離し、到達できる端末を限定し、操作の記録を残します。機器の設定変更は、影響が広い範囲に及ぶため、承認の手順も併せて決めておきます。
午前Ⅱでは、VLAN の性質、ARP スプーフィングの仕組み、802.1X の役割が問われます。午後では、ネットワーク構成図を示して「侵入後にどこまで届いてしまうか」「どこで分けるべきか」を書かせる形が出ます。答えるときは「ネットワークを分ける」だけでなく、どの単位で分け、間で何を許可するかまで書くと観点を満たせます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。