Diameterとは、RADIUSの後継となるAAA(Authentication, Authorization, Accounting)サービスを実装する認証プロトコルです。RADIUSの問題点の一つとしては、再送機能により発生しやすくなる輻輳を制御する機能がありません。これにより、パフォーマンスの低下やデータ損失が懸念されます。

TCPスリーハンドシェイクは、SYN、SYN-ACK、ACKの3つのステップで実行されます。まず、クライアントがランダムに決めたシーケンス番号を付与したSYNパケットを送る。サーバは受け取ったシーケンス番号と1を加えたACK番号を付与したしたSYN ACKパケットを返信する。クライアントが受け取ったシーケンス番号に1を加えたものとACK番号を付与したACKパケットを送信することで接続の確立する。確立された接続は、最終的にRST（接続をリセットまたは切断）またはFIN（接続を正常に終了）で終了します。よって正解は、「SYN、SYN-ACK、ACK」になります。

〇：IMの使用は、単にネットワークファイアウォールの特定のポートをブロックすることによって停止させることができる。

インスタントメッセージング（IM）は、人々がリアルタイムおよび個人的なチャットルームのタイプを介して互いに通信することを可能にします。これらの技術には、ファイル転送する機能を有しているでしょう。ユーザーがIMクライアントををインストールし、一意の識別子が割り当てられています。IM経由で通信したい人には、この一意の識別子を提供します。IMトラフィックが共通ポートを使用することができるため、ファイアウォールで特定のポートをブロックすることは通常は効果的ではありません。

この問題自体がセキュリティについての理解を確認するものであり、そのうえで「プレゼンテーションに含まれるべきではない」ということは、IMが安全で素晴らしい技術であるという主張をしたいわけではありません。

×：機密データやファイルをIMを介してシステムからシステムに転送することができます。

メッセージをテキストに加えて、インスタント・メッセージングは​​システムから転送するファイルを可能にしますので、間違っています。これらのファイルは、ビジネスや法的リスクで会社を入れて、機密情報を含む可能性があります。そして、IM経由でファイルを共有することは、ネットワーク帯域幅とインパクトのネットワークパフォーマンスをそれだけ使うことになります。

×：ユーザーが情報を含むマルウェアからの正当な送信者を装った攻撃を受けることができます。

真であるため、正しくありません。受信機ではなく、正当な送信者の悪意あるユーザからの情報を受け付けるようにあるため、強力な認証の不足のため、アカウントが偽装させることができます。また、多数のバッファオーバーフローと異なるのIMクライアントで成功している不正な形式のパケット攻撃もあるでしょう。

×：セキュリティポリシーは、IMの使用制限を指定して必要とされています。

彼のプレゼンテーションではIM利用制限を指定するセキュリティポリシーの必要性を含むべきであるので、間違っています。これは、IM関連のセキュリティ侵害から環境を保護するためのいくつかのベストプラクティスの1つにすぎません。その他のベストプラクティスは、IMトラフィックをブロックするファイアウォールを構成するより安全なバージョンにIMソフトウェアをアップグレードし、社内の従業員のみが、組織のネットワーク内で通信するように、企業のIMサーバを実装し、すべてのコンピュータに統合されたウイルス対策/ファイアウォール製品を実装含みます。

〇：SMTPが適切な認証機構を欠いている。

Eメールのなりすましは、SMTPは適切な認証メカニズムを欠いている場合、実行するのは簡単です。攻撃者は、メールサーバのポート25にTelnetコマンドを送信することにより、電子メールの送信者アドレスを偽装することができます。スパマーは自分が特定されないように、電子メールのスプーフィングを使用しています。よって正解は、「SMTPが適切な認証機構を欠いている。」になります。

「そんなことない！他の選択肢の可能性もあるじゃないか！そんなものをたかが一文で推測するなど不可能！」と聞こえてきそうです。この意見には同意します。ただこのような問題であっても推論して解かなければなりません。選択肢を簡単にまとめると、「認証機能がない」、「設定忘れ」、「フィルタリング機能不全」、「ブラックリスト機能不全」になります。こう並べてみると、「認証機能がない」という回答が最も包含的な回答になってることに気付けるかと思います。

そのほかの解法では、認証と認可の違いを理解していることでも導くことができます。”なりすまし”を防ぐ技術は認証です。認証というキーワードを求めている問題文であると気付けると良いですね。

×：管理者が機能していないドメインのインバウンドSMTP接続を防止する設定を忘れている。

なりすましされている場合には、そのメール送信者も偽装されています。ドメインのインバウンドSMTP接続を防止しても、起こりえます。

×：キーワードフィルタリングによって技術的に廃止されている。

なりすましの対策に対して、キーワードフィルタリングはあまり有効ではありません。よって技術的に廃止されていたとしても原因とは考えにくいでしょう。

×：ブラックリスト機能が技術的に信頼できるものではない。

なりすましされている場合には、そのメール送信者も偽装されています。フィルタリング機能が信頼できなかったとしても、起こりえます。

無料のWi-Fi、特に知らない土地でのネットワーク接続は通信傍受などのセキュリティの懸念から避けるべきです。

アプリケーションファイアウォールは、OSIのレイヤー７を対象とします。アプリケーションファイアウォールの主な利点は、特定のアプリケーションとプロトコルを理解できることです。パケットはレイヤー6まで復号されないため、レイヤー７ではパケット全体を見ることができます。他のファイアウォールはパケットのみを検査でき、ペイロードは検査できません。不要なアプリケーションまたはサービスが、許可されたポートでプロトコルを使用してファイアウォールをバイパスしようとしているかどうかを検出したり、プロトコルが悪意のある方法で使用されているかどうかを検出したりできます。

〇：ソケット

UDP（User Datagram Protocol）とTCP（Transmission Control Protocol）は、アプリケーションがネットワークを介してデータを取得するために使用するトランスポートプロトコルです。 どちらも、ポートを使用して上位のOSIレイヤと通信し、同時に発生するさまざまな会話を追跡します。 ポートは、他のコンピュータがどのようにサービスにアクセスするかを識別するために使用されるメカニズムでもあります。 TCPまたはUDPメッセージが形成されるとき、送信元および宛先ポートは、送信元および宛先IPアドレスとともにヘッダ情報内に含まれます。このIPアドレスとポート番号をソケットと言います。IPアドレスはコンピュータへの出入口として機能し、ポートは実際のプロトコルまたはサービスへの出入口として機能します。

×：IPアドレス

IPアドレスがサービスやプロトコルとの通信方法をパケットに伝えていないため、間違っています。 IPアドレスの目的は、ホストまたはネットワークインタフェースの識別とロケーションのアドレッシングです。 ネットワーク内の各ノードには一意のIPアドレスがあります。 この情報は、送信元ポートおよび宛先ポートとともに、ソケットを構成します。 IPアドレスはどこに行くべきかをパケットに伝え、ポートは適切なサービスまたはプロトコルとの通信方法を示します。

×：ポート

ポートはパケットに適切なサービスまたはプロトコルとの通信方法のみを通知するため、正しくありません。 それはどこに行くべきかをパケットに伝えません。 IPアドレスはこの情報を提供します。 ポートは、TCPやUDPなどのIPプロトコルで使用される通信エンドポイントです。 ポートは番号で識別されます。

×：フレーム

フレームは、データリンク層にヘッダとトレーラが与えられた後にデータグラムを参照するために使用される用語であるため、間違っています。

〇：誰でも利用可能なメールリレーサーバーを用意する。

効果的で”ない”ものを選ぶ問題です。オープンなメールリレーサーバーは、スパムに対する有効な対策ではありません。実際、スパム発信者は、攻撃者が自分の身元を隠すことができるため、スパムを配布するためにスパマーをよく使用します。オープンメールリレーサーバは、誰からもインターネット上の誰かからインバウンドSMTP接続を許可するように設定されたSMTPサーバーであり、攻撃者が迷惑メールやポルノを配布するのを防ぐため、多くのリレーが適切に設定されています。よって正解は、「誰でも利用可能なメールリレーサーバーを用意する。」になります。

×：適切に構成されたメールリレーサーバーを構築する。

適切に設定されたメールリレーサーバーはスパムメールも抑制できます。

×：電子メールゲートウェイでのフィルタリングを行う。

ゲートウェイにてスパムメールと思われるメールをフィルタリングすることでスパムメールへの対策になります。

×：クライアントでのフィルタリングを行う。

クライアントつまり、Outlookなどのメーリングアプリケーションにて、スパムメールを仕分けすることはスパムメールへの対策と考えられます。

Sender Policy Framework（SPF）は、電子メールのなりすましを検出してスパムや悪意のある電子メールを防止する電子メール検証システムです。 攻撃者は、通常、電子メールアドレスを偽装して、受信者がメッセージが既知の信頼できる発信元から来たものだと考えさせるようにします。 SPFを使用すると、ネットワーク管理者は、ドメインネームシステム（DNS）にSPFレコードを実装することで、特定のドメインからメールを送信できるホストを指定できます。 電子メールサーバーは、特定のドメインから送信された電子メールが、送信ドメインの管理者によって認可されたIPアドレスから送信されたことを確認するために、DNSサーバーで確認するように構成されています。

間違えた方は落ち込まないでください。問題文に”電子メール”と入っていっているため、これはとても意地悪な問題です。あなたの試験に対する勘所は正しいと思います。

〇：コマンドとデータを送信するには、Telnetを使用する必要があります。

Telnetは、管理者の資格情報を含むすべてのデータを平文で送信するため、リモート管理は許可しないでください。 この種の通信は、SSHのように、より安全なプロトコルを経由する必要があります。

×：少数の管理者がリモート機能を実行できるようにする必要があります。

少数の管理者だけがリモート機能を実行できるはずであるということが真実であるため、間違っています。 これにより、ネットワークにかかるリスクを最小限に抑えることができます。

×：重要なシステムは、リモートではなくローカルで管理することも検討しましょう。

クリティカルなシステムをリモートではなくローカルで管理する必要があることは事実であるため、間違っています。 パブリックネットワークを介して行うよりも、内部のプライベートネットワーク上で管理コマンドを送信する方が安全です。

×：強力な認証が必要です。

どんな管理活動のためにも強力な認証が必要であるということが真実であるため、間違っています。 パスワードなどの強力な認証よりも弱いものは、攻撃者が侵入して管理アクセス権を得るのは簡単です。

キャプティブポータルとは、端末がネットワークに接続した際にユーザー認証や利用者登録、利用者同意などを行うまで外部との通信を制限する仕組みです。

QoS（Quality of Service）は、特定のトラフィックを他のトラフィックよりも優先します。一般的には、VoIP（Voice over IP）といったリアルタイムの通信を必要とするUDPトラフィックに有効です。その他の非リアルタイムトラフィックは優先順位が低くなります。

〇：LAND攻撃

LAND攻撃とは、悪いリクエストをブロックするFirewallを貫通する攻撃です。Fraggle攻撃と似ていますが、送信元を攻撃対象にしたリクエストをファイヤーウォールに送ります。本来は内部を守るべきのファイヤーウォールが攻撃に利用されるため盲点となるわけです。

×：Teardrop

Teardropとは、IPパケットの分割前に戻すときのオフセットを偽造することでシステムを停止させる攻撃です。

×：クリスマスツリー攻撃

クリスマスツリー攻撃とは、パケットにいくつものフラグ（URG、ACK、PSH、RST、SYN、FIN）を立てて送り、応答を観察する攻撃です。

×：CHARGEN攻撃

CHARGEN（ポート19）とは、適当な文字列を返すプロトコルです。

〇：3層アーキテクチャ

3層アーキテクチャとは、クライアントには入力や結果の表示を担当するユーザーインターフェイス（プレゼンテーション層）、サーバーにはデータ処理を担当する機能プロセスロジック（アプリケーション層）、データベースにアクセスするデータストレージ（データ層）があり、3層を明確に区別するものです。ユーザーインターフェイスの役割を担うのは、一般的にはユーザーが対話するフロントエンドWebサーバーです。静的コンテンツとキャッシュされた動的コンテンツの両方を処理できます。 機能プロセスロジックは、要求が再フォーマットされ処理される場所です。 これは、一般的に動的コンテンツ処理および生成レベルアプリケーションサーバです。データストレージは、機密データが保持される場所です。 これは、バックエンドデータベースであり、データと、データへのアクセスを管理し、提供するために使用されるデータベース管理システムソフトウェアの両方を保持します。

おそらくあなたは3層アーキテクチャという言葉を知らないでしょう。このように試験の途中で知らない単語に出会ってしまうかもしれません。このときあなたがすることは、完璧な正解を選ぶことではなく数回に一度なら正解しそうな回答を探すことです。アーキテクチャは、システム構成を指します。そのため、システム構成を示していない用語を排除することで正解に近づくことができます。例えば、「スクリーンサブネット」は”サブネット”という言葉が入っています。ここで、ネットワークの区分を設けるためのサブネットを指していると予想できれば、少なくとも「スクリーンサブネット」は正解になりにくそうです。同じ理由で「パブリックおよびプライベートDNSゾーン」もドメインネームサーバーの話であり、アーキテクチャの話からは遠そうです。最後にあなたは「2層アーキテクチャ」と「3層アーキテクチャ」で迷うところまでは正解に近づくことができます。

×：2段モデル

2階層、すなわちクライアント/サーバは、サーバがそれらのサービスを要求する1つまたは複数のクライアントにサービスを提供するアーキテクチャを記述しているため、誤りです。

×：スクリーンサブネット

スクリーンサブネットアーキテクチャとは、1つのファイアウォールが1つのサーバ（基本的には1層アーキテクチャ）を保護するためのものであるためのものです。外部の公開側のファイアウォールは、インターネットのように信頼できないネットワークからの要求を監視します。 唯一のファイアウォールである1つの層が侵害された場合、攻撃者はサーバー上に存在する機密データに比較的容易にアクセスできます。

×：パブリックおよびプライベートDNSゾーン

DNSサーバーをパブリックサーバーとプライベートサーバーに分離すると保護が提供されますが、これは実際のアーキテクチャではありません。

〇：VLAN

仮想LAN（VLAN）をシステムの標準的な物理的な場所にもかかわらず、リソース要件、セキュリティ、またはビジネスニーズに基づいて、コンピュータの論理的な分離とグループ化を可能にします。同じVLANネットワーク上に設定された同じ部署内のコンピュータは、すべてのユーザーが同じブロードキャストメッセージを受信することができ、物理的な場所に関係なく、同じ種類のリソースにアクセスできるようにします。

×：オープン・ネットワーク・アーキテクチャ  

オープンなネットワークアーキテクチャは、ネットワークを構成することができる技術を記述しているので間違っています。OSIモデルは、オープン・ネットワーク・アーキテクチャ内で動作する製品を開発するためのフレームワークを提供します。

×：イントラネット

イントラネットは、内部ネットワークにおいてインターネットとWebベースの技術を使用したいときに会社が使用するプライベートネットワークであるため、正しくありません。

×：VAN  

付加価値通信網（VAN）は、サービスビューローによって開発され、維持された電子データ交換（EDI）インフラストラクチャであるため、正しくありません。

回線交換は、ネットワークを介した専用通信チャネルです。この回路は全帯域幅を保証します。回路は、ノードがケーブルで物理的に接続されているかのように機能します。

HTTPS（Hypertext Transfer Protocol Secure）は、暗号化通信であるSSL/TLSによってセキュリティを高めたHTTPです。一般的なWebアプリケーションで利用されます。HTTPSを利用することで、通信経路での情報の盗聴や改ざんのリスクを防止できます。

ウェルノウンポート（well-known port）とは、定番なサービスのために予約されている0番から1023番のポート番号です。ポート番号の組み分けは３つあります。ウェルノウンポート番号 (0–1023)とは、IANAで正式に登録されているポート番号です。登録済みポート番号 (1024–49151) とは、IANAで正式に登録されているポート番号です。動的・プライベート ポート番号 (49152–65535) とは、IANAで正式に登録されていないポート番号です。

OSIモデルのデータリンクレイヤーまたはレイヤー2では、ヘッダーとトレーラーをパケットに追加して、適切な回線伝送のためにローカルエリアネットワークまたはワイドエリアネットワークテクノロジーにおけるバイナリー形式のパケットを準備します。 レイヤ2は、2つの機能的なサブレイヤに分割されています。 上位サブレイヤは論理リンク制御（LLC）であり、IEEE 802.2仕様で定義されている。 これは、データリンク層の上にあるネットワーク層と通信します。 LLCの下には、MAC（Media Access Control）サブレイヤがあり、物理レイヤのプロトコル要件を持つインターフェイスを指定します。

オニオンルーティングとは、ルータを経由する度に暗号化を施すため、何重にも暗号化が施されるという特徴がある。しかし、ルータの最終地点ではすべての暗号化が復号され、平文となるため最終地点ルータでのセキュリティ機能はありません。