ファイアウォール（ステートフルインスペクション）とは？
ファイアウォール（ステートフルインスペクション）とは、ネットワークの境界で通信を選別する仕組み。コネクションの確立状況を保持し、内側から始まった通信の戻りだけを通す方式が現在は主流になっている。どこに境界を置き、どの区画から何を許可するかという区画設計と、ルールの維持体制が問われる。
応用情報技術者試験の過去問では8回出題されています（2017年度〜2019年度）。
ふぁいあうぉーる
ファイアウォール（ステートフルインスペクション）の意味
ネットワークの境界で通信を選別する仕組み。コネクションの確立状況を保持し、内側から始まった通信の戻りだけを通す方式が現在は主流になっている。どこに境界を置き、どの区画から何を許可するかという区画設計と、ルールの維持体制が問われる。
ファイアウォール（ステートフルインスペクション）の具体例
DMZに公開Webサーバを置き、内部DBへは特定ポートのみを許可する。管理用の通信は踏み台サーバ経由に限定し、ルールは「原則拒否・必要なものだけ許可」で組む。四半期ごとに使われていないルールを棚卸しし、証跡を残して削除する。
ファイアウォール（ステートフルインスペクション）は試験でどう引っ掛けられる？
パケットフィルタ型は個々のパケットしか見ないため、戻り通信を通すために広い範囲の許可が必要になる。境界の防御だけでは侵入後の内部での横移動を防げず、区画分割や端末側の対策との併用が前提になる点も押さえる。
ファイアウォール（ステートフルインスペクション）と関連する用語
ファイアウォール（ステートフルインスペクション）が出た過去問
WAFの説明はどれか。
正解：Webアプリケーションへの攻撃を監視し阻止する。
要点：WAFはWebアプリ層への攻撃を検知し遮断する
WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。
出典：平成29年度 秋期 応用情報技術者試験 午前 問45（IPA）インターネットへの接続において，ファイアウォールでNAPT機能を利用することによるセキュリティ上の効果はどれか。
正解：インターネットにアクセスする組織内の利用者PCについて，外部からの不正アクセスを困難にすることができる。
要点：NAPTは外部から内部端末を名指しした通信を成立させにくくする
NAPTは内部の複数端末のプライベートIPアドレスとポート番号を、1つのグローバルIPアドレスの異なるポートに対応づける。この対応表は内部から外部への通信をきっかけに作られるため、外部から内部の端末を名指しして通信を始めることができず、不正アクセスが困難になる。
出典：平成29年度 春期 応用情報技術者試験 午前 問36（IPA）攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。
正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。
要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする
通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。
出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）ETSI（欧州電気通信標準化機構）によって提案されたNFV（Network Functions Virtualisation）に関する記述として、適切なものはど…
正解：仮想化技術を利用し、ネットワーク機能を汎用サーバ上にソフトウェアとして実現したコンポーネントを用いることによって、柔軟なネットワーク基盤を構築する。
要点：NFVはネットワーク機能を汎用サーバ上のソフトで実現する
NFV（ネットワーク機能仮想化）は、ルータやファイアウォールなど従来は専用機器で実現していたネットワーク機能を、仮想化技術によって汎用サーバ上のソフトウェアとして動かす考え方である。機器調達を待たずに機能の追加・変更・増減ができ、柔軟で経済的なネットワーク基盤を構築できる。
出典：平成30年度 春期 応用情報技術者試験 午前 問32（IPA）パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて、本来必要なサービスに影響を及ぼすことなく防げるものはどれか。
正解：外部に公開しないサーバへのアクセス
要点：パケットフィルタはヘッダで判断、中身の攻撃は防げない
パケットフィルタリングはIPアドレスやポート番号などヘッダ情報で通過可否を決める仕組みである。外部に公開しないサーバ宛ての通信は、宛先アドレスやポートで機械的に遮断でき、必要なサービスに影響を与えずに防げる。一方、許可した通信の中身に潜む攻撃は、ヘッダだけでは判別できない。
出典：平成30年度 春期 応用情報技術者試験 午前 問44（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。