Instiq
第6章 · ネットワーク·v1.0.0·更新 2026/8/7·読了目安 約16分

変更要約: 初版

6.1ネットワーク方式とTCP/IP

この節の要点

OSI参照モデルの7層とTCP/IP4階層モデルの対応関係、IPアドレス・サブネットマスク・CIDRを使ったサブネット分割、静的ルーティングと動的ルーティング（RIP・OSPF・BGP）、TCPの3ウェイハンドシェイクとUDPの違い、そしてポート番号の役割を、セグメント分割のセキュリティ設計判断とあわせて学びます。

情報処理安全確保支援士（登録セキスペ）にとって、ネットワークの仕組みは単なる暗記対象ではなく、「このセグメント分割・アドレス設計は攻撃面をどれだけ小さくできているか」を判断する土台です。同じ社内ネットワークでも、フラットな1つのセグメントに全端末を収容するか、部門・重要度ごとにサブネットを切ってACL/ファイアウォールで通信を制御するかで、侵害が発生したときの被害範囲（ラテラルムーブメントの余地）が大きく変わります。この節ではOSI/TCP-IPの基礎からルーティング、TCP/UDPまでを、設計者・セキュリティ担当としての判断を軸に学びます。

6.1.1OSI参照モデルとTCP/IP4階層モデル

  • OSI参照モデル＝通信機能を7層（物理・データリンク・ネットワーク・トランスポート・セッション・プレゼンテーション・アプリケーション）に分割した参照モデル。層ごとに役割を分離することで、機器・プロトコルの相互接続性と障害切り分けが容易になる。
  • TCP/IP4階層モデル＝実務で広く使われる簡略モデルで、OSIのセッション・プレゼンテーション・アプリケーション層をアプリケーション層に統合し、物理・データリンク層をネットワークインタフェース層にまとめる。OSIのトランスポート層＝TCP/IPのトランスポート層、OSIのネットワーク層＝TCP/IPのインターネット層に対応する。
  • 層構造を理解する実務的な価値は攻撃・対策をどの層で捉えるかにある。例えばファイアウォールのパケットフィルタリングはネットワーク/トランスポート層、WAFはアプリケーション層、というように対策の効果範囲は層で決まる。

6.1.2IPアドレスとサブネット分割

  • サブネットマスク＝IPアドレスのネットワーク部とホスト部の境界を示すビット列。CIDR表記（例 /24）はネットワーク部のビット数を示し、/24 なら残り8ビットがホスト部＝最大256アドレス（うちネットワークアドレスとブロードキャストアドレスを除く254台が割当可能）。
  • サブネット分割＝1つのネットワークをホスト部のビットをさらに分割して複数の小さなネットワーク（サブネット）に分ける手法。VLSM（可変長サブネットマスク）を使えば、部門ごとに必要な台数に応じて異なるサイズのサブネットを割り当て、IPアドレス空間を無駄にしない設計ができる。
  • セキュリティ設計の観点では、サブネット分割は認証VLANやDMZと組み合わせて攻撃を受けたセグメントの被害を他セグメントに波及させない境界を作る手段になる。重要度の異なる資産（一般利用者端末・サーバ・管理端末）を同一セグメントに混在させると、1台の侵害が他資産への横展開の起点になりやすい。
試験ポイント

サブネット計算は必ず手で検算すること。/26 なら残り6ビット＝2^6=64アドレス（うち62台割当可能）、/28 なら残り4ビット＝2^4=16アドレス（うち14台割当可能）。ネットワークアドレス（ホスト部全0）とブロードキャストアドレス（ホスト部全1）は割当不可であることを毎回引き算すること。

6.1.3ルーティング（静的/動的）

  • 静的ルーティング＝管理者が経路情報を手動設定する方式。経路が単純・小規模なネットワークでは管理が容易で、かつ動的なプロトコルによる経路広告の乗っ取り（ルーティングハイジャック）のリスクがないという利点がある。一方で構成変更のたびに手動修正が必要でスケールしない。
  • 動的ルーティング＝ルータ同士がプロトコルで経路情報を自動交換する方式。RIP（距離ベクトル型・ホップ数で経路選択・小規模向け）、OSPF（リンクステート型・コスト値で最短経路計算・大規模な社内網向け）、BGP（経路ベクトル型・ISP間などの自律システム(AS)間の経路交換に使う・インターネットの基幹）という特性の違いがある。
  • セキュリティ上の判断では、BGPは経路乗っ取り（BGPハイジャック）、OSPF/RIPは偽の経路広告によるトラフィック誘導のリスクがあるため、経路認証やフィルタリングで信頼できる隣接ルータのみ経路交換を許可する設計が重要になる。認証方式は試験で問われる MD5 認証のほか、現行では HMAC-SHA（OSPFv2/BGP）や IPsec（OSPFv3）が使われ、BGP の経路そのものの正当性は RPKI による Origin Validation（さらに BGPsec）で検証する。

あるセキュリティ担当者が、従業員300名の本社ネットワークを再設計する場面を想定します。現状は全端末（一般業務端末・経理部門端末・サーバ・ネットワーク管理端末）が単一の 192.168.1.0/24 セグメントに混在しており、標的型攻撃で一般業務端末が1台侵害された場合、同一セグメント内のサーバや管理端末へ横展開されるリスクが高いという課題があります。まずアドレス設計として、192.168.1.0/24 を部門・重要度ごとにVLSMでサブネット分割します。一般業務（250台程度）には 192.168.1.0/24（254台割当可）をそのまま残さず、認証VLANで 192.168.10.0/25（126台割当可・8-1=7ビット、2^7-2=126）、経理部門（20台）には 192.168.10.128/27（2^5-2=30台割当可）、サーバセグメントには 192.168.20.0/28（2^4-2=14台割当可）、管理端末セグメントには 192.168.20.16/28 というように重要度が異なる資産を物理的に別セグメントへ隔離し、セグメント間はファイアウォールで必要な通信のみを許可するルール（最小権限の原則）を適用します。次にルーティングでは、社内は規模とセグメント数からOSPF（リンクステート型でコスト最適経路・変更への追従が速い）を採用し、ルータ間の経路交換には認証を有効化して偽の経路広告によるトラフィック誘導を防ぎます。この結果、一般業務端末が1台侵害されても、攻撃者はファイアウォールのACLを突破しない限りサーバセグメントや管理端末セグメントへ到達できず、被害範囲（ラテラルムーブメントの余地）を大幅に縮小できます。

CIDRホスト部ビット数総アドレス数割当可能台数
/248256254
/257128126
/2753230
/2841614

6.1.4TCP・UDPとポート番号

  • TCP＝コネクション型の信頼性あるトランスポート層プロトコル。通信開始時に3ウェイハンドシェイク（SYN→SYN/ACK→ACK）でコネクションを確立し、順序保証・再送制御を行う。この確立プロセスを悪用する攻撃がSYNフラッド攻撃（SYNだけ大量送信しリソースを枯渇させるDoS手法）。
  • UDP＝コネクションレスで信頼性を保証しない代わりに低遅延なトランスポート層プロトコル。DNS問い合わせや動画配信・VoIPなど多少のパケットロスより速度を優先する用途に向く。UDPは送信元IPを容易に詐称でき、DNSリフレクション/アンプ攻撃などの踏み台にされやすい点がセキュリティ上の留意点。
  • ポート番号＝同一ホスト上で動作する複数のアプリケーション（プロセス）を識別する16ビットの番号。0-1023はウェルノウンポート（HTTP=80、HTTPS=443、SSH=22等）。ファイアウォール設計では不要なポートを閉じる（最小権限）ことが多層防御の基本。
注意

ひっかけ： 「サブネット分割はネットワーク性能の向上だけが目的である」は誤りです——ブロードキャストドメインの縮小によるセキュリティ境界の形成（侵害の水平展開の抑制）も重要な目的です。また「UDPはコネクションレスだから常にTCPより安全である」も誤り＝UDPは送信元IP詐称が容易でDDoSの踏み台にされやすく、暗号化を別途講じないと平文のままになる点でむしろ注意が必要です（TLS は信頼性のあるストリームを前提とするため TCP 上で動く。UDP では DTLS、QUIC は TLS 1.3 を内蔵する）。「BGPは社内ネットワークの経路制御に最も適したプロトコルである」も誤り＝BGPは自律システム間（ISP間等）の経路制御が主用途で、社内ならOSPFやRIPが適する。

OSI/TCP-IP階層・IPアドレス/サブネット・TCPの図。
通信の階層とアドレス

6.1.5この節のまとめ

  • サブネット分割は性能面だけでなく、重要度が異なる資産の隔離＝侵害の被害範囲を縮小するセキュリティ境界として設計する
  • 動的ルーティング（RIP/OSPF/BGP）は経路広告のなりすまし・改ざんリスクがあるため、経路認証・フィルタリングを併用する
  • TCPの3ウェイハンドシェイクはSYNフラッドの起点になり、UDPは送信元詐称でDDoSの踏み台になりやすい——プロトコル選定はこのリスクも踏まえる

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. セキュリティ担当者が、重要度の異なる資産（一般業務端末・サーバ・管理端末）が単一のフラットなセグメントに混在する現行ネットワークの再設計を検討している。標的型攻撃で一般業務端末1台が侵害された場合の被害範囲を抑える設計判断として最も適切なものはどれか。

Q2. ネットワーク管理者が社内ルータ間の動的ルーティングにOSPFを導入するにあたり、偽の経路広告によるトラフィック誘導（ルーティングハイジャックの一種）を防ぐための対策として最も適切なものはどれか。

Q3. システム設計者が、社内向けの信頼性が必要な業務データ転送と、遅延に敏感な社内向け音声通話(VoIP)のそれぞれにトランスポート層プロトコルを選定している。判断として最も適切なものはどれか。

理解度を確認第6章「ネットワーク」の問題を解く

学習の記録を残しませんか

参考書はすべて無料で読めます。無料登録すると、問題集での演習・既読と進捗の記録・間違えた問題の復習・ハイライトが使えます。

無料で始めるログイン