復習問題 2026-09-25

b（異なるサブネットなので、デフォルトゲートウェイへ送る）

昨日の第1問は「このアドレスはどの箱か」でした。今日はその箱を2つ並べて比べる形です。使う手順は昨日とまったく同じで、出した答えをどう使うかだけが違います。

まず幅を出します。255.255.255.192 は /26、第4オクテットの区切り幅は 256 − 192 ＝ 64 です。区切り線は 0・64・128・192 に入ります。

• 0 〜 63
• 64 〜 127
• 128 〜 191 ← A（130）はここ
• 192 〜 255 ← B（200）はここ

130 と 200 は別の箱です。アドレスが数字として近くても、区切り線（192）をまたいでいるので別ネットワーク扱いになります。「192.168.1.〜 が揃っているから同じネットワーク」と考えると引っかかる、そこを狙った出題です。

ここからが 8/25 に「曖昧なまま」と残っていたゲートウェイの話につながります。ホストは送信前に必ず、宛先が自分と同じサブネットかを自分のマスクで計算して判定します。判定結果で動作が2つに分かれます。

今回は後者なので b です。このとき宛先IPアドレスは B のままで、宛先MACアドレスだけがゲートウェイのものになります。IPは最終目的地、MACは次の一歩、という役割分担がここに出ています。

a は同一サブネットだった場合の動作、c は同じサブネットなのにゲートウェイを通す点が誤りで、無駄な経路を作っているだけです。d は「別サブネット＝通信不能」としていますが、それを中継するためにルータとデフォルトゲートウェイがあります。別サブネットは通信できないのではなく、誰かに中継してもらうだけです。

b（受信ポート以外の全ポートへ転送する）

昨日の第2問で「レイヤ2スイッチは MAC アドレスを見て転送する」と並べました。今日はその一段中身に入り、見た結果が分からなかったときどうするかです。この動作をフラッディングといいます。

スイッチは最初、どのポートの先にどの機器がいるかを一切知りません。フレームを受け取るたびに「送信元MACアドレス」と「受信したポート番号」の組をテーブルに書き込んで、少しずつ覚えていきます。これが学習です。覚えるのは送信元で、宛先ではありません。

その上で転送の判断は宛先MACアドレスで行い、2通りに分かれます。

• テーブルにある → その1ポートだけへ転送する（他のポートには流れない）
• テーブルにない → 受信ポート以外の全ポートへ流す（フラッディング）

フラッディングされたフレームに相手が応答すれば、その応答の送信元MACアドレスから相手の居場所を学習できます。以後その宛先はフラッディングせずに済みます。つまり「分からないうちは全員に聞き、返事が来たら覚える」という素朴な仕組みです。

ここがリピータ・ハブとの違いです。ハブは常に全ポートへ流します。スイッチは最初だけ全ポートへ流し、学習後は必要な1ポートだけに絞ります。「スイッチにすると無駄な通信が減る」と言われる理由がこれです。

a は破棄してしまうと通信が始まりません。c のルーティングテーブルは第3層（ルータ）の話で、層が1つ上です。d の「MACアドレスをIPアドレスに変換」という処理は存在しません。IPアドレスからMACアドレスを調べる ARP と向きが逆で、選択肢としてよく置かれる作り話です。

b（応答に署名を付けて正当性と非改ざんを検証する）

昨日の第3問（DNS キャッシュポイズニング）の解説の最後に出した対策そのものです。攻撃を覚えた翌日に対策を確認する、という並びにしました。午後 問1 は必須問題なので、この「攻撃と対策を対にして持つ」形が一番効きます。

キャッシュポイズニングが成立するのは、DNS の応答が本物かどうかを確かめる手段がないからです。先に届いた応答を信じてキャッシュに入れてしまうので、攻撃者が偽の応答を先回りさせれば通ってしまいます。DNSSEC はここに署名を足し、「この応答はそのドメインの正当な管理者が出したもので、途中で書き換えられていない」ことを検証可能にします。

注意したいのは、DNSSEC が守るのは正当性と完全性であって、秘密ではないことです。署名は付きますが、やり取りの中身は暗号化されません。ここを入れ替えたのが a で、通信内容を隠す話は DNS over HTTPS（DoH）や DNS over TLS（DoT）の役割です。DNSSEC＝署名、DoH/DoT＝暗号化と役割で分けて覚えてください。

c は DoS 対策の説明で、DNSSEC とは別の話です。むしろ DNSSEC は応答データが大きくなるため、DNS を踏み台にした増幅型の攻撃では悪用され得る側面すらあります。

d は SPF の説明です。DNS のレコードを使う点が共通なので紛らわしいのですが、守る対象がメールの送信元であり、名前解決そのものではありません。DNS を使う仕組みは SPF・DKIM・DMARC・DNSSEC と複数あるので、何を守るのかで引き出しを分けておくと選択肢で迷いません。

b（客観的に裏づけられるものでなければならない）

昨日の独立性の続きです。昨日は「誰が監査するか」、今日は「何をもって判断するか」で、どちらもその結論を外から検証できるかという一本の考え方から出ています。午後 問11 はこの考え方を言葉にできるかで点が決まります。

監査の結論は、監査人の印象ではなく証拠に基づいて出します。そのため監査証拠には、客観的であること（誰が見ても同じ事実と確認できる）と、結論を支えるのに十分な量と質があることが求められます。設定画面のスクリーンショット、アクセスログ、承認印のある申請書、監査人自身が立ち会って確かめた操作の結果などが典型です。

a は「口頭の説明だけで十分」としている点が誤りです。ヒアリングは監査手続として正当ですが、聞いた内容は裏づけを取って初めて証拠になります。「運用しています」という説明に対し、実際の記録を見て確かめるところまでが一組です。監査手続には、質問のほかに閲覧・視察・実査・突合・再実施などがあり、複数を組み合わせて証拠の確かさを上げます。

c は逆です。監査調書は、どの手続でどの証拠を得てどう判断したかの記録で、報告書の結論を後から裏づける唯一の材料です。一定期間保存し、必要なら結論の妥当性を再確認できるようにしておきます。ここも「検証できる状態を残す」という点で、監査証跡の考え方と同じです。

d も逆です。システム監査は予備調査 → 本調査 → 評価・結論 → 報告・フォローアップの順に進みます。予備調査で対象の全体像をつかみ、リスクの高いところに重点を置いて監査手続を立案するのが本来の流れです。本調査は、立案した手続を実施して証拠を集める場です。

ここ数日で「独立性」「監査証跡」「職務分掌」「最小権限」「監査証拠」「監査調書」が揃いました。問11 はこの語を答案にそのまま書ける状態が目標で、もう十分に足ります。