支援士 科目B（午後）のネットワーク・リモートワーク問題の解き方｜VPN・DDoS・無線LANは「送信元」と「構成図」で解く【過去問3問で解説】

情報処理安全確保支援士（SC、登録セキスペ）の科目B（旧・午後問題）で、毎回のように出ているのがネットワーク・リモートワークの問題です。VPN、DDoS、無線LAN、DNS、ファイアウォール（FW）と題材は変わりますが、問われ方にははっきりした共通点があります。

この記事では、この分野の過去問3問を使って、「なぜその答えになるのか」「問題文のどの文に着目すれば答えが出るのか」を解説します。答えはIPAの解答例、つまずきやすい設問はIPAの採点講評で確認しています。分析にはAI（Claude）も使っています。

科目B全体の出題傾向は、科目Bの出題傾向を10回分分析した記事にまとめています。この記事は、その分野別シリーズの3本目です。1本目はWeb問題（XSS・CSP・CSRF）、2本目は認証・API・スマホアプリ問題です。

結論：ネットワーク問題は「3つの着眼点」で解ける

3問を並べてみると、答えの根拠になる文の場所はほぼ決まっていました。

1. 通信の「送信元」を、構成図とIPアドレスの表から確定する。接続元IPアドレスの制限、FWのルール、NATの変換後アドレス。「どこから出た通信に見えるか」が分かれば、許可すべき宛先も、すり抜けられる理由も答えになる
2. 新しい仕組みを入れたら、「それより前に必要な通信」と「対象外の人」を洗い出す。VPNを入れる前のソフトのダウンロード、認証、OSの更新。正答率が低かった設問は、ほぼこの見落としでした
3. 認証の「弱い経路」を探す。正規の画面以外に入力させるフィッシング、スマホが壊れたときの代替手段、偽装できるMACアドレス。対策は「強度を落とさずに経路をふさぐ」方向で答える

ルーティングやプロトコルの細かい知識より、構成図と表に書かれた「送信元」と「手順の順番」を拾えるかが点数を分けています。

この記事で使う過去問3問

令和7年秋期 問3（問題PDF）：VPNサービスを入れたら、どこへの通信が要るか

オンプレミスのシステムを持たず、SaaSだけを使っている会社が、HTTPSを使ったVPNサービス（Kサービス）でリモートワークを始める問題です。途中に、インターネットバンキングの振込先を改ざんされるリスクの比較が挟まっています。

設問1：DNSの拡張は「DNSSEC・DoH・DoT」

着目する文： 表2の「応答にデジタル署名を付与する」「HTTPSを用いてDNS通信する」「DoT：［c］を用いてDNS通信を暗号化する」。

解答例は、aがDNSSEC、bがDoH、cがTLSです。ここは知識問題で、DNSSECは応答の改ざん検知（署名）、DoH・DoTは通信の暗号化、と役割を分けて覚えておけば取れます。

設問2：トークンに入力させるのは「書き換える前の口座番号」

着目する文： 図3の「数字入力トークンに振込先の口座番号を入力する」「数字入力トークンは、口座番号と時刻情報を基に認証番号を生成し」と、図5のポップアップ画面「本人確認のため、次の数字を数字入力トークンに入力してください」。

偽のサーバが、操作担当者とY銀行の正規サイトの間に入る想定です。偽のサーバは、操作担当者が入力した振込先を攻撃者口座に書き換えて正規サイトへ送ります。正規サイトは「攻撃者口座の番号」で作った認証番号を求めてくるので、攻撃者はこれを操作担当者に作らせる必要があります。

• 図4の(13)：操作担当者は、いつもどおり自分が入力した（書き換える前の）口座番号をトークンに入力する。これがd（解答例はイ）
• 図4の(16)〜(17)：「高額の振込みのため本人確認が必要」という偽のポップアップで、攻撃者口座の口座番号をトークンに入力させる。これがe（解答例はア）

解答例は、dがイ（攻撃者による書換え前の口座番号）、eがア（攻撃者口座の口座番号）です。採点講評では正答率はやや高く、振込みの流れとトークンの特徴を理解できていたとされています。

表5の(8)には「(7)の各文字を空白に置き換えた文字列」とあります。攻撃者口座の名義人を空白にして見せないための細工です。図3の「口座名義人が表示されないことがある」という一文が、この細工の伏線になっています。カメラ付きトークンなら取引内容そのものがトークンの画面に出るので、書き換えに気付きやすい、というのが本文の結論です。

設問3：設定サイトへの接続元は「社内のFWのアドレス」

着目する文： 図8の「Kサービス設定サイトへのアクセスはP社内だけからできるよう制限する」と、表3の「M-FWのインターネット側インタフェース a1.b1.c1.d1」。

P社内からインターネットに出る通信は、すべてM-FWのグローバルIPアドレスから出ていきます。解答例は「Kサービス設定サイトへのアクセスが許可される接続元IPアドレスをa1.b1.c1.d1に制限する」です。

ここで「Kサービス用の固定グローバルIPアドレス」と答えたくなりますが、図7の項番4を見ると、KソフトはまだKサービスにつながっていない状態で、社内からダウンロードします。そのときの送信元はM-FWです。手順の順番から送信元を決める、というのがこの問題全体のテーマになっています。

設問4(1)：取引先に頼むのは「固定IPアドレスの登録」

着目する文： 「各取引先サービスで接続元IPアドレス制限を行っている。各取引先サービスでは、M-FWのグローバルIPアドレスからの接続は許可されている」と、図6の項番4「契約者専用のKサービス用固定グローバルIPアドレスを指定することができる」。

Kサービスを経由すると、送信元はM-FWではなくKサービスの固定IPアドレスに変わります。そのままでは取引先サービスに弾かれるので、解答例は「各取引先サービスへの接続を許可するIPアドレスとして、P社専用のKサービス用固定グローバルIPアドレスを登録してもらう」です。

本文の(1)「W社に設定変更を依頼する」も同じ理屈です。P社専用Wサービスも、M-FWのアドレスだけに接続を制限しているからです。リモートワーク用のモバイルルータ（Rサービス）は固定IPアドレスを割り当てられない、という一文も、「だからKサービスの固定IPを使う」という流れの伏線になっています。

設問4(2)：VPNの前に要る通信を全部挙げる（正答率が低い）

着目する文： 「経理係のIBの利用及び情報システム係の情報システムの管理を除き、社有PCでのKサービスの利用を必須にする」、図7の手順、図6の項番2・3・9。

FWで「HTTPSの宛先はKサービスだけ」にすると、Kサービスを通らない通信が全部止まります。解答例で追加する宛先は次の4つです。

採点講評では正答率が低く、「社内からVPNサービスを利用する場合に、初期設定時及びVPN接続前に必要な通信も踏まえて解答してほしい」とあります。VPNの問題では、「VPNがつながる前」と「VPNの対象外の人」を必ず洗い出す、と覚えておくと取りこぼしが減ります。

設問5(1)：スマホ故障時の代替は「強度を落とさない」

着目する文： 表2の認証方式1〜3、表1の「社有スマホの故障、災害発生などの緊急時については、個人所有のスマホの利用を許可している」。

認証方式3にすると、利用者は毎回SMS（認証方式1）か認証アプリ（認証方式2）を選べます。社有スマホが壊れてもSMSで認証できるように、解答例は「認証方式1の電話番号として、個人所有スマホの電話番号を登録する」です。

採点講評では、正答率は平均的で、「スマートフォン故障時にもセキュリティ強度を落とすことのない代替策を解答してほしい」とあります。「MFAをやめる」「パスワードだけで入れるようにする」は不正解の典型です。表1で個人所有スマホの緊急時利用を許していることが、そのまま根拠になっています。

設問5(2)：VPNのログでOSの移行を促す

着目する文： 図6の項番3「アカウント名、PCのシリアル番号、PC情報及び接続可否はログに記録される」と、「移行は、各部の情報セキュリティ推進者の管理の下」。

解答例は「Kサービス接続時のログからOSがバージョンXの社有PCを抽出し、アカウント名から利用者を特定後、利用者の所属する部の情報セキュリティ推進者に報告し、バージョンYへの移行を促してもらう」です。ログに何が記録されるかの一文と、移行を管理するのは誰かの一文を組み合わせると、そのまま答えになります。

令和6年春期 問2（問題PDF）：VPN装置への攻撃とDDoS攻撃

同業他社で「VPN装置への攻撃による情報漏えい」と「DDoS攻撃」が続いたという報道を受けて、自社の対策を見直す問題です。

設問1(1)：HTTP GET Flood攻撃の例

着目する文： 表4の項番1「公開Webサーバ、DNSサーバを攻撃対象に、偽の送信元IPアドレスと…UDPデータグラムを大量に送り付ける」と、冒頭の「いずれのWebサーバが停止しても、業務に支障が出る」。

項番1の書き方をまねて、攻撃対象を具体的に書きます。解答例は「公開Webサーバ、取引先向けWebサーバを攻撃対象に、HTTP GETリクエストを繰返し送る」です。設問で「H社での攻撃対象を示して」と指定されているので、Webサーバが2つあることを拾えるかがポイントです。

設問1(2)：しきい値が低すぎると「正常な通信を止める」

着目する文： 表1の「アノマリ型：あらかじめ登録したしきい値を超えた通信を異常として検知する」。

しきい値が高すぎると攻撃を見逃し、低すぎると普通のアクセスまで攻撃と判定されます。解答例は「正常な通信を異常として検知してしまう」です。採点講評では正答率は高かった一方、「IPS機能の仕様を反対に理解していると思われる解答が散見された」とあります。

設問1(3)：DNSサーバを「権威」と「リゾルバ」に分ける

着目する文： 図1の注「H社ドメインの権威DNSサーバと再帰的な名前解決を行うフルサービスリゾルバを兼ねる」と、表4の項番3「DNSリフレクション攻撃の踏み台にされる」。

インターネットから名前解決を頼めるフルサービスリゾルバは、送信元を偽った問合せでDDoSの踏み台にされます。そこでサーバを分け、インターネットから社内へのDNS通信はDNS-K（権威DNSサーバ）宛てだけ、社内からインターネットへのDNS通信はDNS-F（フルサービスリゾルバ）からだけを許可します。解答例はbがDNS-K、cがDNS-Fです。

設問2(1)：SMSの多要素認証を突破するフィッシング

着目する文： 表2の注「VPNダイアログに利用者IDとパスワードを入力し、その認証が完了すると、…SMSでセキュリティコードがスマートフォンに送信される」と、表5の攻撃例1の(1)。

罠のサイトで盗んだIDとパスワードを、攻撃者がその場で正規のVPNダイアログに入力します。正規の利用者のスマホにコードが届き、利用者がそれを罠のサイトに入力すると、攻撃者がそれを正規の画面に入力して認証が通ります。解答例も、dが「攻撃者が、正規のVPNダイアログに利用者IDとパスワードを入力すると、正規利用者のスマートフォンにセキュリティコードが送信される」、eが「正規利用者が受信したセキュリティコードを、罠のWebサイトに入力すると、攻撃者がそれを読み取り、正規のセキュリティコード入力画面に入力することで認証される」です。

採点講評では正答率は平均的で、「手順が不足している解答や、設問とは異なる攻撃についての解答が散見された」とあります。誰が・どの画面に・何を入力するかを、一つずつ書きます。

設問2(2)：注意喚起は「VPNダイアログにだけ入力する」

着目する文： 「業務の手続の督促などで従業員にURLリンクが含まれるメールを送っているので、URLリンクのクリックを禁止することはできません」と、表2の「VPNクライアントソフトウェア起動時に表示されるダイアログボックス」。

「リンクを踏まない」は封じられています。解答例は「認証情報の入力は、受信したメール内のURLリンクをクリックして起動した画面には行わず、VPNダイアログにだけ行う」です。正規の入力場所はVPNクライアントのダイアログだけ、という本文の仕様が根拠です。

設問3：ポートノッキングは盗聴で破られ、SPAは破られない

着目する文： 設定Pの説明「あらかじめ設定されている順番にポートに通信要求した場合だけ所定のポートへの接続を許可する」と、表6の項番2「以前受信したものと同じランダムデータをもつSPAパケットを受信した場合は、破棄される」。

設定P（いわゆるポートノッキング）は、順番さえ分かれば誰でも通れます。設問3(1)の解答例は「盗聴したパケットと同じ順番に通信要求を送信する」です。

SPAは、パケットにワンタイムパスワードとランダムデータが入っていて、同じパケットの再送（リプレイ）は捨てられます。設問3(2)の解答例は「SPAパケットはユニークであり、同じパケットを再利用すると破棄されるから」です。採点講評では正答率は平均的で、本文の仕様を理解して答えてほしいとあります。表6の各項番が「何を防ぐための仕様か」を考えると、答えの文が見つかります。

設問4：DDoS対策は「外のサービス」と「届かなくする」

着目する文： 「通信回線の帯域を大きくするという方法のほか、⑤外部のサービスを利用するという方法がある」と、取引先向けWebサーバについての4つの対応（取引専用PC、S-APPL、FWでインターネットからの通信を拒否）。

回線そのものが埋まる攻撃は、社内の機器では防げません。設問4(1)の解答例は「DDoS対策機能を有するCDNサービス」「クラウド型ファイアウォールサービス」「ISPが提供するDDoS防御サービス」です。

設問4(2)の解答例は「取引専用PC以外からの通信は取引先向けWebサーバに到達しないから」などです。FWでインターネットからの直接の通信を拒否し、SPAで認証された取引専用PCだけがVPN経由で届く構成にしたので、ボットネットからの通信はサーバまで来ません。

令和5年秋期 問2（問題PDF）：来客用無線LANから社内ファイルを持ち出せるか

USBメモリでの情報持出し事件をきっかけに、クラウドストレージ（Bサービス）からの持出し対策を確認する問題です。会議室に、従業員用と来客用の無線LANが同居しています。

設問1(2)：偽サイトで出る証明書エラーの中身（正答率が低い）

着目する文： 図2の例「このサーバ証明書は、有効期限が切れている」。

偽のアクセスポイント（偽AP）と偽サイトを用意しても、HTTPSでアクセスすればサーバ証明書の検証で引っかかります。図2の例と同じ書き方で、解答例は次の2つです。

• c：「このサーバ証明書は、信頼された認証局から発行されたサーバ証明書ではない」
• d：「このサーバ証明書に記載されているサーバ名は、接続先のサーバ名と異なる」

採点講評では正答率が低く、「サーバ証明書の検証は、通信の安全性を確保するうえで基本的な知識であるので、具体的にどういった事項を検証するのかということまで含めて、よく理解しておいてほしい」とあります。発行元・有効期限・サーバ名の3点は、そのまま書けるようにしておきたいところです。

設問1(3)：HSTSがあると「http」と打っても守られる

着目する文： 表1の「HTTP Strict Transport Security（HSTS）を有効にしている」と、「誤って”http://“と入力してBサービスにアクセスしようとした場合」。

HSTSを一度受け取ったブラウザは、そのサイトへのHTTPのアクセスを自分でHTTPSに置き換えます。解答例は「HTTPのアクセスをHTTPSのアクセスに置き換えてアクセスする。その後、偽サイトからサーバ証明書を受け取る」です。HTTPSになるので、設問1(2)と同じ証明書エラーが出ます。

設問2：上長承認とMACアドレスの抜け道

着目する文： 表1のファイル共有機能の説明「外部共有リンクは、本人及び上長には知らされない」と、「従業員用無線LANだけにMACアドレスフィルタリングが設定されており」。

• 設問2(1)：上長が宛先をよく見ずに承認するなら、従業員は外部の共有者のメールアドレスに自分の私用メールアドレスを指定することで、社外からダウンロードできます（解答例）
• 設問2(2)：MACアドレスは書き換えられます。個人所有PCのMACアドレスを業務PCのものに変えれば、従業員用無線LANにつながります（解答例のeは「MACアドレス」）

設問3(1)〜(4)：EAP-TLSと秘密鍵の置き場所

着目する文： 「クライアント証明書とそれに対応する［f］は、どのようにしますか」と、表1の業務PC「TPM 2.0を搭載している」。

MACアドレスの代わりに、クライアント証明書で認証するEAP-TLSに変えます。解答例は、認証サーバが使うプロトコルがRADIUS、fが秘密鍵、gが「業務PCから取り出せないように」、設問3(4)が「EAP-TLSに必要な認証情報は、業務PCにしか格納できないから」です。

採点講評では、fに「公開鍵」「サーバ証明書」と答えたものが一部にあったとされています。クライアント証明書とペアになって、端末側で守るべきものは秘密鍵です。TPMに入れるのは、取り出して別のPCにコピーできないようにするためです。

設問3(5)：来客用無線LANのNATの変換先を分ける

着目する文： 表1のBサービス「M社の従業員に割り当てられた利用者IDでは、a1.b1.c1.d1からだけ、Bサービスにログイン可能である」と、表4の注「送信元IPアドレスがa1.b1.c1.d1に変換される」。

表4を見ると、来客用無線LAN（192.168.10.0/24）からインターネットへの通信も、NATでa1.b1.c1.d1に変換されています。Bサービスから見ると、来客用無線LANからのアクセスも「M社からのアクセス」に見えるわけです。

解答例は「来客用無線LANからインターネットにアクセスする場合の送信元IPアドレスを、a1.b1.c1.d1とは別のIPアドレスにする」です。令和7年秋 問3と同じく、接続元IPアドレス制限は「同じアドレスから出る通信を全部信用している」という弱点を突く問題です。

設問3(6)(7)：来客用無線LANをなくしたら、どのルールが要らなくなるか

着目する文： 「来客持込端末は、M社のネットワークを経由せずに、Dルータに搭載されているSIMを用いてDサービスを利用し、インターネットに接続する」と、表3・表4。

来客用無線LANは社外の回線（Dサービス）に切り出されます。不要になる通信はDHCPサーバとDNSサーバへの通信です（設問3(6)の解答例）。

設問3(7)の解答例は、表3が項番1（VLAN10＝来客用無線LAN）、表4が項番1と4です。

採点講評では正答率が高く、FWの全ルールと無線LANの見直しの影響を理解できていたとされています。送信元アドレスの列だけを縦に見て、消えるネットワークを探すと、短時間で解けます。

3問に共通する「問題文のここを見る」チェックリスト

CBT方式の科目Bでは、問題文にマーカーを引けます。IPアドレスの表と、手順を番号で並べた図は、最初に読んだ時点で色を付けておくと、設問を解くときに探しやすくなります。

最低限おさえる知識はこれだけ

ネットワーク・リモートワークの問題で、問題文に説明がないまま前提にされていた知識は、次のくらいでした。

Web系の基本はシリーズ1本目のWeb問題の記事、認証まわりは2本目の認証・API問題の記事にまとめています。

過去問の解説動画を見るなら

過去問の解説動画には、Udemyの講座を使っています。科目Bの過去問解説（令和7年秋・令和7年春・令和6年秋）が入っていて、この記事で扱った令和7年秋 問3を動画で見直せます。講座には、FW・プロキシ・無線LAN・DNSキャッシュポイズニングなど、ネットワーク系の小問題の解説もあります。

令和8年度対応｜参考書の著者が教える 情報処理安全確保支援士 科目A・科目B対策（Udemy） 講座の内容を見る

まとめ

• ネットワーク問題は、通信の送信元がどのアドレスに見えるかを構成図と表で確定すると、許可すべき宛先もすり抜けの理由も答えになる
• VPNやFWの設定変更では、VPNがつながる前に必要な通信と対象外にした人の通信を洗い出す。令和7年秋 問3では、ここの正答率が低かった
• 多要素認証も、正規の画面以外に入力させれば中継される。注意喚起は「正規の画面にだけ入力する」
• SPAが盗聴に強いのは、同じパケットの再送を捨てるから。表の各項番が何を防ぐ仕様かを考える
• 接続元IPアドレス制限やMACアドレスフィルタリングは、同じアドレスを使える別の経路があれば破られる

この分野は、知識の量より構成図と手順の順番を丁寧に追えるかで差がつきます。解き直すときは、答えを覚えるのではなく、根拠になった文や表がどこにあったかを確認すると、初めて見る構成図でも同じ場所を探せるようになります。

シリーズ4本目は、サプライチェーン・クラウド問題（委託先・SBOM・CI/CD）の記事です。

この分野の攻撃と基本の対策の組み合わせは、聞き流し用の一問一答動画（攻撃と対策・42問・YouTube）でも耳で復習できます。

関連記事

• 情報処理安全確保支援士 科目B（午後）の出題傾向を分析｜出やすい分野ランキングと過去問リンク集
• 支援士 科目B（午後）のWeb問題の解き方｜XSS・CSP・CSRF
• 支援士 科目B（午後）の認証・API・スマホアプリ問題の解き方｜JWT・セッション固定
• 支援士 科目B（午後）のコード問題を全部解説｜「書く」はJava・SQL・正規表現の定番だけ
• 支援士 科目B（午後）のインシデント対応・ログ解析問題の解き方｜ログは「時系列に並べて、2つのログで裏付ける」【過去問2問で解説】

参考にした情報

• IPA 過去問題（令和7年度秋期 科目B 問3、令和6年度春期 午後 問2、令和5年度秋期 午後 問2の問題・解答例・採点講評）

この記事で引用した問題文・解答例は、IPAが公開している過去問題からの抜粋です。一部を省略・要約し、表の形に整理しています。

よくある質問（FAQ）

Q1. 支援士の科目Bで、ネットワークの問題は毎回出ますか？

新形式になった令和5年秋期から令和7年秋期の5回では、令和5年秋期 問2（無線LANとサーバ証明書）、令和6年春期 問2（VPNとDDoS）、令和7年秋期 問3（リモートワークとVPNサービス）の3問がネットワーク・リモートワークを主題にしていました。主題がWebなど別の分野でも、構成図にはDNS・FW・プロキシがほぼ必ず出てきます。

Q2. VPNの問題で、正答率が低かったのはどんな設問ですか？

令和7年秋期 問3の設問4(2)です。FWでHTTPSの宛先をVPNサービスだけに絞ったときに、追加で許可すべき宛先を問う設問で、解答例はZ-IB、OSアップデート配布サイト、認証基盤サービス、VPNサービスの設定サイトでした。採点講評では、初期設定時及びVPN接続前に必要な通信も踏まえて解答してほしい、とされています。

Q3. 多要素認証があれば、フィッシングは防げますか？

防げない場合があります。令和6年春期 問2では、攻撃者が罠のサイトで盗んだIDとパスワードを正規の画面に入力し、利用者に届いたSMSのセキュリティコードも罠のサイトで受け取って中継する攻撃が出題されました。解答例の注意喚起は、認証情報はメールのリンクから開いた画面には入力せず、VPNダイアログにだけ入力する、です。

Q4. サーバ証明書のエラーでは、何を書けばいいですか？

令和5年秋期 問2では、偽サイトにアクセスしたときのエラーとして、信頼された認証局から発行されたサーバ証明書ではない、サーバ証明書に記載されているサーバ名が接続先のサーバ名と異なる、の2つが解答例でした。採点講評ではこの設問の正答率が低く、具体的にどういった事項を検証するのかまで理解してほしいとされています。