ステートフルパケットインスペクション（stateful packet inspection）

分類: テクノロジ系セキュリティ
出る試験: 基本情報応用情報
重要度: ★★★☆☆

行きの通信を覚えておき、その応答だけを自動で通すファイアウォールの機能。戻りのための規則を書かずに済む。

もう少し詳しい説明

ステートフルパケットインスペクションは、ファイアウォール（通す通信を選り分ける機器）が持つ、行きの通信を覚えておき、その応答だけを自動で通す機能です。

英語	意味
stateful	状態を覚えている
packet	通信を小分けにしたかたまり
inspection	検査

なぜ必要なのか

通信には行きと戻りがあります。社内の端末が外のWebサーバへ接続すると、サーバからの応答が返ってきます。

向き	送信元	宛先
行き	社内の端末	外のWebサーバ（443番ポート（どのアプリ向けの通信かを表す番号））
戻り	外のWebサーバ	社内の端末（端末が使っている番号）

戻りの通信は、外から内へ向かいます。 これを通すために「外から内への通信を許可する」という規則を書くと、関係のない通信まで通ってしまいます。

覚えておく仕組みがあると、自分が出した通信の応答だけを通せます。

	覚えておかない場合	覚えておく場合
戻りの規則	書く必要がある	要らない
開く範囲	広くなりやすい	その通信の応答だけ
規則の数	増える	少なくて済む

何を覚えているのか

覚えるもの	例
送信元のIPアドレス（通信の宛先になる番号）とポート番号	社内の端末
宛先のIPアドレスとポート番号	外のWebサーバの443番
通信の状態	接続を始めたところ、やり取りの途中、終わったところ

この組合せが一致する戻りのパケットだけを通します。 一致しないものは、規則に無い通信として扱われます。

規則の表の読み方

試験では、許可ルールの表が出てきます。

機器	送信元	送信先	プロトコル／ポート番号
FW1	インターネット	DMZ（社内でも社外でもない区画）セグメント	TCP（確実に届ける通信の決まり）/443
FW1	Webサーバ	APサーバ	TCP/80

注記に「応答パケットを自動的に通過させる」と書かれていれば、戻りの行は書かれていません。 表に無いからといって通らない、とは限らない、という読み方になります。

できないこと

できること	できないこと
行きと戻りの対応を見る	中身が攻撃かどうかを見る
関係のない外からの接続を止める	許可した通信に乗ってくる攻撃を止める

中身を見るのは別の仕組みです（WAFのページで扱っています）。許可した443番ポートに乗ってくる攻撃は、この機能では止まりません。

近い言葉との区別

語	見ているもの
パケットフィルタリング	1つ1つのパケット（通信を小分けにしたかたまり）の宛先と番号だけ
ステートフルパケットインスペクション	通信のつながり（行きと戻りの対応）
アプリケーションゲートウェイ	アプリケーション層（人が使うソフトの階層）の中身

試験ではこう出る

科目A（旧・午前）では、機能の説明が問われます。許可した通信の応答を自動で通す、という部分が答えの軸です。

午後や応用情報では、規則の表の注記として書かれます。戻りの通信の行が無い理由を読み取れるかどうか、という形です。

ミニクイズ

ステートフルパケットインスペクション機能を持つファイアウォールの動きとして、最も適切なものはどれか。

正解は 4番：通過を許可した通信を覚えておき、その応答のパケットを規則を書かずに通す

ステートフルパケットインスペクションは、許可して通した通信の状態を覚えておき、それに対応する応答のパケットを自動的に通す機能です。戻りの通信のために規則を別に書く必要がなくなります。中身を調べて攻撃を遮断するのはWAFなどの働き、アドレスを付け替えるのはNAT（内側のアドレスを外向けに付け替える仕組み）、代わりに接続するのはプロキシサーバ（端末の代わりに外へ接続しにいく中継役）で、いずれも別の仕組みです。

間違えた用語の復習リストを見る →

この分野をまとめて解く → セキュリティのミニテスト（全47問）

最終更新：2026-11-09