午前I問題

ネットワークアーキテクチャに関する記述のうち、SDN（Software Defined Network）の特徴として適切なものはどれか。

ア）各ネットワーク機器が自律的に経路制御を行い、集中管理者を必要としない分散型アーキテクチャである。

イ）制御機能（コントロールプレーン）と転送機能（データプレーン）を分離し、コントローラがネットワーク全体を集中制御する。

ウ）物理的なケーブル配線を自動的に最適化するハードウェア技術である。

エ）ルータのファームウェアを仮想マシン上で実行することで、物理ルータを完全に代替する技術である。

午前I の解答・解説を見る

正解： イ）

解説：

  • ア）不正解。SDNは従来の分散型自律制御とは逆に、コントロールプレーンを集中化する点が特徴。
  • イ）正解。SDNはコントロールプレーンとデータプレーンを分離し、SDNコントローラが集中的にネットワーク機器（スイッチ等）を制御する。
  • ウ）不正解。SDNはソフトウェアによる論理的な制御技術であり、物理配線の自動最適化とは無関係。
  • エ）不正解。ルータの仮想化はNFV（Network Functions Virtualization）に近い概念で、SDNそのものの定義ではない。

午前II問題

SDN環境において、SDNコントローラとスイッチ間の通信プロトコルであるOpenFlowに関するセキュリティ上の記述として、最も適切なものはどれか。

ア）OpenFlowは制御通信を常に自動的にTLSで暗号化するため、追加の設定は不要である。

イ）SDNコントローラが単一障害点かつ攻撃の標的となりやすく、コントローラが乗っ取られるとネットワーク全体のフロー制御が奪われる危険がある。

ウ）OpenFlowスイッチは自律的にセキュリティポリシーを判断するため、コントローラの不正指示を自動的に拒否できる。

エ）OpenFlowプロトコルはデータプレーンの暗号化を必須としており、パケット盗聴のリスクはない。

午前II の解答・解説を見る

正解： イ）

解説：

  • ア）不正解。OpenFlowの制御チャネルはTLS利用が推奨されるが必須ではなく、平文（TCP）運用も可能なため明示的な設定が必要。
  • イ）正解。SDNはコントロールプレーンを1台（または少数）のコントローラに集中させるため、コントローラが単一障害点（SPOF）となり、乗っ取られるとフローテーブルを自在に書き換えられる重大リスクがある。
  • ウ）不正解。OpenFlowスイッチはコントローラの指示（フローエントリ）に従って転送するだけの装置であり、自律的なポリシー判断機能は持たない。
  • エ）不正解。データプレーンの暗号化はOpenFlow自体の必須要件ではなく、別途VPNやMACsec等で対応する必要がある。

午後問題

A社ではデータセンター内のネットワークをSDNで構築し、SDNコントローラCが全スイッチのフローテーブルを一元管理している。ある日、監視チームがコントローラCへの管理APIアクセスログに、通常業務時間外の大量のフローエントリ変更リクエストを発見した。調査の結果、コントローラの管理用REST APIが、初期構築時のデフォルト認証情報のまま外部ネットワークからアクセス可能な状態になっていたことが判明した。

設問1

この事案でコントローラCが攻撃者に完全に制御された場合、データセンター内のネットワークに生じ得る被害を、SDNの構造的特徴を踏まえて40字以内で述べよ。

設問1の解答・解説を見る

正解例： コントローラが全スイッチの転送経路を集中制御しているため、通信の盗聴・遮断・迂回が広範囲かつ一斉に可能になる。

解説・採点基準（計15点）：

採点項目キーワード配点
SDNの集中制御構造への言及コントローラが全スイッチ（フローテーブル）を集中管理6点
被害の具体性通信の盗聴・迂回・遮断・改ざんのいずれかへの言及6点
影響範囲の広さネットワーク全体・広範囲に影響が及ぶという記述3点

コントローラが単一障害点であるというSDNの構造的特徴を理解し、被害範囲がスイッチ単位ではなくネットワーク全体に及ぶことを説明できれば部分点を含め高得点となる。

設問2

今後、同様の被害を防止するために実施すべき対策を、認証面とネットワーク面の両方の観点から、それぞれ30字以内で述べよ。

設問2の解答・解説を見る

正解例：

認証面：デフォルト認証情報を廃止し、強固なパスワードと多要素認証を導入する。

ネットワーク面：管理用APIへのアクセスを管理セグメントからのみに制限する。

解説・採点基準（計15点）：

採点項目キーワード配点
認証面の対策デフォルト認証情報の変更・多要素認証7点
ネットワーク面の対策管理インタフェースの分離・アクセス制限（ファイアウォール、専用管理セグメント等）8点

管理APIやコントローラの管理画面は、外部からアクセス不可能な管理専用ネットワーク（アウトオブバンド管理）に隔離し、加えてID・パスワードの初期値運用を禁止することが実務上の標準対策となる。

重要キーワード

用語説明
SDN（Software Defined Network）コントロールプレーンとデータプレーンを分離し、ソフトウェアで集中制御するネットワーク技術
OpenFlowSDNコントローラとスイッチ間でフローエントリを制御する代表的なプロトコル
コントロールプレーン経路制御・転送ルール決定を担う制御機能。SDNではコントローラに集中
データプレーン実際のパケット転送を担う機能。SDNではスイッチが担当
NFV（Network Functions Virtualization）ルータ・ファイアウォール等のネットワーク機能を汎用サーバ上で仮想化する技術
単一障害点（SPOF）停止・乗っ取りによりシステム全体に影響を及ぼす箇所。SDNコントローラが該当しやすい

まとめ

  • 午前I視点： SDNの本質はコントロールプレーンとデータプレーンの分離・集中制御である点を押さえる
  • 午前II視点： OpenFlowの制御通信は暗号化が任意である点、コントローラが単一障害点になり得る点を正確に理解する
  • 午後視点： SDNの集中管理構造がもたらすリスクを説明し、認証強化とアウトオブバンド管理によるアクセス制限を対策として論述できるようにする