設問1
a：エ
「a」の後に「ルータ間の通信をすべて暗号化」とあるため、トンネルモードです。
これが端末間であればトランスポートになります。
b：ア
「片側のルータのIPアドレスが動的に変わる環境」とあるため、アグレッシブモードです。
IPアドレスが固定された環境だったらメインモードになります。
設問2
(1) c：x1.x2.x3.x4
表1のza.z2.z3.z4はローカルアドレスの項目に記載があるため、LTEルータのグローバルIPアドレスであることがわかります。
ほかのx1.x2.x3.x4、y1.y2.y3.y4は外部アドレスの項目に記載があるためLTEルータ以外の機器がLTEルータと通信を行っています。
この中でz1.z2.z3.z4:22宛て(SSH通信)に通信を行っているのはx1.x2.x3.x4です。
d：y1.y2.y3.y4
表1の中でSMTP通信を利用しているのはy1.y2.y3.y4です。
(2) パスワード認証を無効化し、公開鍵認証を利用する。
SSHにはパスワード認証と公開鍵認証の2つがあります。
今回、パスワードの辞書攻撃を受けた痕跡から暫定対策として公開鍵認証に設定変更されています。
採点講評にありましたが、「パスワード認証を無効化し」という言葉がないとNGそうです。
設問3
(1) e：送信元IPアドレスを監視端末のIPアドレスに限定
「e」の前に「LTEルータでは、監視端末を利用したい場合にだけ、SSHサービスにアクセスできる仕様にすべきです。」とあるため、TCPWrapperを利用し、許可する送信元IPアドレスを監視端末に限定化すればよさそうです。
TCPWrapperとはUNIX系OSでアクセス制御を行う機能の1つで、今回LTEルータがLinuxで動作しているため、LTEルータに設定を追加したと思われます。
(2) 中間者攻撃による通信内容の盗聴
いくつかの組み込み機器ではホスト鍵が同一のものが使用されているため、攻撃者が組み込み機器を購入し、ホスト鍵を入手できれば、ルータと監視端末の間に割り込んでなりすましを行うことが可能になります。
(3) 作成時：秘密鍵を使用してイメージファイルにディジタル署名を付与する
更新時：公開鍵を使用してイメージファイルのディジタル署名を検証する。
「更新時にイメージファイルが改ざんされていないかを検証できるようにする必要がある」とあります。そのためイメージファイル作成時にディジタル署名を作成し、更新時にディジタル署名を検証する方法をとればよさそうです。
ディジタル署名作成時は、秘密鍵を利用します。検証時は秘密鍵の対である公開鍵を利用し検証を行います。
(4) LTEルータにログインしてファイルシステムの中から見つける
イメージファイルを暗号化した場合、複合するのはイメージファイルを持っているLTEルータになります。
そのため、攻撃者がLTEルータにアクセスできれば復号鍵を窃取されてしまう可能性があります。