平成23年度特別 システム監査技術者 午前Ⅱ 問21

設定の役割と影響を整理する視点

メール運用の安全性を考えるときは、個別の名称や文言を暗記せず、各設定が誰の利用を想定し、どの段階でどのようなリスクを抑えるために置かれているかという観点を中心に確認します。

この問題で問われていること

一つの観点として、設定の目的と適用範囲の対応に注目してください。画面上の記述を条件ごとに読み分け、どのリスクへの対策として説明されているかを慎重に照らし合わせましょう。

視点

設定名だけで判断せず、想定する利用場面、適用される範囲、抑えようとするリスクの関係を整理して読み取ります。

確認ポイント

• 設定が対象とする利用場面を確認する
• 適用範囲と前提条件の対応を見る
• 抑制しようとするリスクとの関係を考える

正解

イ

解説

SMTPサーバの不正利用対策では、第三者が無関係な宛先へメールを送信できる状態を防ぐ設定が必要です。したがって、第三者中継を禁止するイが正解です。

理由

SMTPサーバが第三者中継を許可すると、攻撃者などがそのサーバを経由して迷惑メールを外部へ送信できます。利用者や宛先を適切に制限し、第三者中継を禁止することが不正利用の防止になります。

比較

アはDNSサーバのゾーン転送に関するアクセス制御、ウはディレクトリ内のファイル名表示に関する制御、エはWebサーバなどでのCGI実行場所に関する制御です。いずれもSMTPの第三者中継対策ではありません。

選択肢ア

これは不正解だよ。ゾーン転送は、DNSサーバが管理するゾーン情報を別のDNSサーバへ転送する機能です。アクセス元の制御はDNS情報の不正取得や意図しない転送を防ぐ設定であり、SMTPサーバが第三者のメール送信に利用される問題への直接の対策ではありません。

選択肢イ（正解）

これは正解だよ。SMTPサーバが第三者中継を許可すると、無関係な利用者がそのサーバを経由して外部宛てにメールを送信できます。第三者中継を禁止して、正当な利用者や許可された送信だけに制限する設定は、SMTPサーバの不正利用防止に該当します。

選択肢ウ

これは不正解だよ。ディレクトリに存在するファイル名の表示を禁止する設定は、Webサーバなどでディレクトリ内容を閲覧されることを防ぐためのものです。メールの送信中継を誰に許可するかを制御する設定ではないため、SMTPサーバの不正利用対策には当たりません。

選択肢エ

これは不正解だよ。特定のディレクトリ以外でのCGIプログラムの実行を禁止する設定は、Webサーバ上で不正なプログラムを実行される危険を抑えるためのものです。SMTPのメール中継を制限する設定ではなく、メールサーバの不正利用防止を直接示していません。

学習のポイント

SMTPサーバでは、第三者中継の防止が不正利用対策になります。