平成29年度秋期 ネットワークスペシャリスト 午前Ⅱ 問20

分離設計を見直すための視点

ネットワークを分ける目的と、境界を越える通信や持ち出しが生じる場面を整理し、対策がどのリスクを抑えるためのものかという関係に注目して、構成全体の役割を考えます。

この問題で問われていること

一つの対策だけで判断せず、守る対象、通信の経路、許可や監視が働く境界の関係を問題文から読み取り、想定する脅威に対してどの観点を確認するかを絞って検討し整理します。

視点

分離の目的、境界の役割、想定する脅威を同じ枠組みで捉え、それぞれの関係を確認しましょう。

確認ポイント

• 守る対象と分離の目的が対応しているか
• 境界をまたぐ通信やデータ移動に着目できるか
• 対策が脅威にどう関係するかを整理できるか

正解

イ

解説

WebブラウザをDMZ上のVDIサーバで実行し、内部PCとは画面転送だけで接続することで、WebサイトからPCへマルウェアが侵入する経路と、PCからWebサイトへデータが流出する経路を抑制できる。

理由

WebブラウザはDMZ上のVDIサーバで動作するため、インターネット上のWebサイトから取得したマルウェアが直接内部PCで実行される構成ではありません。さらに、内部PCとVDIサーバ間を画面転送に限定すれば、PC上のファイルをWebサイトへ送ったり、VDI側のファイルをPCへ持ち込んだりする経路を制限できる。

比較

ファイル転送を許可すると、マルウェアや内部データがPCとVDIサーバの間を移動できる。HTTP通信の中継だけではPCとVDIサーバ間のファイル移動を制限する条件にならず、VDIの画面転送プロトコルをプロキシとして扱う説明も適切ではありません。

選択肢ア

これは不正解だよ。VDIの画面転送に加えてファイル転送を利用すると、VDIサーバ上で取得したマルウェアが内部PCへ移動したり、内部PCのデータがVDIサーバを経由してWebサイト側へ渡ったりする経路が残る。侵入と流出の双方を防ぐ条件として、ファイル転送の許可は不適切である。

選択肢イ（正解）

これは正解だよ。WebブラウザはDMZ上のVDIサーバで実行され、内部PCには画面転送だけを行うため、Webサイトの内容やマルウェアを内部PCへ直接持ち込む経路を抑えられる。また、ファイル転送を使わないので、内部PCのデータをWebサイトへ送る経路も制限できる。

選択肢ウ

これは不正解だよ。VDIサーバがHTTP通信をプロキシとして中継するだけでは、内部PCとVDIサーバ間でファイル転送などが可能かどうかを制限する条件にならない。問題の目的は、Web通信の中継方法ではなく、内部PCとの間のデータ移動経路を抑えることである。

選択肢エ

これは不正解だよ。VDIの画面転送プロトコルは、VDIサーバの画面をPCへ伝えるための通信であり、WebサイトとのHTTP通信を中継するプロキシの役割とは異なる。したがって、VDIサーバがそのプロトコルだけをプロキシとして中継するという説明は、構成の役割を取り違えている。

学習のポイント

VDIの画面転送とファイル転送の違い、通信経路の分離によるマルウェア侵入・情報流出対策を学ぶ。