令和元年度秋期 ネットワークスペシャリスト 午後Ⅰ 問2

問2　Webシステムの構成変更に関する次の記述を読んで、設問1～3に答えよ。 A社は、中堅の菓子メーカであり、自社で製造する商品を、店舗とオンラインショップで販売している。オンラインショップの利用者は、Webブラウザを使ってWebシステムにアクセスする。A社のオンラインショップを構成する、現行のWebシステムを図1に示す。 図1　現行のWebシステム（抜粋） 注記1　199.α.β.1及び199.α.β.2は、グローバルIPアドレスを示す。 注記2　インターネットからWebシステムへの通信について、DNSとHTTPSだけを許可するアクセス制御を、FWに設定している。 A社では、Webシステムのアクセス数の増加に対応するために、Webサーバの増設と負荷分散装置（以下、LBという）の導入を決めた。また、昨今、Webアプリケーションプログラム（以下、WebAPという）の脆弱性を悪用したサイバー攻撃が報告されていることから、WAF（Web Application Firewall）サービスの導入を検討することになった。そのための事前調査から設計までを情報システム部のUさんが担当することになった。 〔WAFサービス導入の検討〕 Uさんは、SaaS事業者のT社が提供するWAFサービスを調査した。T社によるWAFサービスの説明は、次のとおりである。 ・WAFサービスは、利用者のWebブラウザとWebシステム間のHTTPS通信を中継する。利用者のWebブラウザは、WAFサービスにアクセスするためのIPアドレス（以下、IP-w1という）宛てにHTTPリクエストを送信する。 ・WAFサービスは、HTTPS通信を復号してHTTPリクエストを検査する。そのために、A社は、現行と同じコモンネームのサーバ証明書と秘密鍵を、WAFサービスに提供する必要がある。 ・WAFサービスは、WebAPへのサイバー攻撃が疑われる通信を検知し、Webシステムへのアクセスを制御する。 ・WAFサービスは、アクセスを許可したHTTPリクエストの送信元IPアドレスを、HTTPヘッダのX-Forwarded-Forヘッダフィールド（以下、XFFヘッダという）に追加する。XFFヘッダへの追加後に、HTTPリクエストの送信元IPアドレスを、HTTPレスポンスがWAFサービスに送られるようにするためのIPアドレス（以下、IP-w2という）に変更する。 ・WAFサービスは、HTTPリクエストを再度HTTPSで暗号化して、WebシステムにアクセスするためのIPアドレスである199.α.β.2宛てに転送する。 ・WAFサービスは、HTTPレスポンスを検査する。HTTPレスポンスに対する処理の説明は省略する。 Uさんは、Webブラウザから送信されるHTTPリクエストを、WAFサービス宛てに変える方法について、T社に確認した。T社からの回答は、次のとおりである。 ・A社DNSサーバに、RDATAにIP-w1を設定したAレコードを登録する方式と、RDATAにT社WAFサービスのFQDNを設定したCNAMEレコードを登録する方式がある。 ・T社は、IP-w1を変更する場合があるので、①CNAMEレコードを登録する方式を推奨している。 T社からの説明を踏まえて、Uさんが検討したA社DNSサーバのゾーンファイルを、図2に示す。 図2　A社DNSサーバのゾーンファイル（抜粋） 注記　「waf-asha.tsha.net.」は、A社WebシステムでWAFサービスを利用するために、T社から割り当てられたFQDNである。 現行のWebAPでは、Webシステムへのアクセス時の送信元IPアドレスをアクセスログに記録している。Uさんは、送信元IPアドレスの代わりにXFFヘッダの情報を記録するように、WebAPの設定を変更することにした。 Uさんは、FWに設定しているWebシステムへのアクセス制御について、IP-w2を送信元とする通信だけを許可するように、設定を変更することにした。 〔LBに関する検討〕 A社が導入するLBは、HTTPリクエストの振分け機能、死活監視機能、セッション維持機能、TLSアクセラレーション機能、HTTPヘッダの編集（追加、変更、削除）機能をもっている。 HTTPリクエストの振分け機能について、Uさんは、HTTPリクエストをWebサーバに【ア】に振り分けるラウンドロビン方式を採用することにした。 死活監視機能について、Uさんは、WebAPの稼働状況を監視するために、レイヤ7方式を利用することにした。死活監視に用いるメッセージの設定を表1に示す。 表1　メッセージの設定（抜粋） セッション維持機能には、HTTPリクエストの送信元IPアドレスに基づいて行う方式と、LBによって生成されるセッションIDに基づいて行う方式がある。セッションIDに基づいて行う方式では、WebサーバとWebブラウザ間で状態を管理するために用いられるCookieを利用する。LBは、HTTPレスポンスの【エ】ヘッダフィールドにセッションIDを追加する。HTTPレスポンスを受け取った利用者のWebブラウザは、【エ】ヘッダフィールドにあるセッションIDを、次に送信するHTTPリクエストの【オ】ヘッダフィールドに追加する。HTTPリクエストを受け取ったLBは、【オ】ヘッダフィールドのセッションIDに基づいて、セッション維持を行う。Uさんは、②WAFサービスの利用を考慮し、セッションIDに基づいて行う方式を採用した。 TLSアクセラレーション機能は、TLSの暗号化・復号処理を専用ハードウェアで高速に処理する機能である。Uさんは、TLSの暗号化・復号処理の性能向上の目的と、③LBが行うある処理のために、TLSアクセラレーション機能を利用することにした。Uさんは、LBとWebサーバ間の通信にHTTPを用い、ポート番号にHTTPのウェルノウンポート番号を用いることにした。 構成変更後のWebシステムを図3に示す。 図3　構成変更後のWebシステム（抜粋） 〔WAFサービス停止時の対応検討〕 Uさんは、障害などでWAFサービスを1日以上利用できなくなった場合に備え、対応を検討した。WAFサービス停止期間中も、オンラインショップでの商品販売を継続させたい。Uさんは、WAFサービスを経由せずに、利用者のWebブラウザとWebシステム間で直接通信させるために、WAFサービス導入時に設定変更を予定している【カ】の④設定を変更することと、図2中の⑤資源レコードの1行を書き換えることで対応できると考えた。 Uさんは、WebAPのアクセスログについて、WAFサービスの有無にかかわらず、XFFヘッダの情報からWebシステムへのアクセス時の送信元IPアドレスを記録することとし、⑥LBに設定を追加した。 その後、Webシステムの構成変更に関するUさんの報告書は経営会議で承認され、導入の準備を開始した。 設問1　本文中の下線①について、A社にとっての利点を45字以内で述べよ。 設問2　〔LBに関する検討〕について、（1）～（3）に答えよ。 （1）本文及び表1中の【ア】～【オ】に入れる適切な字句又は数値を答えよ。 （2）本文中の下線②について、送信元IPアドレスに基づいて行う方式を採用した場合に発生するおそれがある問題を、10字以内で述べよ。 （3）本文中の下線③の処理の内容を、20字以内で答えよ。 設問3　〔WAFサービス停止時の対応検討〕について、（1）～（3）に答えよ。 （1）本文中の【カ】に入れる機器を、図3中のDNSサーバ以外の機器名で答えよ。また、本文中の下線④の変更内容を35字以内で述べよ。 （2）本文中の下線⑤について、書換え後の資源レコードを答えよ。 （3）本文中の下線⑥の設定内容を、30字以内で答えよ。