平成21年度春期 情報処理安全確保支援士 午前Ⅱ 問9

公開サーバーから「内部のデータベース」へは、必要最低限の通り道だけを通す

ファイアウォール（FW）のルール設計問題。外からアクセスされるWebサーバー（DMZエリア）がハッキングされた時の被害を抑えるため、Webサーバーから内部DBへは「必要な特定のサーバーから、DBの特定の接続ポートだけ」を通すように通り道をギリギリまで絞るのが鉄則だよ。

この問題で問われていること

「DMZ全体からの通信をすべて許可する」や「DB側のすべてのポートを開ける」といった緩い設定はNG。「送信元ホスト」と「宛先ポート」を最小限に制限する、というセキュリティ原則を選ぼう。

FW で絞る単位

公開 Web サーバは外部入力を受けるので、侵害される前提で考えます。侵害後に内部 DB へ自由に通信できると横展開されやすいため、DB 側の受信ポートを固定して、必要な通信だけを通す設計にします。

Internet -> Web in DMZ\nWeb in DMZ -> DB: 必要な受信ポートだけ許可

確認ポイント

• DMZ 全体を丸ごと許可しないようにしましょう。
• 発信ポートは変わることがあるので、固定条件にしにくいです。
• 「どのホストから、どの宛先ポートへ」を絞ることが基本です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。必要なのは「WebサーバからDBサーバの決まった受信ポートへ行く通信」だけなので、そこだけ通すのが一番しぼれているんだ。たとえるなら、受付係であるWebサーバだけが、金庫番であるDBサーバの専用窓口にだけ話しかけられるようにする感じだよ。余計な通路を開けないのが安全だね。

選択肢イ

不正解だよ。「DMZからDBサーバへ」を全部通すと、Webサーバ以外のDMZ上の機器からもDBサーバへ近づけてしまうんだ。たとえるなら、受付エリアにいる人なら誰でも金庫番に話しかけてOKにする感じ。必要な相手はWebサーバだけなので、範囲が広すぎるよ。

選択肢ウ

不正解だよ。終わった通信と同じ発信ポートを拒否しても、「どこへ行く通信か」を十分に絞れていないんだ。たとえるなら、前に使った整理券番号だけ避けても、泥棒が別の番号で別の部屋に行けてしまう感じ。発信ポートは一時的に使われる番号なので、これを中心に守るのは本質的じゃないよ。

選択肢エ

不正解だよ。Webサーバの「出るときの番号」だけを合言葉にして通すのは、入口の相手先をちゃんと見ていない状態なんだ。たとえるなら、社員証の色だけ見て社内のどの部屋にも入れてしまう感じ。DBサーバの決まった窓口だけに絞れていないので危ないよ。