平成22年度秋期 情報処理安全確保支援士 午前Ⅱ 問6

ネットに公開している玄関（DMZ）から、会社の奥の金庫室（内部ネットワーク）への通信は、必要最低限の「専用ルート」だけを通す

ネットワークセキュリティ（ファイアウォールの設計）の問題だよ。ネットに公開されている「DMZ（非武装地帯）」にあるWebサーバーは、ハッカーに乗っ取られるリスクが一番高い。そこからさらに社内の「データベースサーバー（内部セグメント）」へデータを読み書きしに行く通信は、乗っ取り被害の拡大を防ぐために、WebサーバーのIPアドレスから、DB接続で使う「特定のポート番号（SQL接続用など）」への通信だけをファイアウォールでピンポイントで許可する（最小権限の原則）必要があるよ。

この問題で問われていること

万が一Webサーバーがハッキングされても内部ネットワーク全体に被害が及ばないよう、「送信元のIPアドレス（特定のサーバー）と、接続先の宛先ポート番号（必要なサービス）を厳密に制限する」フィルタリングルールを選択しよう。

DMZ から内部 DB への制御

内部ネットワークへの経路は、最小権限で設計することが大切です。DB サーバは決められたポートだけを Web サーバから受け付け、それ以外は遮断します。

送信元: Web サーバ\n宛先: DB サーバ\n許可: 必要な受信ポートのみ

確認ポイント

• DMZ から内部への通信を広く許可するのは危険です。
• DB の受信ポートを固定し、そのポートだけを通します。
• 送信元も宛先ポートも限定することが大切です。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは不正解だよ。本文がネットワーク図の一部の読み取り崩れのようで、ファイアウォールで何を通す・止めるという設定になっていないんだ。地図だけ見せられても門番のルールにはならないので、DBサーバへの不正侵入対策としては選べないよ。

選択肢イ

これは不正解だよ。本文が「ファイアウォール」という図の文字の読み取り崩れのようで、通信をどう許可するかという設定内容になっていないんだ。門番に「誰をどの入口から通すか」を伝えていない状態なので、対策として選べないよ。

選択肢ウ

これは正解だよ。DBサーバを守るには、家の玄関を全部開けるんじゃなくて「Webサーバさんだけ、このDB用の窓口だけ通っていいよ」と決めるのが一番安全なんだ。DBサーバの受信ポート番号を固定して、Webサーバからそのポートへの通信だけ通せば、必要な道だけを細く開けられるよ。

選択肢エ

これは不正解だよ。「DMZからDBサーバへなら通してよい」とすると、DMZにいるWebサーバ以外のサーバまでDBに行けてしまうんだ。たとえると、配達員だけ入れたいのに「玄関前にいる人は全員OK」と言っているようなものだよ。必要なのはWebサーバからDBサーバへの通信だけに絞ることだよ。