平成30年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：VDIでブラウザ実行をPCから切り離す仕組みだよ

この方式では、Webサイトを見るためのブラウザ処理はDMZ上のVDI環境で完結するよ。自分のPCには、テレビ中継みたいに操作画面だけが送られてくるイメージ。だから、Webサイトから実行ファイルやスクリプトが来ても、PC側で直接動きにくくできるんだ。

この問題で問われていること

ポイントは、危ないものをPCに届く前に削るプロキシ型の対策や、通信を盗み見されないようにする暗号化とは役割が違う、という点だよ。VDIは『ブラウザをPCの外で動かして、PCには画面だけ見せる』仕組みだと押さえよう。

VDI Browser Isolation

the VDI server processes web content and sends only remote desktop images to the PC

web runs on VDI\nPC receives screen images only

確認ポイント

• 実行ファイルを削る方式ではありません。
• IPsec カプセル化が本質でもない。
• 画面転送だけを送る点が鍵です。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。実行ファイルだけを捨てるのは、怪しそうな大きな荷物だけ止める受付みたいなものだよ。でも、マルウェアは文書やスクリプトなど別の形で紛れ込むこともあるし、未知のものは見逃す可能性があるよ。VDIはそもそもWebサイトの受信データをPCに直接渡さない仕組みなんだ。

選択肢イ

これは不正解だよ。不正なコード列を検知して通す・止める方式は、入口で持ち物検査をするようなものだよ。既知の危険物には強いけれど、未知のマルウェアは検査をすり抜ける可能性があるよ。VDIの特徴は検査して安全そうなWebデータをPCへ送ることではなく、画面画像だけをPCへ送ることなんだ。

選択肢ウ（正解）

これは正解だよ。VDIでは、Webサイトを見る作業はDMZ上のVDIサーバ側で行い、PCには完成した画面の画像だけを送るんだ。たとえるなら、危ない現場には作業員だけが入り、利用者には窓越しの映像だけ見せる感じだよ。PCにはWebの実データやマルウェア本体が届きにくいので、感染を防ぐ効果が期待できるよ。

選択肢エ

これは不正解だよ。IPsecでカプセル化するのは、荷物を丈夫な箱に入れて運ぶようなもので、途中で盗み見されにくくはなるよ。でも、箱の中に泥棒役のマルウェアが入っていたら、PCに届いた時点で危ないよね。VDIのポイントはWebデータそのものをPCへ渡さないことだよ。