平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問16

VDIで安全にWeb閲覧するための通信制限

VDIを使うと、インターネット閲覧を“別の部屋にある画面”で行うように分離できるよ。でも、内部PCとVDIの間でファイルの受け渡しを許してしまうと、その抜け道からマルウェアをPC側に持ち込んだり、逆にPC内のファイルを外へ持ち出したりできてしまう。だから大事なのは、PCとVDIの間では画面を映すための通信だけを使い、ファイル転送などはできない構成にすることだよ。

この問題で問われていること

この問題は「VDIを入れれば安全」という話ではなく、分離の効果を壊さないために、PCとVDIの間でどんな通信を禁止すべきかを問っているよ。ポイントは、画面転送はOKでも、ファイル転送を許すと“安全な壁にドアを付ける”ような状態になってしまうことだよ。

Security Condition for VDI Browsing

a VDI design prevents malware ingress and file exfiltration only when the endpoint is limited to screen-transfer traffic and cannot exchange files with the VDI server

allow screen transfer only\nblock file transfer\notherwise malware or files can cross\nVDI alone is not enough

確認ポイント

• 画面転送とファイル転送を分ける。
• VDI 導入だけで安心しない。
• 必要条件を答える。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。画面だけ見るなら安全だけど、ファイル転送まで許すと、家と別室の間に荷物用の通路を作るようなもの。泥棒役のマルウェアや、PC内の大事なファイルがその通路を通れてしまう可能性があるから、侵入や流出を防ぐ条件としては弱いよ。

選択肢イ（正解）

正解だよ。PCとVDIサーバの間を「画面を見るだけ」にすれば、PCにはWebページ本体やファイルを直接持ち込まないで済むんだ。たとえるなら、危ない場所には代理人だけが行って、自分は防犯ガラス越しに映像を見て操作する感じ。ファイルの受け渡し口も作らないので、マルウェア侵入やPC内ファイル流出を防ぎやすいよ。

選択肢ウ

不正解だよ。HTTP通信を中継するプロキシにすると、PC側からWebの通信を通す形に近くなってしまうんだ。これは、せっかく別室のブラウザだけを使う作戦なのに、家の玄関から外の荷物を受け渡しする窓口を作るようなもの。マルウェア侵入やファイル流出の道が残るよ。

選択肢エ

不正解だよ。VDIサーバは「中継所」ではなく、そこでブラウザを動かす場所なんだ。たとえるなら、危ない外の店に自分の家から直接行かず、別室のモニター越しに見ている感じ。画面転送だけを“プロキシとして中継”しても、Webサイトを見るためのHTTP通信の扱いとして説明がずれているよ。