令和3年度春期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16：VDIは「画面だけ見せる」が安全のコツだよ

VDIでマルウェアの侵入やファイル流出を防ぎたいなら、手元のPCとVDIサーバの間は「画面を映すだけ」にして、ファイルのやり取りは許さないようにしよう。たとえるなら、金庫の中身をガラス越しに見るだけなら安全だけど、出し入れ用の小窓を開けたら盗まれたり持ち込まれたりするリスクが出る、という感じだよ。

この問題で問われていること

この問題では、VDIを使っていてもファイル転送を許してしまうと、PC側とVDI環境を分ける効果が弱くなる、という点を理解しているかが問われているよ。

VDI 分離の条件

ブラウジングは仮想マシン側で行い、PC 側へは画面だけを返すことで、実データの持込み / 持出しを防ぎやすくなる。

PC <-> VDI\n画面転送のみ\nファイル転送なし

確認ポイント

• ファイル転送を許すとマルウェア侵入や情報流出の経路になる。
• HTTP の単純なプロキシ化とは違う。
• 画面転送プロトコルだけを利用する条件を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。画面転送に加えてファイル転送まで許すと、VDI側で拾った危ないファイルがPCへ渡ったり、PC内のファイルが外へ出たりする道ができてしまうよ。たとえるなら、ガラス越しに見学するだけなら安全なのに、物の受け渡し用の小窓も開けてしまう感じ。これでは侵入や流出を防ぎきれないんだ。

選択肢イ（正解）

正解だよ。PCとVDIサーバの間を画面転送だけにすれば、PCはVDI上のブラウザ画面を見て操作するだけで、Webサイトとの実際の通信やファイル処理はVDI側に閉じ込められるよ。たとえるなら、危ない作業場を防弾ガラス越しに見て、手元には物を持ち込ませない仕組み。だからPCへのマルウェア侵入やPC内ファイルの流出を防ぎやすいんだ。

選択肢ウ

不正解だよ。VDIサーバを「Web閲覧の代理窓口」にしてHTTP通信を中継するだけだと、PCとVDIの間でファイルを渡せる可能性などが残るよ。たとえるなら、受付を通すようにしただけで、荷物の受け渡し口を開けっぱなしにしている感じ。マルウェア侵入やファイル流出を防ぐ条件としては足りないんだ。

選択肢エ

不正解だよ。VDIの画面転送プロトコルは、PCとVDIサーバの間で画面や操作をやり取りするためのものだよ。VDIサーバがプロキシとしてそれだけを中継する、という説明は役割がごちゃ混ぜなんだ。たとえるなら、映画館のスクリーン係に『郵便物も中継してね』と言っているようなもので、仕組みとしてズレているよ。