DMZと内部セグメントのサーバ配置をどう決めるか
基本情報技術者試験 平成29年度春期 午前 問43 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのサービスをインターネットに公開する場合，インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，ファイアウォールでは，外部セグメントとDMZとの間及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
- ア
WebサーバとデータベースサーバをDMZに設置する。
- イ
Webサーバとデータベースサーバを内部セグメントに設置する。
- ウ
WebサーバをDMZに，データベースサーバを内部セグメントに設置する。
- エ
Webサーバを外部セグメントに，データベースサーバをDMZに設置する。
会話形式の解説
講師公開するサーバと重要なデータを持つサーバでは、求める置き場所が違います。まず、利用者からの通信をどこで受けられるか考えましょう。
受験者外部から内部セグメントへは直接通信できません。Webサーバを内部に置くと、利用者がアクセスできないのではないですか。
講師そのとおりです。両方を内部に置く配置では、Webサーバをインターネットに公開できません。
受験者では、外部との通信が許可されるDMZに、両方を置けばよいですか。
講師WebサーバはDMZに置けば利用者からアクセスできます。ただし、重要なデータを持つデータベースサーバまでDMZに置くと、データを保護する目的に合いません。
受験者公開が必要なWebサーバだけをDMZに置き、データベースサーバは内部に置くのでしょうか。
講師はい。外部からWebサーバへの通信と、DMZから内部への必要な通信をファイアウォールで制御できます。外部からデータベースサーバへ直接通信させずに済む配置です。
受験者Webサーバを外部に、データベースサーバをDMZに置く案はどうですか。
講師Webサーバが、設問で示された外部とDMZの間の通信制御より外側に置かれます。さらに、重要なデータもDMZに置くため、適切ではありません。
受験者公開用のWebサーバはDMZ、重要なデータを持つサーバは内部に置き、許可する通信経路も確認するのですね。
講師その判断で正解です。DMZは外部と内部の間に設ける領域です。サーバの役割だけでなく、外部から内部へ直接通信できないという条件まで見て配置を決めましょう。
まとめ
利用者がアクセスするWebサーバはDMZに、重要なデータを持つデータベースサーバは内部セグメントに置くのが適切です。ファイアウォールで必要な通信を制御しながら、外部からデータベースサーバへの直接通信を避けられます。両方を内部に置くとWebサーバを公開できず、データベースサーバをDMZに置く配置も保護の目的に合いません。
解答・解説
正解はウです
この問題のテーマ
インターネットに公開するWebサーバと、重要なデータを持つデータベースサーバを、三つのセグメントにどう配置するかを問う問題です。
解き方の考え方
まず、利用者からのアクセスを受けるWebサーバの置き場所を決めます。次に、データベースサーバへ外部から直接通信させずに、Webサーバが必要なデータを利用できる配置を考えます。
選択肢ごとの解説
- ×ア WebサーバとデータベースサーバをDMZに設置する。WebサーバをDMZに置けば、外部からサービスを利用できます。しかし、重要なデータを持つデータベースサーバまでDMZに置くと、外部との通信が許可される領域に重要データを置くことになり、保護の目的に合いません。
- ×イ Webサーバとデータベースサーバを内部セグメントに設置する。Webサーバとデータベースサーバを内部セグメントに置く配置です。設問では外部セグメントから内部セグメントへの直接通信が禁止されているため、このWebサーバをインターネットに公開できません。
- ○ウ WebサーバをDMZに，データベースサーバを内部セグメントに設置する。利用者がアクセスするWebサーバをDMZに置き、重要なデータを持つデータベースサーバを内部セグメントに置きます。外部からWebサーバへの通信と、DMZから内部への必要な通信をファイアウォールで制御しながら、外部からデータベースサーバへの直接通信を避けられます。
- ×エ Webサーバを外部セグメントに，データベースサーバをDMZに設置する。Webサーバを外部セグメントに置くと、設問で示された外部とDMZの間の通信制御より外側に公開用サーバを置くことになります。さらに、重要なデータを持つデータベースサーバがDMZにあるため、データを内部セグメントで保護する配置にもなっていません。
POINT
- DMZは外部と内部の間に設ける領域です。
- 公開用サーバと重要データを持つサーバは、それぞれの役割に応じて配置します。
- サーバの配置を判断するときは、ファイアウォールが許可する通信経路も確認します。