DMZと内部セグメントのサーバ配置はどう決めるか
基本情報技術者試験 令和元年度秋期 午前 問42 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがあり，このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのWebサービスをインターネットに公開する。インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，Webサーバでは，データベースサーバのフロントエンド処理を行い，ファイアウォールでは，外部セグメントとDMZとの間，及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
- ア
WebサーバとデータベースサーバをDMZに設置する。
- イ
Webサーバとデータベースサーバを内部セグメントに設置する。
- ウ
WebサーバをDMZに，データベースサーバを内部セグメントに設置する。
- エ
Webサーバを外部セグメントに，データベースサーバをDMZに設置する。
会話形式の解説
講師まず、外部からの要求を受けるサーバはどれか、重要なデータを持つサーバはどれかを分けて考えます。
受験者Webサーバには外部から到達できる必要があります。一方、データベースサーバは利用者が直接使うわけではないですね。
講師そのとおりです。利用者はWebサーバを介してデータベースを使います。では、両方をDMZに置くとどうでしょうか。
受験者Webサービスは提供できそうですが、重要なデータまでDMZに置くことになります。
講師はい。データベースサーバを内部セグメントに隔離できる利点を生かせません。
受験者では、両方を内部セグメントに置けば、データは守れますか。
講師この条件では外部セグメントと内部セグメントの直接通信が許可されません。内部のWebサーバへ利用者が直接アクセスできず、公開サービスに適しません。
受験者Webサーバを外部セグメントに、データベースサーバをDMZに置く配置もあります。
講師それでは公開するWebサーバが外部とDMZの境界の外側にあり、重要なデータも内部セグメントではなくDMZに置かれます。
受験者WebサーバをDMZに、データベースサーバを内部セグメントに置けば、両方の条件を満たせそうです。
講師正解です。DMZのWebサーバで要求を受け、そこから内部のデータベースサーバへの必要な通信だけを許可します。
受験者外部からデータベースへ直接通信させずに、Webサービスを提供できるのですね。
講師配置を選ぶときは、各サーバに必要な到達経路と、ファイアウォールで許可する通信経路を一緒に確かめます。
まとめ
公開するWebサーバは、外部から要求を受けられるDMZに置きます。重要なデータを持つデータベースサーバは内部セグメントに置き、Webサーバからの必要な通信だけを許可します。これにより、外部からデータベースサーバへの直接通信を遮りながら、Webサービスを提供できます。
解答・解説
正解はウです
この問題のテーマ
公開するWebサーバと重要なデータを持つデータベースサーバを、どのセグメントに配置すべきかを問う問題です。
解き方の考え方
利用者の要求を受けるWebサーバには、インターネットから到達できる必要があります。一方、利用者はWebサーバを介してデータベースを使うので、データベースサーバを外部から直接アクセスできる場所に置く必要はありません。この二つの条件と、ファイアウォールが許可する通信経路を照らし合わせます。
選択肢ごとの解説
- ×ア WebサーバとデータベースサーバをDMZに設置する。WebサーバをDMZに置けば、外部からの要求を受けられます。しかし、重要なデータを持つデータベースサーバまでDMZに置くと、内部セグメントに隔離できる利点を生かせません。
- ×イ Webサーバとデータベースサーバを内部セグメントに設置する。Webサーバを内部セグメントに置く配置です。問題の条件では外部セグメントと内部セグメントの直接通信が許可されないため、インターネットの利用者はそのWebサーバに直接アクセスできません。
- ○ウ WebサーバをDMZに，データベースサーバを内部セグメントに設置する。DMZのWebサーバで外部からの要求を受け、重要なデータを持つデータベースサーバは内部セグメントに置きます。Webサーバからデータベースサーバへの必要な通信だけを許可すれば、サービスを提供しながら外部からデータベースへの直接通信を遮れます。
- ×エ Webサーバを外部セグメントに，データベースサーバをDMZに設置する。Webサーバを外部セグメントに置くと、公開するサーバが外部とDMZの境界の外側に配置されます。また、重要なデータを持つデータベースサーバがDMZにあるため、内部セグメントに置く場合より外部に近い配置です。
POINT
- 公開Webサービスでは、外部からの要求を受けるサーバへの到達性を確保します。
- 利用者がWebサーバを介して使うデータベースには、外部からの直接通信は不要です。
- サーバの配置は、必要な通信だけを通せる境界と合わせて考えます。