DMZにメールサーバを置く理由と守る範囲
ITパスポート試験 令和元年度秋期 問92 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
外部と通信するメールサーバをDMZに設置する理由として，適切なものはどれか。
- ア
機密ファイルが添付された電子メールが，外部に送信されるのを防ぐため
- イ
社員が外部の取引先へ送信する際に電子メールの暗号化を行うため
- ウ
メーリングリストのメンバーのメールアドレスが外部に漏れないようにするため
- エ
メールサーバを踏み台にして，外部から社内ネットワークに侵入させないため
会話形式の解説
講師この問題では、DMZに置くことでメールサーバと社内ネットワークの関係がどう変わるかに注目します。
受験者DMZは外部ネットワークと社内ネットワークの間の領域ですね。メールサーバをそこに置くと、何を守れるのでしょうか。
講師外部と通信するメールサーバは攻撃を受ける可能性があります。社内ネットワークから分離すれば、サーバが侵害されても、そこを踏み台にした社内への侵入経路を制限できます。これが正解の理由です。
受験者踏み台とは、侵害されたサーバが次の攻撃の足場に使われることですね。では、機密ファイルの送信を防ぐという考えはどうでしょうか。
講師それには添付内容の検査や送信の制限が必要です。DMZに置くだけでは、添付ファイルの内容を判別して送信を止められません。
受験者取引先へのメールを暗号化するという選択肢も、サーバの設置場所とは別の話ですか。
講師はい。暗号化は通信やメールの内容を保護するためのものです。DMZへの配置そのものには、暗号化する機能はありません。
受験者メーリングリストのアドレスを隠すことも、DMZに置くだけではできませんね。
講師そのとおりです。アドレスの秘匿には宛先の設定などが関係します。サーバの場所を変えても、アドレスが外部に見えなくなるわけではありません。
受験者DMZへの配置はメールの内容や宛先を処理するためではなく、外部と通信するサーバを社内ネットワークから分離するためなのですね。
講師はい。ただし、DMZに置けば侵入を無条件に防げるわけではありません。サーバが踏み台にされた場合の社内への侵入リスクを下げる、と捉えます。
まとめ
DMZは外部ネットワークと社内ネットワークの間に設ける領域です。外部と通信するメールサーバをそこに置くと、サーバが侵害されても、それを踏み台にした社内への侵入経路を制限できます。DMZへの配置だけでは、添付内容の検査、メールの暗号化、アドレスの秘匿はできません。侵入を無条件に防ぐのではなく、社内への侵入リスクを下げるための配置です。
解答・解説
正解はエです
この問題のテーマ
外部と通信するメールサーバをDMZに置く目的を問う問題です。
解き方の考え方
DMZは外部ネットワークと社内ネットワークの間に設ける領域です。外部から攻撃を受ける可能性があるメールサーバを社内ネットワークから分離する、という役割に着目します。
選択肢ごとの解説
- ×ア 機密ファイルが添付された電子メールが，外部に送信されるのを防ぐため機密ファイルの送信防止は、メールの添付内容を検査・制限する話です。メールサーバをDMZに置くだけでは、添付ファイルの内容を判別して送信を止められません。
- ×イ 社員が外部の取引先へ送信する際に電子メールの暗号化を行うため取引先へ送るメールの暗号化は、通信やメールの内容を保護する話です。DMZへの配置そのものに暗号化の機能はありません。
- ×ウ メーリングリストのメンバーのメールアドレスが外部に漏れないようにするためメンバーのメールアドレスを秘匿するには、宛先の設定などが関係します。メールサーバの設置場所をDMZにしても、アドレスが外部に見えなくなるわけではありません。
- ○エ メールサーバを踏み台にして，外部から社内ネットワークに侵入させないため外部と通信するメールサーバは、攻撃を受ける可能性があります。DMZに置いて社内ネットワークと分離すれば、サーバが侵害されても、それを踏み台にした社内への侵入経路を制限できます。
補足
「踏み台」は、侵害されたサーバが次の攻撃の足場に使われることです。DMZに置く目的は社内への侵入リスクを下げることであり、侵入を無条件に防げるという意味ではありません。
POINT
- DMZは外部ネットワークと社内ネットワークの間に設ける領域です。
- 外部と通信するサーバを社内ネットワークから分離すると、侵害された場合の社内への侵入リスクを下げられます。
- DMZへの配置だけで、添付内容の検査やメールの暗号化は行われません。
- メールアドレスの秘匿は、サーバの配置とは別に考えます。