ファイアウォールで実現できることの見分け方
ITパスポート試験 令和4年度 問64 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
a～dのうち、ファイアウォールの設置によって実現できる事項として、適切なものだけを全て挙げたものはどれか。 a 外部に公開するWebサーバやメールサーバを設置するためのDMZの構築 b 外部のネットワークから組織内部のネットワークへの不正アクセスの防止 c サーバルームの入り口に設置することによるアクセスを承認された人だけの入室 d 不特定多数のクライアントからの大量の要求を複数のサーバに動的に振り分けることによるサーバ負荷の分散
- ア
a，b
- イ
a，b，d
- ウ
b，c
- エ
c，d
会話形式の解説
講師まず、通信を制御する話か、人の入室やサーバの負荷を扱う話かに分けて考えましょう。
受験者DMZはサーバを置く場所のことなので、ファイアウォールだけでは関係しないように思えます。
講師DMZは、外部公開用のサーバを内部ネットワークから分離する領域です。ファイアウォールで通信を制御することで、その領域を構築できます。
受験者外部から内部ネットワークへの不正アクセスを防ぐのも、通信の制御に当たりますか。
講師はい。不正な通信を遮断できるので、DMZの構築とともにファイアウォールで実現できる事項です。
受験者サーバルームへの入室制限も「アクセス」を防ぐ話ですが、同じように考えてよいのでしょうか。
講師そこは区別が必要です。人の入室を制限するには、物理的な入退室管理が必要です。
受験者大量の要求を複数のサーバに振り分ける場合は、通信を扱うので迷います。
講師要求の振り分けによる負荷分散は、ロードバランサの役割です。ファイアウォールが担う、通信を通すか遮断するかの制御とは異なります。
受験者すると、該当するのはDMZの構築と不正な通信の遮断だけです。入室制限や負荷分散を含む組合せは選べないので、答えはアですね。
講師そのとおりです。「アクセス」という言葉だけで決めず、ネットワークへの通信か、人の部屋への入室かを確かめましょう。
まとめ
ファイアウォールは、規則に従ってネットワーク間の通信を制御します。そのため、DMZの構築と、外部から内部への不正な通信の遮断が該当し、正解はアです。サーバルームへの入室制限は物理的な入退室管理、サーバへの要求の振り分けはロードバランサの役割です。
解答・解説
正解はアです
この問題のテーマ
ファイアウォールで実現できることを、入室管理や負荷分散と区別して判断する問題です。
解き方の考え方
まずa～dを、それぞれネットワーク間の通信制御、物理的な入室管理、サーバへの要求の振り分けに分けます。ファイアウォールは規則に従って通信を制御するので、DMZの構築に関するaと、不正な通信の遮断に関するbが該当します。したがって、aとbだけを挙げたアを選びます。
選択肢ごとの解説
- ○ア a，baのDMZは、外部公開用のサーバを内部ネットワークから分離する領域です。ファイアウォールの通信制御によってDMZを構築でき、bの外部から内部への不正な通信も遮断できます。
- ×イ a，b，daのDMZ構築とbの不正な通信の遮断は、ファイアウォールで実現できます。しかし、dの大量の要求を複数のサーバへ振り分ける役割はロードバランサが担うため、dを含む組合せは選べません。
- ×ウ b，cbはファイアウォールによる通信制御に当たります。一方、cのサーバルームへの入室制限には物理的な入退室管理が必要なので、bとcを挙げた組合せは適切ではありません。
- ×エ c，dcは人の入室を制限する物理的な管理について述べています。dはサーバの負荷分散について述べており、どちらもファイアウォールの設置によって実現する事項ではありません。
補足
「アクセス」という語だけで判断せず、ネットワークへの通信なのか、人の部屋への入室なのかを見分けましょう。また、通信を通すか遮断するかの制御と、要求をどのサーバへ送るかの振り分けは、別の役割です。
POINT
- ファイアウォールは、規則に従ってネットワーク間の通信を制御します。
- DMZは、外部公開用サーバを内部ネットワークから分離する領域です。
- サーバルームへの入室制限は、物理的な入退室管理で行います。
- 要求を複数のサーバへ振り分ける役割は、ロードバランサが担います。