VDIでWeb閲覧を分離すると何が防げるのか
情報セキュリティマネジメント試験 令和元年度秋期 午前 問8 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
A社では現在，インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し，DMZ上に用意したVDI(Virtual Desktop Infrastructure)サーバにPCからログインし，インターネット上のWebサイトをVDIサーバ上の仮想デスクトップのWebブラウザから参照するように変更する。この変更によって期待できるセキュリティ上の効果はどれか。
- ア
インターネット上のWebサイトから，内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
- イ
インターネット上のWebサイト利用時に，MITB攻撃による送信データの改ざんを防ぐ。
- ウ
内部ネットワークのPC及び仮想デスクトップのOSがボットに感染しなくなり，C&Cサーバにコントロールされることを防ぐ。
- エ
内部ネットワークのPCにマルウェアが侵入したとしても，他のPCに感染するのを防ぐ。
会話形式の解説
講師今回は、Webを見るブラウザを内部のPCからDMZ上のVDIサーバに移したとき、どんなセキュリティ効果があるかを選ぶ問題です。まず、変更後にブラウザがどこで動くかに注目しましょう。
受験者DMZとVDIという用語があいまいです。それぞれ何を指しているのでしょうか。
講師DMZは、内部ネットワークと外部の間に置く緩衝区域です。VDIは、サーバ上に利用者ごとの仮想デスクトップを用意する仕組みです。処理はサーバ側で行い、利用者のPCには画面情報だけが送られます。
受験者そうすると、Webサイトと実際に通信するのは、DMZにある仮想デスクトップのほうですね。
講師そのとおりです。内部PCはWebサイトと直接通信しなくなります。ファイルをダウンロードしても、保存されるのは内部PCではなくVDIサーバ側です。
受験者それなら、内部PCへのマルウェアのダウンロードを防ぐ、という選択肢が当てはまりそうです。
講師はい、それが正解です。ほかの選択肢も確かめておきましょう。MITB攻撃による送信データの改ざんを防ぐ、という選択肢はどうでしょうか。
受験者私はMITB攻撃をよく覚えていません。ブラウザを切り離せば防げるように思えてしまいます。
講師MITB攻撃は、ブラウザに入り込んだマルウェアが通信内容を盗み見たり書き換えたりする攻撃です。VDIはブラウザの実行場所を移すだけです。仮想デスクトップ上のブラウザが感染すれば、改ざんは起こり得ます。
受験者場所を移しても、ブラウザが感染する可能性は残るわけですね。MITB攻撃には別の対策が必要なのでしょうか。
講師はい。MITB攻撃の対策には、取引内容に署名して改ざんを検知するトランザクション署名などが有効です。VDIはそうした仕組みを持ちません。
受験者PCも仮想デスクトップもボットに感染しなくなる、という選択肢も、同じ理由で誤りになりますか。
講師そうです。Webを閲覧している仮想デスクトップのOSはボットに感染し得ます。ボットに指令を出すC&Cサーバに操られるおそれも残るので、「感染しなくなる」とは言えません。
受験者残りは、内部PCに侵入したマルウェアが他のPCへ広がるのを防ぐ、という選択肢ですね。
講師VDIで減るのは、Web閲覧を通じて内部PCにマルウェアが入る経路です。すでに内部に入ったマルウェアの広がりは止められません。広がりを防ぐには、ネットワークの分割、端末管理、ファイル共有の制御が別に必要です。
受験者VDIで防げるのは、内部PCがWebから直接ファイルを受け取ることだけで、万能の対策ではないと理解しました。
講師そのとおりです。ただし、仮想デスクトップから内部PCへのファイル転送や共有を許すと、そこがマルウェアの戻り道になり得ます。効果を保つには、こうした経路の制限も合わせて考えます。
まとめ
DMZ上のVDIサーバでWebを閲覧するようにすると、Webサイトと通信するのは仮想デスクトップになります。内部PCには画面情報だけが送られるので、内部PCへのマルウェアのダウンロードを防げます。ただし、仮想デスクトップ自体はマルウェアやボットに感染し得るため、MITB攻撃による改ざんは防げません。すでに内部に入ったマルウェアの広がりも、VDIでは止められません。仮想デスクトップから内部PCへのファイル転送の経路を制限しておくことも大切です。
解答・解説
正解はアです
この問題のテーマ
Webを見るためのブラウザを、内部PCからDMZ（内部ネットワークと外部の間に置く緩衝区域）上のVDIサーバに移したとき、どんな効果があるかを問う問題です。
解き方の考え方
最初に、変更後にWebブラウザがどこで動き、Webサイトと直接通信するのはどの機器かを確かめます。次に、各選択肢が防ぐと言っている脅威が、ブラウザの実行場所を移すことで防げるものかを照らし合わせます。最後に、「感染しなくなる」のように言い切っている肢は、仮想デスクトップ自体も感染し得ることと照らして判断します。
選択肢ごとの解説
- ○ア インターネット上のWebサイトから，内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。アは、内部PCへのマルウェアのダウンロードを防げると述べています。VDI（サーバ上に利用者ごとの仮想デスクトップを用意する仕組み）では、内部PCには画面情報だけが送られます。そのため、Webサイトと通信してファイルを受け取るのはDMZ上の仮想デスクトップになり、内部PCは直接通信しません。したがって、アが正解です。
- ×イ インターネット上のWebサイト利用時に，MITB攻撃による送信データの改ざんを防ぐ。イは、MITB攻撃（ブラウザに入り込んだマルウェアが通信内容を盗み見たり書き換えたりする攻撃）を防げると述べています。VDIはブラウザの実行場所を移すだけで、送信データの改ざんを防ぐ仕組みは持ちません。仮想デスクトップ上のブラウザがMITBのマルウェアに感染すれば、改ざんは起こり得ます。したがって、イは誤りです。
- ×ウ 内部ネットワークのPC及び仮想デスクトップのOSがボットに感染しなくなり，C&Cサーバにコントロールされることを防ぐ。ウは、内部PCも仮想デスクトップもボットに感染しなくなると述べています。しかし、Webサイトを閲覧している仮想デスクトップのOSは、ボットに感染することがあります。感染すれば、C&Cサーバ（ボットに指令を出すサーバ）から操られるおそれも残ります。そのため「感染しなくなる」とは言えず、ウは誤りです。
- ×エ 内部ネットワークのPCにマルウェアが侵入したとしても，他のPCに感染するのを防ぐ。エは、内部PCに侵入したマルウェアが他のPCへ広がるのを防げると述べています。VDIへの変更で減るのは、Web閲覧を通じて内部PCへマルウェアが入る経路です。一方、すでに内部に入ったマルウェアがPC間で広がることを止める仕組みではありません。したがって、エは誤りです。
補足
仮想デスクトップから内部PCへのファイル転送や共有の設定を許すと、それがマルウェアの戻り道になり得ます。そのため、効果を保つにはこうした経路の制限もあわせて考えます。
POINT
- VDIでは処理はサーバ側で行われ、利用者の端末には画面情報だけが転送されます。
- Web閲覧をDMZ上の仮想デスクトップで行うと、内部PCはWebサイトと直接通信しなくなります。
- その結果、Webからのダウンロード先は内部PCではなくVDIサーバ側になります。
- 仮想デスクトップ自体はマルウェアやボットに感染し得るので、VDIは万能の対策ではありません。
- MITB攻撃による改ざんや、内部での感染拡大は、ブラウザの実行場所を移しても防げません。