DMZとは何か、検疫ネットワーク・IPSとの違い
情報セキュリティマネジメント試験 令和8年度 問3 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
DMZはどれか。
- ア
インターネットと内部ネットワークとの間に設置されるネットワーク
- イ
外部から持ち込んだPCがマルウェアなどに感染していないかどうかを社内ネットワークに接続する前にチェックするための，社内ネットワークとは隔離された専用のネットワーク
- ウ
通信内容を監視し，あらかじめ設定された不正な通信パターンと一致した場合に通信を遮断するネットワーク
- エ
不正通信を検知する際に利用するためにセキュリティベンダーから入手するシグネチャ情報
会話形式の解説
講師今回はDMZの定義を問う問題です。DMZは非武装地帯とも呼ばれます。選択肢には検疫ネットワーク、IPS、シグネチャといった似た分野の用語の説明が並んでいます。それぞれの選択肢が何を説明しているかを見分けるのがポイントです。
受験者インターネットとの間の選択肢、持ち込みPCの選択肢、通信を遮断する選択肢の三つが、どれも「ネットワーク」で終わっているので迷います。どれもセキュリティ対策に関係していそうに見えます。
講師まず、DMZはネットワーク上の「区画」、つまり領域を指す言葉だと押さえましょう。そのうえで、各選択肢が「区画」「装置や仕組みの機能」「データ」のどれを説明しているかを分けて考えます。
受験者それなら、ベンダーから入手するシグネチャ情報の選択肢は、そもそもネットワークではなく情報なので外せますね。
講師そのとおりです。シグネチャはパターンファイルとも呼ばれ、IDSやIPS、マルウェア対策ソフトが照合に使うデータです。ネットワークの区画ではありません。
受験者通信内容を監視して不正なパターンと一致したら遮断する、という選択肢はどうでしょうか。最後に「ネットワーク」と書いてあるので、区画の説明にも読めてしまいます。
講師この選択肢は、「ネットワーク」という語に引きずられやすいところが紛らわしい点です。中身は、監視して遮断するという働きの説明で、IPS（侵入防止システム）の機能に当たります。DMZ自体は通信を監視したり遮断したりする仕組みではなく、区画の名前です。
受験者持ち込みPCを社内ネットワークにつなぐ前にチェックする隔離されたネットワークは、区画の説明に見えます。これはDMZとは違うのですか。
講師それは検疫ネットワークの説明です。マルウェア感染の有無やパッチの適用状況を調べ、接続を許可するかどうかを判断するための隔離網です。外部に公開するサーバを置くDMZとは、目的が違います。
受験者残るのは、インターネットと内部ネットワークの間に設置されるネットワークですね。DMZには具体的に何を置くのですか。
講師Webサーバ、メールサーバ、DNSサーバなど、外部に公開するサーバを置きます。外部とDMZ、DMZと内部の間の通信はファイアウォールで制御します。そのため、公開サーバが侵害されても、内部ネットワークまで被害が広がるのを抑えられます。
受験者整理すると、DMZは外部と内部の中間に置く公開サーバ用の区画で、検疫ネットワークは接続前に検査するための隔離網、IPSは不正な通信を遮断する仕組み、シグネチャは照合用のデータということですね。
講師よく整理できています。用語問題では、選択肢の末尾の言葉よりも、何をするものかという中身を見ることが大切です。区画なのか、仕組みなのか、データなのかを分けて考えると、誤りの選択肢を素早く外せます。
まとめ
DMZ（非武装地帯）は、インターネットと内部ネットワークの中間に設けるネットワーク区画です。DMZにはWebサーバ、メールサーバ、DNSサーバなど外部に公開するサーバを置きます。外部・DMZ・内部の間の通信はファイアウォールで制御するので、公開サーバが侵害されても内部ネットワークへの被害の広がりを抑えられます。持ち込みPCを接続前に検査する隔離網は検疫ネットワーク、不正な通信を遮断する仕組みはIPS、照合用の検知データはシグネチャです。選択肢が「区画」「仕組み」「データ」のどれを説明しているかを見分けると、正解を選びやすくなります。
解答・解説
正解はアです
この問題のテーマ
DMZ（非武装地帯）の定義を問う問題です。検疫ネットワーク、IPS、シグネチャといったよく似たセキュリティ用語と区別できるかどうかが試されます。
解き方の考え方
まず、DMZが「ネットワーク上の区画（領域）」を表す言葉であることを押さえます。そのうえで、各選択肢が「区画」「装置の機能」「データ」のどれを説明しているかを見分けます。エはネットワークではなくデータの説明なので、すぐに外せます。残るネットワークの説明のうち、何を目的にどこへ設ける区画かを比べると、インターネットと内部ネットワークの中間に置く区画を述べたアが選べます。
選択肢ごとの解説
- ○ア インターネットと内部ネットワークとの間に設置されるネットワークインターネットと内部ネットワークの間に設けるネットワークという説明は、DMZの定義そのものです。DMZにはWebサーバ、メールサーバ、DNSサーバなど外部に公開するサーバを置きます。ファイアウォールで外部・DMZ・内部の間の通信を制御するので、公開サーバが侵害されても内部ネットワークまで被害が広がるのを抑えられます。
- ×イ 外部から持ち込んだPCがマルウェアなどに感染していないかどうかを社内ネットワークに接続する前にチェックするための，社内ネットワークとは隔離された専用のネットワーク持ち込んだPCを社内ネットワークにつなぐ前に検査する隔離網は、検疫ネットワークの説明です。検疫ネットワークでは、マルウェア感染の有無やパッチの適用状況を調べ、接続を許可するかどうかを判断します。外部に公開するサーバを置くためのDMZとは、目的が異なります。
- ×ウ 通信内容を監視し，あらかじめ設定された不正な通信パターンと一致した場合に通信を遮断するネットワーク通信を監視し、不正なパターンと一致したら遮断するという説明は、IPS（侵入防止システム）の機能に当たります。DMZは通信を監視したり遮断したりする仕組みではなく、ネットワーク上の区画を指す言葉です。「ネットワーク」という語に引きずられないよう注意が必要です。
- ×エ 不正通信を検知する際に利用するためにセキュリティベンダーから入手するシグネチャ情報セキュリティベンダーから入手する検知用の情報は、シグネチャ（パターンファイル）の説明です。シグネチャはIDS/IPSやマルウェア対策ソフトが照合に使うデータで、ネットワークではありません。
補足
用語問題では、選択肢が「領域」「装置・仕組み」「データ」のどれを説明しているかを見分けると、誤りを素早く外せます。DMZは領域、IPSは防御の仕組み、シグネチャは照合用のデータです。機密情報を扱う機器は、原則としてDMZではなく内部ネットワークに置くという点もあわせて押さえておくとよいでしょう。
POINT
- DMZは、インターネットと内部ネットワークの中間に設けるネットワーク区画です。
- DMZにはWebサーバ、メールサーバ、DNSサーバなど外部に公開するサーバを置き、ファイアウォールで外部・DMZ・内部の間の通信を制御します。
- 公開サーバをDMZに分けて置くことで、そのサーバが侵害されても内部ネットワークへの被害拡大を抑えられます。
- 持ち込みPCを接続前に検査する隔離網は検疫ネットワーク、不正な通信を遮断する仕組みはIPS、照合用の検知データはシグネチャです。