基本情報技術者 2014年 秋期 午前（科目A） 問40

ファイアウォールとDMZを用いたサーバ配置【午前2 解説】

要点まとめ

• 結論：公開用のWebサーバはDMZに置き、機密データを持つDBサーバは内部ネットワークに置くのが最適です。これはインターネットからの直接アクセスを遮断して多層防御を実現するためです。
• 根拠：問題のファイアウォール設定では外部↔内部の通信を禁止し、外部↔DMZ／DMZ↔内部は特定プロトコルのみ許可されるため、DBを内部に置くことで直接攻撃経路を断てます。
• 差がつくポイント：Web→DBの通信は必要最小限のポート／プロトコルに限定し、DB側で追加の認証・アクセス制御・監査を行う点が実務的かつ試験上の評価につながります。

正解の理由

よくある誤解

• 「DBはDMZでも安全」：表面的にはWebからの通信が限定されても、DBをDMZに置くと外部の脅威に近くなり、攻撃成功時の影響範囲が大きくなります。
• 「Webを外部セグメントに置けば公開は簡単」：外部セグメントはDMZほどの中間検査やログ管理がされない場合が多く、攻撃を受けやすくなります。
• 「単一ファイアウォールでは意味がない」：確かに多重防御が望ましいが、セグメントと細かいポリシーを使えば単一装置でも有効な分離は可能です。

解法ステップ

1. ファイアウォールのルールを整理する：外部↔DMZ、DMZ↔内部は特定プロトコルのみ、外部↔内部は禁止。
2. 公開サービス（HTTP/HTTPS）が必要なサーバは外部からアクセス可能なDMZに配置するのが基本方針。
3. 機密データを保持するDBは外部から直接到達されない内部に配置し、DMZのWebから必要最小限の通信だけ許可する。
4. 各選択肢を当てはめて、外部から直接DBに届く構成や公開不能な構成を除外する。

選択肢別の誤答解説

• ア: WebサーバとDBサーバをDMZに設置する。
  誤り。DBがDMZにあると外部からの攻撃に近くなり、DBの直接的な攻撃リスクや機密漏えいリスクが高まります。DMZは公開サーバ向けの緩衝層であり、機密データ保護には不向きです。
• イ: WebサーバとDBサーバを内部ネットワークに設置する。
  誤り。外部→内部の通信はファイアウォールで許可されないため、インターネットに公開するWebサービスを提供できません。公開の要件を満たせません。
• ウ: WebサーバをDMZに、DBサーバを内部ネットワークに設置する。
  正解。Webは公開しつつDBは内部で保護し、DMZ→内部は必要なプロトコルのみ許可することで機密性を確保できます。
• エ: Webサーバを外部セグメントに、DBサーバをDMZに設置する。
  誤り。Webを外部セグメントに置くとDMZ内の検査やログ保護が効かず、またDBがDMZにあるため機密保護が弱まります。さらに外部→内部が禁止されているので、公開方針としても不適切です。

補足コラム

FAQ