基本情報技術者 2017年 春期 午前（科目A） 問43
問題文
1台のファイアウォールによって、外部セグメント、DMZ、内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて、Webサーバと、重要なデータをもつデータベースサーバから成るシステムを使って、利用者向けのサービスをインターネットに公開する場合、インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち、最も適切なものはどれか。ここで、ファイアウォールでは、外部セグメントとDMZとの間及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し、外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
選択肢
ア：WebサーバとデータベースサーバをDMZに設置する。
イ：Webサーバとデータベースサーバを内部セグメントに設置する。
ウ：WebサーバをDMZに、データベースサーバを内部セグメントに設置する。（正解）
エ：Webサーバを外部セグメントに、データベースサーバをDMZに設置する。
🔒 解説は解答すると表示されます
DMZと内部セグメントの配置【午前解説】
正解の理由
正解: ウ
WebサーバはインターネットからのHTTP/HTTPSを受ける公開部分であるため、攻撃を受けても内部資産に直接触れられないDMZに置くのが適切です。一方で、重要なデータを保持するデータベースサーバは攻撃の標的になった際の被害を最小化するため、より保護された内部セグメントに設置します。問題のファイアウォール設定（外部⇔内部の直接通信禁止、DMZ⇔内部は特定プロトコルのみ許可）は、まさにWebはDMZで受け、DBは内部からのみ接続させる構成を前提としており、これが最も安全で適切な選択です。
WebサーバはインターネットからのHTTP/HTTPSを受ける公開部分であるため、攻撃を受けても内部資産に直接触れられないDMZに置くのが適切です。一方で、重要なデータを保持するデータベースサーバは攻撃の標的になった際の被害を最小化するため、より保護された内部セグメントに設置します。問題のファイアウォール設定（外部⇔内部の直接通信禁止、DMZ⇔内部は特定プロトコルのみ許可）は、まさにWebはDMZで受け、DBは内部からのみ接続させる構成を前提としており、これが最も安全で適切な選択です。
解法ステップ
- 問題文のネットワーク構成とファイアウォールの通信制御条件を確認する。
- 公開が必要なサーバ（Web）は外部に近い保護層（DMZ）へ、重要データを持つサーバ（DB）は内部へ配置する必要があると判断する。
- 選択肢と照合し、「Web＝DMZ、DB＝内部」に該当する選択肢を選ぶ（ウ）。
- 補足でDMZ⇔内部の通信は最小プロトコルとアクセス制御で限定する旨を覚えておく。
選択肢別の誤答解説
- ア: WebサーバとデータベースサーバをDMZに設置する。→誤り。DBをDMZに置くと重要データが公開に近くなり、被害拡大のリスクが高まります。
- イ: Webサーバとデータベースサーバを内部セグメントに設置する。→誤り。外部からのアクセスを受けるWebサーバを内部に置くとファイアウォール設定上公開できないか、不適切に通信を許可する必要が生じセキュリティ低下を招きます。
- ウ: WebサーバをDMZに、データベースサーバを内部セグメントに設置する。→正解。公開と保護を分離し、DMZが攻撃を受けても内部の重要データを守れます。
- エ: Webサーバを外部セグメントに、データベースサーバをDMZに設置する。→誤り。Webを外部に置くのは最も危険で、DBをDMZに置くことで重要データの安全性が損なわれます。
よくある誤解
- 「データベースをDMZに置けば運用や接続が楽になる」→利便性は上がるが重要データが公開ネットワークに近づき被害リスクが著しく増加します。
- 「両方を内部に置けば安全」→外部から直接通信できないため公開不可、正しくは公開サービスはDMZに分離し内部は保護専用にするのが正攻法です。
- 「外部セグメントに置けば簡単に公開できる」→外部に直接置くと侵害リスクが最も高く、公開サーバでもDMZのような緩衝層が必要です。
補足コラム
- 実運用ではDMZ上のWebサーバに加え、リバースプロキシやロードバランサ、WAFを配置してアプリ層の防御を強化します。
- DMZ⇔内部の通信はIP、ポート、プロトコルを限定し、DBへの接続はアプリサーバ（Web）からのみに絞ることが重要です。
- 多層防御（defense in depth）として、DBにはIP制限・認証強化・暗号化を導入し、侵害が起きてもデータの漏洩を抑制します。
FAQ
Q1: なぜDBをDMZに置くだけではダメですか？
A1: DMZは公開サービスの受け皿であり、外部との境界に近いため攻撃の影響を受けやすく、重要データを保護するには不十分です。
A1: DMZは公開サービスの受け皿であり、外部との境界に近いため攻撃の影響を受けやすく、重要データを保護するには不十分です。
Q2: Webを内部に置く運用は絶対にダメですか？
A2: 理論的には可能でも、外部からのアクセスを許可する際に内部セグメントのセキュリティ境界を壊すことになり推奨されません。公開はDMZで行うべきです。
A2: 理論的には可能でも、外部からのアクセスを許可する際に内部セグメントのセキュリティ境界を壊すことになり推奨されません。公開はDMZで行うべきです。
Q3: DMZと内部の間の通信はどれだけ限定すべきですか？
A3: 原則として必要最小限（例：Webサーバ→DBサーバの特定IPとポートのみ）、ログ監視やIDS/IPSも併用して制御します。
A3: 原則として必要最小限（例：Webサーバ→DBサーバの特定IPとポートのみ）、ログ監視やIDS/IPSも併用して制御します。
関連キーワード: ファイアウォール、DMZ、内部セグメント、外部セグメント、ネットワークセグメンテーション、最小権限、WAF、リバースプロキシ、多層防御、データベースサーバ、Webサーバ、アクセス制御、ポート制限
\ せっかくなら /
基本情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！