情報セキュリティマネジメント 2017年 春期 午前（科目A） 問17

DMZと内部セグメントの分離【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「守りたいもの」を明確にする：重要なデータがあるのはデータベース。これをインターネットから守る。
2. 問題文の制約を確認する：外部↔内部の直接通信は禁止。外部↔DMZ、DMZ↔内部は特定プロトコルだけ許可できる。
3. 最小露出の原則（必要なものだけ公開する）を適用する：公開が必要なのはWebサーバだけ。DBは公開不要。
4. 各選択肢を当てはめる：WebのみDMZ、DBを内部に置く構成が条件と整合するかを確認する。
5. 結論：条件を満たし、DBを保護できる構成が選択肢ウ。

選択肢別の誤答解説

• ア: WebサーバとデータベースサーバをDMZに設置する。
  • なぜ誤りか：DMZは外部に近く、攻撃者に露出しやすい領域です。DBを置くと攻撃成功時に重要データが直接さらされる危険が高まります。ファイアウォールの制約を活かせていません。
• イ: Webサーバとデータベースサーバを内部セグメントに設置する。
  • なぜ誤りか：外部からWebにアクセスできなくなります（問題のファイアウォール設定では外部⇄内部の直接通信は禁止）。外部公開が必要なサービスを内部に置くには別途プロキシ等を用意する必要があり、設問条件とは合いません。
• ウ: WebサーバをDMZに、データベースサーバを内部セグメントに設置する。
  • なぜ正しいか：公開が必要なWebだけをDMZで受け、DBは内部に隔離。DMZ→内部はファイアウォールで特定プロトコルのみ許可し、DBへの接続をWebサーバからの必要最小限に限定できます。
• エ: Webサーバを外部セグメントに、データベースサーバをDMZに設置する。
  • なぜ誤りか：外部セグメントに直接Webを置くとさらに露出が大きくなります。DBをDMZに置くことでDBも攻撃にさらされやすくなり、保護が不十分です。

よくある誤解

• 「DMZに置けば安全」：DMZは公開サーバを置くための領域であって、安全領域（内部）ではありません。公開される分、監視や制限を強化する必要があります。
• 「両方内部に置けば一番安全」：確かにDBの安全性は高まりますが、Webサービスを公開するには外部からの接続を許可する別の仕組み（公開用プロキシやロードバランサなど）が必要になり、設問のファイアウォール条件では不適合です。
• 「ファイアウォールで全て防げる」：ファイアウォールは重要ですが、脆弱なWebアプリや設定ミスがあるとWeb経由で内部に侵入される可能性があります。多層防御（Defense in Depth）が重要です。

補足コラム

• WebサーバはDMZに設置し、HTTP/HTTPSのみを受け付ける。管理者のSSHやRDPアクセスは管理用ネットワーク（管理セグメント）や踏み台（Bastion）経由に限定します。
• DBは内部に置き、ファイアウォールでWebサーバのIPからのDB接続（例：ポート3306や1433など）だけを許可します。さらにDBへの管理接続はVPNや管理PCからのみとします。
• ログ収集や侵入検知（IDS/IPS）をDMZ・内部両方で行い、異常を早期に検出します。これが「公開と保護の両立」の現実的な運用です。

FAQ