情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問08

VDIによるブラウザ隔離【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「何を分離しているか」を確認する：社内PCとブラウザ実行環境（仮想デスクトップ）が分離されているか。
2. 分離の方向性を考える：外部→内部への経路が断たれると、外部から直接内部PCへマルウェアを置くのが難しくなる。
3. 各選択肢が「どの経路・どの攻撃を防ぐか」を、分離構成に照らして判断する。
4. VDIは「ブラウザ実行場所の移動＝ダウンロード経路の遮断」に直結するため、内部PCへの直接ダウンロード防止が妥当と判断する。

選択肢別の誤答解説

• ア（正答）

  VDIをDMZで動かすと、ブラウザは仮想デスクトップ内で実行されます。したがって、Webサイトから社内PCに直接マルウェアを落とす経路がなくなり、内部PCへのダウンロードが防げます。ただし、仮想デスクトップ自体は感染する可能性があり、その管理（スナップショット復元や隔離ポリシー）が重要です。

• イ（誤り）

  MITB攻撃（Man-in-the-Browser：ブラウザ内で動き、表示や送信データを改ざんするタイプのマルウェア）は、ブラウザ自体やそのセッション内で発生します。ブラウザをVDIへ移動しても、仮想デスクトップ上のブラウザがMITBに感染すれば送信データの改ざんは起こり得ます。したがって「MITBによる送信データ改ざんを防ぐ」とまでは言えません。

• ウ（誤り）

  「OSがボットに感染しなくなる」とするのは過剰な期待です。VDIにより内部ネットワークPCの直接感染リスクは下がりますが、仮想デスクトップのOSやハイパーバイザ（仮想化基盤）は依然として攻撃対象です。仮想環境が防御されていなければ、ボット感染→C&C（Command and Control：遠隔操作用の制御サーバ）による制御は起こり得ます。

• エ（誤り）

  「内部PCにマルウェアが侵入したとしても、他のPCへ感染するのを防ぐ」は、VDIによるブラウザ分離だけでは保証されません。内部端末間の端末管理やネットワークセグメンテーション、ファイル共有の制御など別途対策が必要です。VDIは外部起点の感染を減らしますが、既に内部に侵入したマルウェアの横移動（ラテラルムーブメント）防止とは別問題です。

よくある誤解

1. VDIは「万能の対策」ではない
   • VDIは「ブラウザを物理PCから分離する」ことで特定のリスクを下げますが、仮想デスクトップ自体やVDI基盤の保護、運用ルールは別途必要です。
2. 仮想環境が安全なら内部は完全に安全になると考える誤り
   • 管理の甘い仮想環境は突破されます。例えばファイル転送や共有設定で内部に戻すパスが残っていれば意味が薄れます。

補足コラム

• 仮想デスクトップは非永続（使い捨て）にして、セッション終了でリセットする。
• クリップボードや共有フォルダ、プリンタなどの入出力を最小限に制限する。
• 仮想デスクトップはDMZ内で厳しくネットワーク制御し、内部ネットワークへのアクセスは必要最小限にする。
  こうした運用で、外部Webから内部資産への直接侵入リスクをさらに下げられます。

FAQ