ITパスポート 2011年 春期 問55

企業のネットワークにおけるDMZの設置目的として、最も適切なものはどれか。【ITパスポート 解説】

正解の理由

• Webサーバ（Webページを提供するコンピュータ）やメールサーバ（電子メールの送受信を行うコンピュータ）は外部からアクセスされます。これらを直接内部ネットワークに置くと、侵入時に内部へ被害が広がりやすくなります。DMZに配置することで、そのリスクを下げます。

解法ステップ

1. 「DMZ」が何を指すか確認する。→ 外部と内部の中間に置く公開サーバ用の領域である。
2. 各選択肢が何の技術／目的を説明しているか判別する。
   • ア：公開サーバを社内から隔離 → DMZの定義と一致
   • イ：グローバルIPとプライベートIPを変換 → NAT（Network Address Translation）の説明
   • ウ：通信経路上のウイルス除去 → ウイルス対策やゲートウェイ型のスキャン装置の役割
   • エ：通信経路を暗号化して仮想専用線を作る → VPN（Virtual Private Network）の説明
3. DMZの定義に一致する選択肢を選ぶ。→ ア

選択肢別の誤答解説

• ア（正解）
  外部に公開するサーバを社内ネットワークから隔離する、という説明はDMZの目的そのものです。DMZにおくことで、公開サーバが攻撃を受けても内部ネットワークへの直接の侵入を防ぎやすくなります。
• イ（誤り）
  「グローバルIPアドレスをプライベートIPアドレスに変換する」はNAT（Network Address Translation：ネットワークアドレス変換）の役割です。NATはIPアドレスの変換を行う機能であり、DMZの設置目的とは異なります。
• ウ（誤り）
  「通信経路上にあるウイルスを除去する」はウイルス対策ソフトやゲートウェイ型アンチウイルスの仕事です。DMZはネットワークのセグメント（区画）を意味するもので、ウイルスの除去機能自体を指しません。
• エ（誤り）
  「通信経路を暗号化して仮想的に専用回線を作る」はVPN（Virtual Private Network：仮想私設網）の説明です。VPNは暗号化による安全な通信路を作る技術で、DMZの設置目的ではありません。

よくある誤解

1. 「DMZはファイアウォールと同じもの」
   → DMZはネットワークの区画（公開領域）であり、ファイアウォール（外部と内部の通信を制御する装置）はその区画を守るために使います。役割は異なります。
2. 「DMZに置けば内部は完全に安全になる」
   → DMZは防御層の一つです。公開サーバが侵害されるリスクを下げますが、内部ネットワークも別途強化（ファイアウォール設定、アクセス制御、パッチ適用など）が必要です。
3. 「DMZは必ず別の物理機器で作らないといけない」
   → 必ずしも物理的に別の機器が必要なわけではありません。仮想化やVLAN（仮想LAN）で論理的に分ける方法も一般的です。ただし設計と設定を誤ると隔離効果が低くなります。

補足コラム

• DMZの一般的な配置例
  インターネット ←→ 外部ファイアウォール ←→ DMZ（公開サーバ群） ←→ 内部ファイアウォール ←→ 社内ネットワーク
  このようにファイアウォールを二重に置く構成もあります。重要なのは、公開領域と内部領域でアクセスルールを厳格に分けることです。
• 実務での注意点
  • DMZ内のサーバにも最新のセキュリティパッチを適用する。
  • 管理用アクセスは別の経路（管理専用ネットワークや踏み台サーバ＝bastion host）に限定する。
  • ログ収集や侵入検知（IDS/IPS）を導入し、異常を早く検知する体制を作る。

FAQ