ITパスポート 2013年 秋期 問79

DMZ（非武装地帯）に関する問題【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す
   • 「論理的に隔離」「外部から不正アクセスを受けたとしても企業内ネットワークには被害が及ばない」
2. キーワードに合う用語を思い出す
   • 「隔離」「境界」「公開サーバ」→ DMZ を連想する。
3. 選択肢を一つずつ照らし合わせて消去法で確認する
   • DNS（Domain Name System：名前解決）→ 用途が違う。
   • DoS（Denial of Service：サービス妨害）→ 攻撃手法の名前。
   • SSL（Secure Sockets Layer：通信の暗号化）→ 暗号化であり、ネットワーク隔離ではない。
4. 最も条件に合致するものを選ぶ
   • DMZ が条件を満たすため正答と判断する。

選択肢別の誤答解説

• ア DMZ（DeMilitarized Zone：非武装地帯）
  • 正解。外部公開用のサーバ群を内部ネットワークと分離して配置する領域です。侵害時の被害拡大を抑える役割があります。
• イ DNS（Domain Name System：ドメイン名とIPアドレスを対応させる仕組み）
  • 誤り。DNS は「www.example.com」をIPアドレスに変換するサービスです。名前解決が目的で、ネットワークの隔離や被害の波及防止の機能は持ちません。
• ウ DoS（Denial of Service：サービス拒否攻撃、サービス妨害）
  • 誤り。DoS は攻撃の種類を指します。ネットワーク領域や防御手段ではありません。むしろ DMZ に置かれた公開サーバが DoS の対象になることがあります。
• エ SSL（Secure Sockets Layer：通信の暗号化技術。現状では後継の TLS が使われることが多い）
  • 誤り。SSL/TLS は通信内容の暗号化と認証により通信の安全性を高めますが、ネットワークを隔離する仕組みではありません。通信の「中身」を守る技術です。

よくある誤解

1. 「DMZがあれば完全に安全になる」
   • 誤解です。DMZは被害の波及を抑える対策であり、公開サーバ自体の防御（脆弱性対策やログ監視など）も必要です。DMZは「被害を小さくする」仕組みです。
2. 「SSLがあればネットワークの侵入を防げる」
   • 誤解です。SSL/TLSは通信の暗号化とサーバ認証を行いますが、サーバ自体の脆弱性や不正アクセス対策（認証・権限制御・隔離）は別途必要です。
3. 「DMZは必ず物理的に別の機器で作る必要がある」
   • 部分的に誤解です。物理的に分ける方法もありますが、ファイアウォールの設定や仮想ネットワークで論理的に分離することも一般的です。

補足コラム

• DMZの典型的な配置例
  • 外部ネットワーク（インターネット） ← ファイアウォール ← DMZ（Webサーバ等） ← ファイアウォール ← 内部ネットワーク
  • 片側に1台のファイアウォールで3つのインターフェース（外部・DMZ・内部）を取る方法や、外側・内側に別々のファイアウォールを置いてDMZを間に置く「二重防御」構成があります。
• DMZに置く代表的なサーバ
  • Webサーバ、メールサーバ、DNS公開サーバ、プロキシサーバなど。内部データベースは原則内部ネットワークに置き、DMZのサーバから必要最小限のアクセスだけ許可するのが基本です。
• クラウド時代のDMZ
  • クラウド環境では「セキュリティグループ」や「仮想ネットワーク」でDMZ的な隔離を実現します。最近は「マイクロセグメンテーション」や「ゼロトラスト（Zero Trust）」といった考え方も注目されています。

FAQ