ITパスポート 2018年 春期 問68

企業のネットワークにおいて、DMZ（非武装地帯）ではなく、企業内LANに設置すべきサーバはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. サーバの役割を確認する
   • 外部（インターネット）から直接アクセスされるか？
2. 外部公開が必要ならDMZ、不要（内部業務専用）なら企業内LANに分類する
3. 機密性が高ければ、さらに厳しいアクセス制御（VPN、アクセス権、暗号化）を行う
4. 必要ならDMZに「公開用のフロント」を置き、実際の機密データは内部のサーバで管理する（例：リバースプロキシ＋内部ファイルサーバ）

選択肢別の誤答解説

• ア: 社外から電子メールを受け取るメールサーバ
  • メールサーバ（電子メールを送受信するサーバ）は外部のメールと通信します。外部から接続を受ける入口部分や受信処理はDMZに置くことが一般的です（ただし内部にメールボックスを置く設計や、DMZに受信ゲートウェイを置いて内部に転送する構成もあります）。よって単純に内LANに置くべきではありません。
• イ: 社外に公開するサーバのIPアドレスを登録したDNSサーバ
  • DNSサーバ（Domain Name System：ドメイン名をIPアドレスに変換する仕組み）で外部に公開するレコードを管理するものは、外部から問い合わせを受けるためDMZに置くか、外部向けのDNSは専門のプロバイダに委託するのが普通です。内部専用のDNSは内LANに置きますが、問題文は「社外に公開するサーバのIPアドレスを登録した」ためDMZ向けです。
• ウ: 社外秘の機密情報を格納するファイルサーバ
  • 機密情報は外部と直接つながらない社内ネットワークに置くべきです。アクセス制御や監査を内部で厳密に行えます。
• エ: 社外向け情報を公開するWebサーバ
  • 公開Webサーバは外部ユーザがアクセスするのでDMZに置くのが一般的です。内部に置く場合はファイアウォールで公開ポートを開けることになりますが、攻撃リスクが高まるため避けられます。

よくある誤解

1. 「DMZはより安全だから重要なデータを置く」
   • 誤りです。DMZは「外部と接触するための領域」であり、外部からのアクセスに対して開かれている分、内部ネットワークよりリスクが高くなりやすいです。重要データは内部に置き、必要ならDMZのフロントで処理するのが正解です。
2. 「暗号化すればどこに置いても同じ」
   • データ暗号化は重要な対策ですが、暗号化だけでネットワークの分離やアクセス制御の代わりにはなりません。侵害された場合の被害範囲を小さくするために配置場所も重要です。
3. 「公開コンテンツはすべてDMZ、内部はすべて非公開」ではない
   • 実務では公開用サーバのフロント部分をDMZに置き、実データや管理機能は内部に残す「分割設計」（例：リバースプロキシ + 内部アプリサーバ）を採ることが多いです。

補足コラム

• ネットワーク分離のイメージ：建物で例えると、DMZは玄関ホール（外部の人が入れるが監視がある）、社内LANは従業員だけが入れるオフィスの奥です。重要書類（機密ファイル）はオフィスの金庫にしまうべきで、玄関ホールには置きません。
• 実務の工夫：公開サーバ（Web・メール）の受け口はDMZに置き、実際のデータベースやファイルは内部サーバに置く設計が多いです。こうすると公開部分が攻撃されても内部の機密データへの直接侵入を防ぎやすくなります。
• 用語メモ（初出で補足）
  • DMZ（DeMilitarized Zone：外部と内部の間に設ける公開領域）
  • LAN（Local Area Network：狭い範囲のネットワーク、ここでは社内ネットワーク）
  • サーバ（サービスを提供するコンピュータ）
  • メールサーバ（電子メールを送受信・保存するサーバ）
  • DNSサーバ（Domain Name System：ドメイン名とIPアドレスを対応づける仕組みを提供するサーバ）
  • Webサーバ（HTTPでウェブページを公開するサーバ）
  • ファイルサーバ（ファイルの保存と共有を提供するサーバ）

FAQ