ホーム > 情報処理安全確保支援士試験 > 2020年 秋期
情報処理安全確保支援士試験 2020年 秋期 午前2 問14
セキュリティ対策として,次の条件の下でデータベース(DB) サーバを DMZ から内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき,ステートフルパケットインスペクション型のファイアウォール(FW)において,必要となるフィルタリングルールの変更のうちの一つはどれか。
〔条件〕
（1）Webアプリケーション（WebAP）サーバを、インターネットに公開する。
（2）WebAPサーバ上のブログラムだけがDBサーバ上のDBに接続でき、ODBC
（OpenDatabaseConnectivity）を使用して特定のポート間で通信する。
（3）SSHを使用して各サーバに接続できるのは、運用管理PCだけである。
（4）フィルタリングルールは、必要な通信だけを許可する設定にする
ア：
イ：（正解）
ウ：
エ：
解説
データベースサーバをDMZから内部ネットワークに移動する際のファイアウォールルール変更【午前2 解説】
要点まとめ
- 結論：DBサーバをDMZから内部ネットワークに移動したため、運用管理PCからDBサーバへのSSH許可ルールは削除が必要です。
- 根拠：DBサーバの位置変更により、旧DBサーバ宛の通信ルールは不要となり、新しい内部ネットワーク側のDBサーバに対する通信ルールを適切に設定します。
- 差がつくポイント：ファイアウォールのステートフル検査では、通信の送信元・宛先・サービス（ポート）を正確に管理し、不要な許可ルールを残さないことが重要です。
正解の理由
イの「運用管理PCから変更前のDBサーバへのSSH許可ルールの削除」は、DBサーバがDMZから内部ネットワークに移動したため、旧DBサーバ宛の通信ルールが不要になるため正解です。
DBサーバの物理的・論理的な配置が変わると、ファイアウォールのフィルタリングルールもそれに合わせて更新しなければなりません。旧DBサーバ宛のSSH許可ルールを残すと、不要な通信経路が許可されてしまい、セキュリティリスクが高まります。
DBサーバの物理的・論理的な配置が変わると、ファイアウォールのフィルタリングルールもそれに合わせて更新しなければなりません。旧DBサーバ宛のSSH許可ルールを残すと、不要な通信経路が許可されてしまい、セキュリティリスクが高まります。
よくある誤解
DBサーバの移動に伴い、すべての通信ルールを追加するだけでよいと考えがちですが、不要になったルールの削除も必須です。これを怠ると、セキュリティホールになる可能性があります。
解法ステップ
- ネットワーク構成の変更点を把握する（DBサーバがDMZから内部ネットワークへ移動）。
- 変更前のファイアウォールルールを確認し、旧DBサーバ宛の通信ルールを特定する。
- 変更後のDBサーバの位置に合わせて、新たに必要な通信ルールを追加する。
- 旧DBサーバ宛の不要な通信ルールを削除する。
- すべての通信が必要最小限に許可されているかを検証する。
選択肢別の誤答解説
- ア：インターネットからWebAPサーバへのHTTP許可ルールは変更不要です。WebAPサーバは引き続きDMZにあり、公開されるためこのルールは残します。
- イ：正解。旧DBサーバ宛のSSH許可ルールは削除が必要です。
- ウ：WebAPサーバから新しいDBサーバへのSSH許可ルール追加は不要です。DB接続はODBCを使用し、SSHは運用管理PCのみが使用します。
- エ：インターネットからWebAPサーバへのODBC許可ルール追加は誤りです。ODBC通信はWebAPサーバからDBサーバ間で行われ、インターネットから直接ODBC通信を許可する必要はありません。
補足コラム
ステートフルパケットインスペクション型ファイアウォールは、通信の状態を追跡し、許可されたセッションの応答パケットのみを通過させます。これにより、不要な通信を遮断しつつ、必要な通信を効率的に許可できます。ネットワーク構成変更時は、送信元・宛先・サービス（ポート番号）を正確に見直すことが重要です。
FAQ
Q: なぜDBサーバを内部ネットワークに移動するのですか？
A: DMZは外部からのアクセスを受けるための領域であり、DBサーバを内部ネットワークに移すことで、より強固なセキュリティを確保できます。
A: DMZは外部からのアクセスを受けるための領域であり、DBサーバを内部ネットワークに移すことで、より強固なセキュリティを確保できます。
Q: SSH通信はどのように制御すべきですか？
A: SSHは運用管理PCからのみ許可し、他の送信元からのSSH通信は遮断することで、不正アクセスを防止します。
A: SSHは運用管理PCからのみ許可し、他の送信元からのSSH通信は遮断することで、不正アクセスを防止します。
Q: ODBC通信はどの範囲で許可すべきですか？
A: WebAPサーバからDBサーバ間の特定ポートでのみ許可し、外部からの直接アクセスは許可しません。
A: WebAPサーバからDBサーバ間の特定ポートでのみ許可し、外部からの直接アクセスは許可しません。
関連キーワード: ファイアウォール, ステートフルパケットインスペクション, DMZ, 内部ネットワーク, ODBC, SSH, ネットワークセキュリティ, アクセス制御ルール