平成28年度 III-35

解説

この問題で問われていること

公開サーバと機密データのサーバの、ネットワーク上の配置(DMZと内部ネットワーク)を判断する問題。

解き方

① 公開するWebサーバはDMZ、守りたいDBサーバは内部ネットワークに置く
② 外部と内部は直接通信できない前提なので、外部 → DMZのWeb → 内部のDB の順にしか届かない。これが②
③ ②

正解が正しい理由

インターネットに公開するWebサーバは、外部からのアクセスを受けるため、DMZ(外部と内部の間の緩衝地帯)に設置する。個人情報を扱うDBサーバは、外部から直接アクセスされないように、外部セグメントと直接通信ができない内部ネットワークに設置する。このファイアウォールでは、外部と内部との間の直接の通信は許可されず、DMZと内部の間も特定のプロトコルのみを許可するので、Webサーバ経由で必要な通信だけがDBサーバに到達する。したがって②が最も適切である。

各選択肢について

• ① WebサーバとDBサーバを、ともに内部ネットワークに設置すると、インターネットからのアクセスが内部に到達する必要があり、外部と内部の通信を許可しない前提と矛盾する。
• ② WebサーバをDMZ、DBサーバを内部ネットワークに設置する。これが正答。
• ③ Webサーバを外部セグメントに置くと、ファイアウォールの保護を受けられず、DBサーバをDMZに置くと、Webサーバから直接到達できて危険。
• ④ Webサーバを外部セグメントに置くと、保護されない。また、外部と内部の間の通信は許可されないため、WebサーバからDBサーバにアクセスできない。
• ⑤ DBサーバをDMZに置くと、外部から近く、保護が弱くなる。Webサーバを内部ネットワークに置くと、外部からアクセスできない。

覚えるべきポイント

DMZには、公開サーバ(Web、メール、DNSなど)を置き、重要なデータ(DB、社内システム)は、内部ネットワークに置いて、多層で保護する。