基本情報技術者試験 基本情報技術者試験 平成26年度 秋期 午前 午前 問40: 1台のファイアウォールによって，外部セグメント，DMZ，内部ネットワークの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバ

問題本文

1台のファイアウォールによって，外部セグメント，DMZ，内部ネットワークの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと，重要なデータをもつDBサーバから成るシステムを使って，利用者向けのサービスをインターネットに公開する場合，インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，ファイアウォールでは，外部セグメントとDMZ間及びDMZと内部ネットワーク間の通信は特定のプロトコルだけを許可し，外部セグメントと内部ネットワーク間の通信は許可しないものとする。

選択肢

• ア.WebサーバとDBサーバをDMZに設置する。
• イ.WebサーバとDBサーバを内部ネットワークに設置する。
• ウ.WebサーバをDMZに，DBサーバを内部ネットワークに設置する。
• エ.Webサーバを外部セグメントに，DBサーバをDMZに設置する。

正解

ウ. WebサーバをDMZに，DBサーバを内部ネットワークに設置する。

解説

DMZには外部公開Webサーバを置き、機密データを持つDBサーバは内部ネットに置くのが定石です。インターネットからDBに直接届かず、Web経由の特定プロトコルだけが許可されます。

選択肢ごとの解説

• ア.DBサーバまでDMZに置くと外部からアクセスを受けやすく漏えいリスクが高まります。
• イ.Webを内部に置くとインターネット公開のために外部→内部通信が必要になり原則と矛盾します。
• ウ.Web=DMZ、DB=内部はFW三層構成の標準パターンで重要データを最も保護できます。
• エ.Webを外部セグメントに直置きはFWの保護を受けず危険、DBもDMZでは漏えいしやすいです。