平成26年度 秋期 午前 問40

✓ これが正解ウWeb サーバを DMZ に，DB サーバを内部ネットワークに設置する。

解説

外に見せる側と絶対に見せない側を先に分けます。

設問の断り書きが、三つの区画のあいだで何が通るのかを決めています。外部セグメントと DMZ のあいだ、および DMZ と内部ネットワークのあいだは特定のプロトコルだけが通り、外部セグメントと内部ネットワークのあいだは通しません。ここへ二つの要求を当てはめます。公開するサービスの入口は、インターネットの利用者から届く位置になければなりません。重要なデータを抱える側は、インターネットから直接届かない位置になければなりません。判定の軸は、この二つを同時に満たしているか、という一点です。前者を DMZ へ、後者を最も奥へ置く組合せだけが両方を満たします。仮に入口が乗っ取られても、そこから奥へは限られた通信でしか進めないので、被害を一段で食い止められます。

ほかの選択肢はなぜ違うのか

• アWeb サーバと DB サーバを DMZ…：重要なデータを抱える側まで DMZ へ置くと、公開する側と同じ区画に並ぶことになります。公開側が破られたとき、次の一歩で同じ区画の中に手が届いてしまいます。
• イWeb サーバと DB サーバを内部ネッ…：どちらも最も奥へ置けば、外からの通信が届かないので守り自体は固くなります。しかし利用者向けのサービスが外から見えなくなり、公開するという目的そのものを果たせません。
• エWeb サーバを外部セグメントに，DB …：公開する側をファイアウォールの外側へ置くと、通信の絞り込みを一切受けられなくなります。重要なデータを抱える側も、外から限られた通信で直接届く位置に出てしまいます。