令和元年度 秋期 午前 問42

✓ これが正解ウWeb サーバを DMZ に，データベースサーバを内部セグメントに設置する。

解説

公開する側を DMZ に置き、守りたい側は内部に置きます。

外向けに公開するものと、守りたいものは、置く場所を分けるのが基本です。外から直接つながる必要があるのは、閲覧を受け付ける側だけです。ですからそちらは、外と内のあいだに設けた DMZ に置きます。重要なものを持つ側は、外の相手と直接やり取りさせたくありません。問題文は、外と内が直接やり取りすることを許していません。ですから内側へ置けば、外から届くには必ず DMZ の側を経ることになります。仮に外向けの側が破られても、そこから内側へは決められた道しか通れません。区画のあいだは、通してよい通信だけを決めて絞ります。両方を DMZ に置くと、重要なものが外に一段近づいてしまいます。両方を内側に置くと、公開のために外と内を直接つなぐ必要が出ます。段を一つはさむ、という考え方がこの設計の要です。

ほかの選択肢はなぜ違うのか

• アWeb サーバとデータベースサーバを D…：重要なものを持つ側まで、外に一段近い場所へ置いています。外向けの側が破られたとき、同じ区画にあるものは狙われやすくなります。区画を分ける意味が薄れてしまいます。区画を分けるのは、破られた後の広がりを止めるためです。
• イWeb サーバとデータベースサーバを内部…：両方を内側へ置くと、公開のために外と内を直接つなぐ必要が出ます。問題文はその通信を許していないので、そもそも成り立ちません。守りは固くなりますが、求められた公開ができません。公開のために穴を開ければ、内側全体が外に接します。
• エWeb サーバを外部セグメントに，データ…：外向けの側を、守りの外に置いてしまっています。重要なものを持つ側も、本来より一段外へ出ることになります。どちらも一段ずつ外へずれた形です。外向けの側が守りの外にあると、直接攻められます。区画は、外・中間・内の三段で考えます。