平成22年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6

✓ これが正解アDB サーバの受信ポート番号を固定し，Web サーバから DB サーバの受信ポート番号への通信だけをファイアウォールで通す。

解説

Web サーバから DB サーバの受信ポートへの通信だけを通します。

DB サーバを守るには、DMZ から内部ネットワークへ入れる通信をできるだけ狭く絞ることが大切です。業務に必要なのは、Web サーバが DB サーバにデータを渡す通信だけです。そこで、DB サーバが受け付けるポート番号を固定し、送信元を Web サーバ、あて先を DB サーバのそのポートに限った通信だけをファイアウォールで通します。こうすれば、DMZ 上のほかの機器や、DB サーバのほかのポートへの通信はすべて遮断されます。見分けの軸は、送信元とあて先の両方で最小限に絞れているかどうかです。

ほかの選択肢はなぜ違うのか

• イDMZ から DB サーバへの通信だけを…：DMZ からの通信をまとめて通すと、Web サーバ以外に DMZ に置かれた DNS サーバからの通信も通ります。DB サーバのどのポートあても許してしまうので、DMZ 上の機器が乗っ取られた場合に入り口が広く残ります。
• ウWeb サーバの発信ポート番号は任意のポ…：一度終わった通信と同じ発信ポート番号を拒否しても、新しい番号を使えば攻撃の通信は通ってしまいます。この設定は侵入を狙う通信とそうでない通信を区別する基準になっておらず、不正侵入の対策として効き目がありません。
• エWeb サーバの発信ポート番号を固定し，…：発信ポート番号は、送る側の機器が自由に決められる値です。送信元のポートだけで絞っても、どの機器から送られたか、DB サーバのどの番号へ向かうかは制限されません。攻撃者が同じ番号を使えば通過できてしまいます。