情報セキュリティマネジメント 平成29年度 春期 午前 問17

✓ これが正解ウ WebサーバをDMZに，データベースサーバを内部セグメントに設置する。

解説

公開が必要なWebサーバはDMZ、重要なデータは内部に置きます。

ファイアウォールで三つに分けたネットワークでは、外部と直接やり取りしてよい場所と、外から直接は触らせない場所を分けて考えます。利用者向けのサービスをインターネットに公開する以上、Webサーバは外部からの接続を受けなければならないので、外部との通信が許される中間の区画であるDMZに置きます。一方、重要なデータをもつデータベースサーバは、外部との直接の通信が許されない内部セグメントに置きます。こうしておけば、仮にWebサーバが乗っ取られても、そこから先へ進めるのは特定のプロトコルだけに絞られ、外部から重要なデータへ直接届く経路がありません。公開が必要なものだけを外側に出し、守りたいものは奥に置くという構えです。

ほかの選択肢の解説

• ア …DMZに設置する。：重要なデータをもつサーバまで、外部と直接やり取りできる区画に並べて置くことになります。公開用のサーバが破られたとき、同じ区画の中からデータにも手が届いてしまうため、守りたいものを外側に出す配置になっています。
• イ …内部セグメントに設置する。：外部から内部への直接の通信は許されていないので、この置き方では利用者向けのサービスをインターネットへ公開できません。公開できるように通信を通してしまえば、外からの接続を奥まで引き込むことになります。
• エ Webサーバを外部セグメントに，データベースサーバをDMZに設置する。：公開用のサーバをファイアウォールの外側に置くことになり、その保護をまったく受けられません。重要なデータをもつサーバも、外部との通信が許される区画に置かれてしまうため、守りが二重に薄くなります。