令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
テクノロジセキュリティ技術ネットワークネットワーク防御・セキュリティ製品
内部ネットワークにあるPCからインターネット上のWebサイトを参照するときは，DMZにあるVDI (Virtual Desktop Infrastructure) サーバ上の仮想マシンにPCからログインし，仮想マシン上のWebブラウザを必ず利用するシステムを導入する。インターネット上のWebサイトから内部ネットワークにあるPCへのマルウェアの侵入，及びインターネット上のWebサイトへのPC内のファイルの流出を防止する効果を得るために必要な条件はどれか。
解答・解説
正解: イ. PCとVDIサーバ間は，VDIの画面転送プロトコルだけを利用する。
VDI (Virtual Desktop Infrastructure) は、サーバ上に構築された仮想マシンをクライアント端末（PC）から遠隔操作する仕組みです。このシステムでは、Webブラウザなどのアプリケーションの実行やデータ処理はサーバ上の仮想マシンで行われ、PCとVDIサーバ間では画面の表示情報と操作情報（キーボードやマウスの入力）のみが送受信されます。
インターネット上のWebサイトからのマルウェア侵入や、PC内のファイルの流出を防止するためには、インターネットと直接通信を行う仮想マシンと、内部ネットワークにあるPCとの間で直接的なファイルの受け渡しを遮断する必要があります。したがって、通信を画面転送プロトコルのみに制限することが必須の条件となります。
各選択肢の解説
- ア: PCとVDIサーバ間でファイル転送を利用できるようにすると、仮想マシン側でダウンロードしたマルウェアがPCに転送されたり、PC内のファイルが仮想マシンを経由してインターネットへアップロードされてしまう危険性があります。
- イ: 正解です。 画面転送プロトコルだけを利用することで、インターネット環境と内部ネットワーク環境が論理的に分離（インターネット分離・Web無害化）され、マルウェアの侵入やファイルの流出を防ぐことができます。
- ウ: VDIサーバは仮想マシン上でWebブラウザを実行する環境を提供するものであり、単にHTTP通信を中継するプロキシサーバではありません。また、通信の中継だけではPCとインターネット間のファイルのやり取りを本質的に分離できません。
- エ: VDIサーバは画面情報をクライアントに送信する主体であり、画面転送プロトコルだけを「中継するプロキシサーバ」という説明はシステムの形態として不適切です。また、マルウェア対策・情報漏えい対策の根本的な条件を説明したものではありません。