令和5年度 秋期 情報処理安全確保支援士試験 午前II 問17

テクノロジセキュリティ技術ネットワーク

この問題は2023(R5)秋 情報処理安全確保支援士 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

セキュリティ対策として，次の条件の下でデータベース（DB）サーバを DMZ から内部ネットワークに移動するような次のネットワーク構成の変更を計画している。このとき，ステートフルパケットフィルタリング型のファイアウォール（FW）において，必要となるフィルタリングルールの変更のうちの一つはどれか。

〔条件〕

  1. Web アプリケーション（WebAP）サーバを，インターネットに公開し，HTTPS でアクセスできるようにする。
  2. WebAP サーバ上のプログラムだけが DB サーバ上の DB に接続でき，ODBC（Open Database Connectivity）を使用して特定のポート間で通信する。
  3. SSH を使用して各サーバに接続できるのは，運用管理 PC だけである。
  4. フィルタリングルールは，必要な通信だけを許可する設定にする。

〔ネットワーク構成の変更〕

ネットワーク構成の変更
図の説明テキスト

「ネットワーク構成の変更」を示す図。
「変更前」と「変更後」の構成が黒い太矢印で結ばれている。

【変更前】

  • インターネットがFW（ファイアウォール）に接続している。
  • 内部ネットワーク：運用管理PCがL3SWに接続され、L3SWがFWに接続している。
  • DMZ：WebAPサーバとDBサーバがL2SWに接続され、L2SWがFWに接続している。

【変更後】

  • DBサーバがDMZから内部ネットワークのL3SW配下に移動している。
  • その他の構成（インターネット、FW、運用管理PC、WebAPサーバなどの接続関係）は変更前と同一である。

注記：
L2SW：レイヤ2スイッチ
L3SW：レイヤ3スイッチ

解答・解説を読む

正解: 選択肢イ

今回のネットワーク構成の変更により、データベース（DB）サーバが DMZ から 内部ネットワーク に移動します。これに伴い、ファイアウォール（FW）のステートフルパケットフィルタリングルールも見直す必要があります。特に「変更前のDBサーバ（DMZ上）」宛に設定されていたルールは不要となるため削除し、「変更後のDBサーバ（内部ネットワーク上）」宛の必要な通信ルールを追加しなければなりません。

各選択肢の解説

  • ア：誤り
    条件1「Web アプリケーション（WebAP）サーバを、インターネットに公開し、HTTPS でアクセスできるようにする」より、インターネットからWebAPサーバへのHTTPS通信は引き続き必要です。したがって、このルールを削除してはいけません。

  • イ：正解
    条件3「SSH を使用して各サーバに接続できるのは、運用管理 PC だけである」より、変更前は運用管理PCからDMZ上のDBサーバへのSSH接続を許可するルールが存在していました。しかし、DBサーバは内部ネットワークへ移動したため、変更前のDBサーバ（DMZ上）宛てのSSH接続ルールは不要となり、削除する必要があります。

  • ウ：誤り
    条件3により、SSHを使用して各サーバに接続できるのは 運用管理 PC だけ です。WebAPサーバから変更後のDBサーバへのSSH接続を許可するルールを追加することは、セキュリティポリシー（条件3および条件4）に違反します。

  • エ：誤り
    条件2「WebAP サーバ上のプログラムだけが DB サーバ上の DB に接続でき、ODBC を使用して特定のポート間で通信する」より、ODBCを用いた通信が発生するのは WebAPサーバからDBサーバへの通信 です。インターネットからWebAPサーバへの通信には HTTPS が用いられるため、インターネットからのODBC通信を許可するルールを追加するのは誤りです。