問79
頻出度★★★
企業内ネットワークからも, 外部ネットワークからも論理的に隔離されたネットワーク領域であり, そこに設置されたサーバが外部から不正アクセスを受けたとしても, 企業内ネットワークには被害が及ばないようにするためのものはどれか。
平成25年度 秋期 ITパスポート試験 問79
この問題の解説と、これまでの解答の記録です。
解説
問 79
- ア
正解 正解は「ア」の DMZ (DeMilitarized Zone、非武装地帯) です。DMZ とは、ファイアウォールによって社内 LAN からも外部のインターネットからも論理的に切り離して設けられる、第三のネットワーク領域のことです。公開 Web サーバ、メールサーバ、外部公開 DNS サーバなど、外部からのアクセスを受け付ける必要があるサーバをこの領域に置き、ファイアウォールの通信制御によって「外部 → DMZ」の通信は許可しつつ、「DMZ → 社内ネットワーク」の通信は原則遮断します。こうしておけば、万一 DMZ 上のサーバが不正アクセスを受けて乗っ取られても、そこを踏み台にした社内ネットワークへの侵入を食い止められ、被害が社内に波及しません。stem が述べる「両方から論理的に隔離された領域」「サーバが侵害されても社内に被害が及ばない」という二つの条件を同時に満たすのは DMZ だけです。
不正解イ
DNS (Domain Name System) は、www.example.co.jp のようなドメイン名と IP アドレスを相互に変換する名前解決の仕組み (およびそのサーバ) です。ネットワークを区切る領域ではなく、隔離やアクセス制御の機能も持ちません。なお公開用 DNS サーバは DMZ に設置されることが多いのですが、それは DMZ に置かれる「中身」であって、DMZ そのものではありません。
不正解ウ
DoS (Denial of Service、サービス妨害攻撃) は、大量の通信や不正な要求を送り付けてサーバを過負荷にし、正規利用者がサービスを使えなくする攻撃手法の名称です。守るための仕組みではなく攻撃する側の用語であり、ネットワーク領域を指す語でもないので誤りです。
不正解エ
SSL (Secure Sockets Layer、現在の後継は TLS) は、通信経路を暗号化して盗聴や改ざんを防ぎ、サーバの正当性を証明書で確認するためのプロトコルです。守るのは「通信の中身」であって、ネットワークを領域に分けて隔離するものではありません。SSL を使ってもサーバ自体が不正アクセスを受ければ社内への被害波及は防げないため、stem の条件を満たしません。
ここがポイント
- DMZ = ファイアウォールで社内 LAN からも外部インターネットからも論理的に隔離した緩衝領域。公開サーバ (Web・メール・外部 DNS など) を置き、DMZ から社内向けの通信を遮断することで、公開サーバが侵害されても社内への被害波及を防ぐ (踏み台化の防止)。
- 紛らわしい 3 文字略語の区別: DMZ は「ネットワーク領域 (構成)」、DNS は「名前解決サービス」、DoS は「サービス妨害攻撃 (攻撃手法)」、SSL/TLS は「通信の暗号化プロトコル」。設問が何のカテゴリを問うているか (領域か、サービスか、攻撃か、プロトコルか) を先に見極めるのが解法の要点。
用語