問54
頻出度★★★
セキュリティに問題があるPCを社内ネットワークなどに接続させないことを目的とした仕組みであり, 外出先で使用したPCを会社に持ち帰った際に, ウイルスに感染していないことなどを確認するために利用するものはどれか。
平成26年度 秋期 ITパスポート試験 問54
この問題の解説と、これまでの解答の記録です。
解説
問 54
不正解ア
DMZ (非武装地帯) は、インターネットと社内ネットワークの間に設ける中間のネットワーク領域で、公開 Web サーバやメールサーバなど外部に公開する必要のあるサーバを置く場所である。万一その公開サーバが侵害されても社内ネットワークへ被害が波及しにくくするためのネットワーク構成であり、社内 PC を接続前に検査して合否を判定する仕組みではない。
不正解イ
IDS (侵入検知システム) は、ネットワークやサーバを流れる通信・ログを監視し、不正アクセスや攻撃の兆候を検知して管理者に通知する仕組みである。あくまで発生した不審な通信を「検知して知らせる」役割であり (遮断まで行うのは IPS)、接続しようとする PC のウイルス対策状況やパッチ適用状況を事前に点検して接続可否を決めるものではない。
- ウ
正解 正解はウ「検疫ネットワーク」。検疫ネットワークとは、社内 LAN に接続しようとする PC をいきなり本来のネットワークにつながず、まず検査専用の隔離されたネットワーク (検疫用セグメント) に接続させ、そこでセキュリティ状態を点検する仕組みである。点検内容は、ウイルス対策ソフトが導入され定義ファイルが最新か、OS やアプリケーションのセキュリティ修正プログラム (パッチ) が適用されているか、ウイルスに感染していないか、といった項目である。検査に合格した PC だけを社内ネットワークへ接続させ、不合格の PC は隔離したまま治療用サーバへ誘導してパターンファイル更新やパッチ適用を行わせる。まさに設問がいう「セキュリティに問題がある PC を社内ネットワークに接続させない」「外出先で使った PC を持ち帰った際にウイルス感染の有無を確認する」用途に一致する。空港などで感染症の持ち込みを水際で検査する「検疫」になぞらえた名称だと考えると覚えやすい。
不正解エ
ファイアウォールは、ネットワークの境界で通信を IP アドレスやポート番号などの条件に基づいて通過・遮断する仕組みで、主に外部からの不正な通信の侵入を防ぐ。制御の対象は通信であって端末の健全性ではないため、社内に持ち込まれた PC がウイルスに感染しているかどうかを確認して接続を許可する用途には使えない。
ここがポイント
- 検疫ネットワークは、社内 LAN 接続前の PC を隔離セグメントで検査し (ウイルス対策ソフトの導入・定義ファイルの最新性、セキュリティパッチの適用、感染の有無)、合格した PC だけを接続させる仕組み。持ち出し PC の持ち帰り時対策の代表例。
- DMZ・ファイアウォールは「ネットワーク境界で通信を制御する」対策、IDS は「不正の兆候を検知して通知する」対策であり、いずれも端末そのものの健全性を検査する検疫ネットワークとは目的が異なる。
用語