問79
頻出度★★★
企業内ネットワークからも, 外部ネットワークからも論理的に隔離されたネットワーク領域であり, そこに設置されたサーバが外部から不正アクセスを受けたとしても, 企業内ネットワークには被害が及ばないようにするためのものはどれか。
平成25年度 秋期 ITパスポート試験 問79
这道题的解析和你的作答记录。
解説
問 79
- ア
正解 正确答案是「ア」的 DMZ（DeMilitarized Zone，非军事区、隔离区）。DMZ 是指借助防火墙，在逻辑上既与企业内部 LAN 隔离、又与外部互联网隔离而单独设置的第三个网络区域。把必须接受外部访问的服务器——例如对外公开的 Web 服务器、邮件服务器、对外公开的 DNS 服务器等——放置在这个区域，再通过防火墙的通信控制，允许「外部 → DMZ」方向的通信，同时原则上阻断「DMZ → 企业内部网络」方向的通信。这样一来，即使 DMZ 上的服务器万一遭到非法访问而被攻陷，也能阻止攻击者以它为跳板侵入企业内部网络，损害不会波及内网。题干提出的「在逻辑上与两侧都隔离的区域」和「服务器即使被入侵，损害也不会波及企业内部网络」这两个条件，只有 DMZ 能够同时满足。
错误イ
DNS（Domain Name System，域名系统）是把 www.example.co.jp 这样的域名与 IP 地址相互转换的名称解析机制（以及提供该功能的服务器）。它不是划分网络的区域，也不具备隔离或访问控制的功能。顺便一提，对外公开的 DNS 服务器确实常常被放置在 DMZ 中，但那只是放进 DMZ 的「内容物」，并不等于 DMZ 本身。
错误ウ
DoS（Denial of Service，拒绝服务攻击）是指发送大量通信或非法请求使服务器过载，从而让正规用户无法使用服务的攻击手法的名称。它是攻击方的术语，而不是用于防护的机制，也不指代任何网络区域，因此错误。
错误エ
SSL（Secure Sockets Layer，现在的后继协议是 TLS）是对通信路径进行加密以防止窃听和篡改，并通过证书确认服务器正当性的协议。它保护的是「通信的内容」，而不是把网络划分成区域加以隔离。而且即使使用了 SSL，服务器本身一旦遭到非法访问，仍然无法阻止损害波及企业内部网络，因此不满足题干的条件。
ここがポイント
- DMZ = 用防火墙在逻辑上与企业内部 LAN 和外部互联网都隔离开的缓冲区域。把对外公开的服务器（Web、邮件、对外 DNS 等）放在其中，并阻断从 DMZ 流向企业内网的通信，这样即使公开服务器被入侵，也能防止损害波及内网（防止其被当作跳板）。
- 区分容易混淆的三字母缩写：DMZ 是「网络区域（结构）」，DNS 是「名称解析服务」，DoS 是「拒绝服务攻击（攻击手法）」，SSL/TLS 是「通信加密协议」。先判断题目在问哪个类别（区域、服务、攻击还是协议），是解题的关键。
用語