問54
頻出度★★★
セキュリティに問題があるPCを社内ネットワークなどに接続させないことを目的とした仕組みであり, 外出先で使用したPCを会社に持ち帰った際に, ウイルスに感染していないことなどを確認するために利用するものはどれか。
平成26年度 秋期 ITパスポート試験 問54
这道题的解析和你的作答记录。
解説
問 54
错误ア
DMZ（隔离区，非军事区）是设置在互联网与公司内部网络之间的中间网络区域，用于放置公开 Web 服务器、邮件服务器等必须对外公开的服务器。它是一种网络结构，目的是即使这些公开服务器被入侵，危害也不易波及到公司内部网络；它并不是在 PC 接入前对其进行检查并判定合格与否的机制。
错误イ
IDS（入侵检测系统）是监视流经网络和服务器的通信与日志，检测非法访问或攻击迹象并通知管理员的机制。它的作用终究是把已经发生的可疑通信「检测出来并告知」（进一步做阻断的是 IPS），并不是事先检查准备接入的 PC 的防病毒状况和补丁应用情况、据此决定是否允许接入的手段。
- ウ
正解 正确答案是 ウ「隔离网络（检疫网络）」。隔离网络（检疫网络）是指：对准备接入公司内部 LAN 的 PC，不让它直接连上原本的网络，而是先接入专供检查用的隔离网络（检疫网段），在那里检查其安全状态的机制。检查内容包括：是否安装了防病毒软件、病毒定义文件是否为最新，是否已应用操作系统和应用程序的安全修补程序（补丁），以及是否感染了病毒等项目。只有通过检查的 PC 才被允许接入公司内部网络；未通过的 PC 则继续处于隔离状态，被引导至修复用服务器去更新病毒特征库、应用补丁。这正好符合题干所说的「阻止存在安全问题的 PC 接入公司内部网络」「把在外出场所使用过的 PC 带回公司时，确认其是否感染病毒」这两种用途。可以联想成机场等处为防止传染病传入而在入境关口进行的「检疫」，这样更容易记住。
错误エ
防火墙是在网络边界上依据 IP 地址、端口号等条件对通信进行放行或阻断的机制，主要用于防止来自外部的非法通信入侵。它控制的对象是通信，而不是终端的健康状态，因此无法用于确认带进公司的 PC 是否感染病毒并据此允许其接入。
ここがポイント
- 隔离网络（检疫网络）是在 PC 接入公司内部 LAN 之前，先在隔离网段中对其进行检查（防病毒软件是否安装、病毒定义文件是否最新、是否应用了安全补丁、是否感染病毒），只让通过检查的 PC 接入的机制。它是携出 PC 带回公司时的代表性对策。
- DMZ 和防火墙属于「在网络边界上控制通信」的对策，IDS 属于「检测非法迹象并通知」的对策，它们的目的都与检查终端本身健康状态的隔离网络（检疫网络）不同。
用語