DMZ（非武装地帯）とは？でぃーえむぜっと
DMZ（非武装地帯）とは、インターネットのような外部ネットワークとも社内LANのような内部ネットワークとも直接には結ばない、境界に設ける中間の区画。外部へ公開する必要があるWebサーバやメールサーバをここへ置き、区画をまたぐ通信を境界機器で絞ることで、公開サーバが侵害されても内部へ踏み込まれにくくする。
最終更新：2026-10-06
この語が出る過去問を解く →背景
公開サーバは、性質上どうしても外部の誰からでも到達できなければならず、最も攻撃を受ける位置に立つ。これを内部の業務端末やファイルサーバと同じ区画に置けば、そこが1台落ちた時点で内部の全機器へ横に移動できてしまう。破られないことに賭けるのではなく、破られたときに被害が及ぶ範囲をあらかじめ区切っておくという多層防御の考え方から生まれた構成である。
具体例
クラウド上でも同じ形が使われる。外部からの接続を受ける負荷分散装置やWebサーバをインターネットに接続した区画に置き、データベースは外部への経路を持たない区画へ分け、両区画の間は必要なポートだけを許可する。区画をまたぐ通信の一覧が、そのまま設計の説明になる。
試験での引っ掛け
外部へ公開するサーバを置く場所であり、機密データを持つ社内データベースをここへ置くのは誤りである。通信の向きも問われ、外部からDMZへの通信は許可しても、DMZから内部LANへの通信は原則として遮断するのが正しい構成になる。侵害後の外部への通信を防ぐため、DMZから外向きの通信も絞る。
関連用語
出た過去問
出典：平成28年度 春期 応用情報技術者試験 午前 問36（IPA）
企業のDMZ上で1台のDNSサーバを，インターネット公開用と，社内のPC，サーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが，DN…
正解：社内の利用者が，インターネット上の特定のWebサーバを参照しようとすると，本来とは異なるWebサーバに誘導される。
要点：キャッシュポイズニングは偽のアドレスで別サーバへ誘導する
DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽の名前解決情報を仕込む攻撃である。汚染されたサーバに問い合わせた利用者は、正規のドメイン名を入力しても攻撃者が用意した別のサーバへ誘導されてしまう。
出典：平成30年度 秋期 応用情報技術者試験 午前 問40（IPA）
インターネットに接続された利用者のPCから，DMZ上の公開Webサイトにアクセスし，利用者の個人情報を入力すると，その個人情報が内部ネットワークのデータベース（…
正解：PCとWebサーバ間の通信データを暗号化するとともに，利用者を認証することができるようになる。
要点：クライアント証明書付きTLSは通信路の暗号化と利用者認証を担う。
TLSはPCと通信相手であるWebサーバとの間の通信を暗号化するもので、その先のDBサーバとの区間までは保護されない。ここで利用者個人のディジタル証明書（クライアント証明書）を使うと、サーバ側が証明書によって接続してきた利用者本人を確認できる。したがってPC−Webサーバ間の暗号化と、利用者の認証が同時に得られる。
出典：平成30年度 春期 応用情報技術者試験 午前 問36（IPA）
企業のDMZ上で1台のDNSサーバを、インターネット公開用と、社内のPC及びサーバからの名前解決の問合せに対応する社内用とで共用している。このDNSサーバが、D…
正解：社内の利用者が、インターネット上の特定のWebサーバにアクセスしようとすると、本来とは異なるWebサーバに誘導される。
要点：DNSキャッシュポイズニングは偽の名前解決で別サイトへ誘導
DNSキャッシュポイズニングは、DNSサーバのキャッシュに偽のドメイン名とIPアドレスの対応を覚え込ませる攻撃である。汚染されたキャッシュを参照した利用者は、正規のサイト名を入力しても攻撃者が用意した別のサーバへ誘導され、フィッシングやマルウェア感染の被害につながる。
出典：平成30年度 春期 応用情報技術者試験 午前 問41（IPA）
内部ネットワークのPCからインターネット上のWebサイトを参照するときにDMZ上に用意したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データを処理してVDIサーバで生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面情報だけを転送しマルウェアを端末に届けない
VDIでは、Webブラウザの実行そのものをDMZ上のサーバ側で行い、PCへは描画結果である画面イメージだけを転送する。ダウンロードされたファイルや実行されたコードはサーバ側にとどまるため、未知のマルウェアであってもPC本体には届かない。これがWeb分離（インターネット分離）による感染防止の効果である。
出典：令和元年度 秋期 応用情報技術者試験 午前 問41（IPA）
内部ネットワークのPCからインターネット上のWebサイトを参照するときに、DMZに設置したVDI（Virtual Desktop Infrastructure）…
正解：Webサイトからの受信データは、受信処理ののち生成したデスクトップ画面の画像データだけをPCに送信する。
要点：VDIは画面の画像だけを転送し、危険な実行環境をPCから分離する
VDIでは、Webブラウザの実行そのものをDMZ上の仮想デスクトップ内で完結させ、PCへは描画されたデスクトップ画面の画像だけを転送します。ファイルやプログラムの実体はPC側に一切届かないため、未知のマルウェアであっても検知の成否に関係なく感染を防げます。パターン検知に頼らない「分離」による対策である点が要点です。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。