ファイアウォールとDMZとは？ふぁいあうぉーるとでぃーえむぜっと
ファイアウォールとDMZとは、送信元・宛先・ポート番号などの条件で通信の許可と遮断を判断する機器がファイアウォール、外部へ公開するサーバを内部網から切り離して置く区画がDMZである。公開サーバが侵害されても内部の資産へ直接到達させないという、境界防御の基本構成をなす。規則の妥当性は定期的な棚卸しで維持する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
外部と内部を1本の線で分けるだけでは、公開しなければならないサーバの置き場が無い。内部に置けば侵入の踏み台となり、外部へ出せば自社では守れない。そこで内部とも外部とも異なる第三の区画を設け、そこへ入る通信と、そこから内部へ向かう通信を別々に制限する構成が定着した。侵害を前提に被害の広がりを区切るという発想の出発点でもある。
具体例
監査人はファイアウォールの規則一覧を出力し、送信元も宛先も全開放の規則が残っていないか、暫定で追加した規則に期限と再承認の記録があるかを一件ずつ確かめる。DMZの公開サーバから内部データベースへの経路も、必要なポートに限られているかを構成と実機の双方で検証する。
試験での引っ掛け
規則は上から順に評価され、最初に一致した時点で判定が確定するため、並び順が違えば意図しない許可が生まれる。また既定の動作が「明示的に許可した以外は遮断」になっているかが要点で、逆に設定されていれば規則の記述漏れがそのまま穴になる。
関連用語
出た過去問
出典：平成29年度 春期 システム監査技術者試験 午前Ⅱ 問21（IPA）
ペネトレーションテストに該当するものはどれか。
正解：ファイアウォールや公開サーバに侵入できないかどうかを確認する。
要点：ペネトレーションテストは実際に侵入を試み防御突破の可否を確認する
ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御機構を突破できるかどうかを確かめる検査である。ファイアウォールや公開サーバに対して既知の攻撃手法を適用し、脆弱性が実際に悪用可能かを実証的に確認する点に特徴がある。仕様との一致確認や処理性能の測定は別種のテストである。
出典：令和6年度 秋期 システム監査技術者試験 午前Ⅱ 問20（IPA）
DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき、ファイアウォールのルールで“通過禁止”に設定するものはどれか。ここで、このpi…
正解：ICMP
要点：pingはICMPを用いるため遮断するにはICMPを通過禁止にする
pingはICMPのエコー要求とエコー応答を用いて疎通を確認するもので、TCPやUDPのポート番号は使わない。したがって外部からのpingに応答させたくない場合は、ファイアウォールでICMPそのものの通過を禁止する。なお、ICMPを全面的に遮断すると経路MTU探索（経路上で送れる最大長を調べる仕組み）などに支障が出るため、必要な種別だけを許可する運用が一般的である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。