ファイアウォールとDMZとは？

ファイアウォールとDMZの意味

ファイアウォールは、通信の送信元・宛先IPアドレスやポート番号を見て、許可した通信だけを通す仕組み。DMZは内部LANともインターネットとも分離した緩衝地帯で、外部へ公開するサーバを置く区画。FEでは配置場所と通信許可の設計が問われる。

ファイアウォールとDMZの具体例

WebサーバとメールサーバをDMZに置き、インターネットからはDMZの80/443番ポートだけ許可、DMZから内部LANのDBへは特定ポートだけ許可、インターネットから内部LANへの直接通信は全遮断、という3方向の設定にする。

ファイアウォールとDMZは試験でどう引っ掛けられる？

パケットフィルタ型はヘッダしか見ないため、許可したポートを通る攻撃（SQLインジェクションなど）は防げず、それを見るのはWAF。IDSは検知のみ、IPSは遮断まで行う違いも頻出。

ファイアウォールとDMZと関連する用語

• VPNとネットワークセキュリティ
• WAF
• IDS・IPS

ファイアウォールとDMZが出た過去問

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）

• PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとしてTCPポート番号80が多く使用される理由はどれか。

  正解：Webサイトの閲覧に使用されることから，通信がファイアウォールで許可されている可能性が高い。

  要点：80番は業務上許可されがちで、外部へ抜ける通り道になる

  TCPの80番はHTTPすなわち通常のWeb閲覧に使われるポートであり、業務上必要なため多くの組織でファイアウォールの外向き通信が許可されている。マルウェアがこのポートを使えば、追加の設定変更なしに外部の指令サーバへ到達でき、通常の閲覧に紛れ込ませることもできる。閉じられていないポートを選ぶという発想である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問45（IPA）

• クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。

  正解：WAF

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。

  出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）

• 社内ネットワークとインターネットの接続点にパケットフィルタリング型ファイアウォールを設置して，社内ネットワーク上のPCからインターネット上のWebサーバの80番…

  正解：PC→Webサーバ（送信元ポート1024以上／宛先ポート80），Webサーバ→PC（送信元ポート80／宛先ポート1024以上）

  要点：Web通信は往路が高位ポート→80、復路が80→高位ポート

  クライアントがWebサーバへ接続するとき、宛先ポートはサービス側の80番、送信元ポートはOSが割り当てる1024以上の一時的な番号になります。復路のパケットはこれが入れ替わり、送信元が80番、宛先が同じ1024以上の番号になります。したがって往路は「1024以上→80」、復路は「80→1024以上」を許可する組合せが正しくなります。

  出典：平成29年度 春期 基本情報技術者試験 午前 問42（IPA）

• 1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと…

  正解：WebサーバをDMZに，データベースサーバを内部セグメントに設置する。

  要点：公開サーバはDMZ、重要データは内部セグメントに置く

  インターネットから直接アクセスされる必要があるWebサーバはDMZに置き、外部から直接届かせたくないデータベースサーバは内部セグメントに置きます。こうすると、外部から内部への直接通信は遮断され、データベースへはDMZのWebサーバを経由する限定的な通信だけが許可されます。攻撃者がWebサーバを侵害しても、内部への到達には追加の突破が必要となり、重要データが守られます。

  出典：平成29年度 春期 基本情報技術者試験 午前 問43（IPA）