DMZとは？

DMZの意味

外部公開が必要なサーバを、インターネットとも内部LANとも切り離した中間の区画に置くネットワーク設計。公開サーバが侵害されても、そこから内部への通信をファイアウォールで止めることで、被害の連鎖を断ち切ることを狙う。

DMZの具体例

Webサーバ、外部向けDNS、メール中継をDMZへ置き、DMZから内部データベースへは特定のポートだけ許可する。内部からもDMZ経由でしか外部へ出られない構成にすれば、通信の監視点を集約できる。

DMZは試験でどう引っ掛けられる？

DMZの目的は公開サーバ自体を守ることではなく、公開サーバが陥落したときに内部を守ること。DMZから内部への通信を無条件に許可すると、区画を分けた意味が完全に失われる。

DMZと関連する用語

• ファイアウォール
• プロキシサーバ
• ゼロトラスト

DMZが出た過去問

• インターネットに接続された利用者のPCから、DMZ上の公開Webサイトにアクセスし、利用者の個人情報を入力すると、その個人情報が内部ネットワークのデータベース（…

  正解：PCとWebサーバ間の通信データを暗号化するとともに、利用者を認証することができるようになる。

  要点：クライアント証明書によるTLSは通信暗号化＋利用者認証

  この構成でTLSが張られるのは、利用者のPCとDMZ上の公開Webサーバとの間である。内部のDBサーバとPCが直接TLS通信するわけではない。さらに利用者個人のディジタル証明書を用いるクライアント認証を行うことで、サーバ側が接続してきた利用者が本人であることを確認できるようになる。

  出典：平成30年度 秋期 高度共通_午前I試験 am1 問12（IPA）

• 内部ネットワークのPCからインターネット上のWebサイトを参照するときにDMZ上に用意したVDI（Virtual Desktop Infrastructure）…

  正解：Webサイトからの受信データを処理してVDIサーバで生成したデスクトップ画面の画像データだけをPCに送信する。

  要点：VDIは画面の画像だけを転送するのでマルウェアが届かない

  VDIによる画面転送型のインターネット分離では、Webサイトとの通信やコンテンツの解釈はすべてDMZ上のVDIサーバ側で行われ、PCへ渡されるのは描画済みのデスクトップ画面の画像データと、PCから送る操作情報だけである。マルウェアの実体そのものがPCに届かないため、未知のマルウェアであってもPCの感染を防げる。

  出典：平成30年度 春期 高度共通_午前I試験 am1 問13（IPA）