DMZとは？

DMZの意味

外部に公開するサーバ（Web、DNS、メール中継等）を置くための、インターネットと内部LANのどちらからも分離されたネットワーク領域。DMZのサーバが侵害されても内部LANへ直接到達できないよう、DMZから内部への通信を厳しく制限する。

DMZの具体例

公開WebサーバをDMZに置き、内部DBへはアプリ用のポート1つだけを許可した。Webが改ざんされた際も攻撃者はDMZから内部の共有ファイルサーバへ到達できず、被害を公開コンテンツだけに封じ込められた。DMZから内部への通信は原則拒否、が設計上の要である。

DMZは試験でどう引っ掛けられる？

通信の向きの制限を取り違えやすい。外部→DMZは許可するが、DMZ→内部LANは原則拒否で、必要な宛先・ポートだけを個別に開ける。DMZに置くのは外部へ公開するサーバであって、個人情報を持つ内部DBをDMZに置いてはいけない。またDMZの構成にファイアウォール2台は必須ではなく、3つのインタフェースを持つ1台（3脚構成）でも実現できる。

DMZと関連する用語

• ファイアウォール
• リバースプロキシ
• ネットワークセグメンテーション

DMZが出た過去問

• DMZ上のコンピュータがインターネットからのpingに応答しないようにしたいとき，ファイアウォールのルールで“通過禁止”に設定するものはどれか。

  正解：ICMP

  要点：pingを止めるにはICMPの通過を禁止する

  pingはICMPのエコー要求と応答を用いる仕組みです。したがってインターネット側からのpingに応答させたくない場合は、ファイアウォールでICMPを通過禁止に設定します。ポート番号による指定はTCPやUDPの話であり、ICMPには当てはまりません。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）

• 内部ネットワーク上のPCからインターネット上のWebサイトを参照するときは，DMZ上のVDI（Virtual Desktop Infrastructure）サー…

  正解：PCとVDIサーバ間は，VDIの画面転送プロトコルだけを利用する。

  要点：VDI分離の要はPCとの間を画面転送だけに絞ること

  VDIによる分離効果は、PCとVDIサーバの間で画面の描画情報とキーボード・マウス操作だけをやり取りし、ファイル自体を行き来させないことで成立する。ファイル転送やクリップボード共有を許すと、マルウェアの持込みや内部ファイルの持出しの経路になってしまう。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき、ステ…

  正解：削除：送信元運用管理PC、宛先変更前のDBサーバ、サービスSSH、制御許可

  要点：FWを通らなくなった通信の許可規則は削除する

  ファイアウォールに設定するのは、そのファイアウォールを通過する通信に対する規則である。DBサーバが内部ネットワークへ移ると、運用管理PCからDBサーバへのSSHは同じ内部側で完結し、ファイアウォールを経由しなくなるため、旧構成向けの許可規則は不要となり削除の対象になる。必要な通信だけを許可する方針では、不要になった許可は残さないことが原則である。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問14（IPA）

• 内部ネットワークにあるPCからインターネット上のWebサイトを参照するときは,DMZにあるVDI(Virtual Desktop Infrastructure)…

  正解：PCとVDIサーバ間は,VDIの画面転送プロトコルだけを利用する。

  要点：VDI分離の要はPCとの間を画面転送だけに絞ること

  VDIによる分離効果は、PCと仮想マシンの間で画面の描画情報とキーボード・マウス操作だけをやり取りし、ファイル自体を往復させないことで成り立つ。ファイル転送やクリップボード共有を許すと、マルウェアの持込みと内部ファイルの持出しの経路が残ってしまう。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき、ステ…

  正解：削除：送信元＝運用管理PC、宛先＝変更前のDBサーバ、サービス＝SSH、制御＝許可

  要点：不要になった旧宛先への許可ルールは移設に合わせて削除する

  DBサーバを内部ネットワークへ移すと、DMZにあった旧DBサーバ宛の通信は存在しなくなる。必要な通信だけを許可する方針に従えば、運用管理PCから旧DBサーバへのSSHを許可するルールは不要となり削除しなければならない。あわせて、WebAPサーバから移設後のDBサーバへのODBC通信と、運用管理PCから移設後のDBサーバへのSSHを許可するルールの追加が必要になる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問17（IPA）