DMZとは？

DMZの意味

インターネットのような外部ネットワークと、社内の内部ネットワークのどちらからも隔離された中間の区画。外部に公開する必要があるサーバを置き、万が一そのサーバが侵害されても内部ネットワークへの被害拡大を防ぐ。

DMZの具体例

外部からアクセスされる公開Webサーバやメールサーバ、外部DNSサーバはDMZに設置し、顧客情報を持つ社内データベースサーバは内部ネットワークに置いて直接は公開しない。

DMZは試験でどう引っ掛けられる？

「DMZに何を置くか」がよく問われる。社内利用者しかアクセスしない業務システムや機密データベースはDMZではなく内部ネットワークに置くのが原則。

DMZと関連する用語

• ファイアウォール

DMZが出た過去問

• 1台のファイアウォールによって、外部セグメント、DMZ、内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて、Webサーバと…

  正解：WebサーバをDMZに、データベースサーバを内部セグメントに設置する。

  要点：公開サーバはDMZ、重要データは内部セグメントに置く

  インターネットから直接アクセスされるWebサーバはDMZに置き、重要データを保持するデータベースサーバは内部セグメントに置くのが定石である。外部と内部の直接通信は許可されないため、仮にWebサーバが侵害されても、攻撃者はDMZから内部への限られたプロトコル経由でしかデータベースに近づけず、被害を局所化できる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問17（IPA）

• A社では現在、インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し、DMZ上に用意したVDI(Vir…

  正解：インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。

  要点：VDIによるインターネット分離は内部PCへのマルウェア到達を防ぐ

  VDIによるインターネット分離では、Webの閲覧処理とコンテンツのダウンロードがDMZ上の仮想デスクトップ内で完結し、内部ネットワークのPCへは画面情報だけが転送される。したがって、Webサイト経由でマルウェアが内部PCに直接ダウンロードされることを防げる。仮想デスクトップ自体が感染する可能性は残るため、感染そのものをなくす効果はない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）

• A社では現在、インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し、DMZ上に用意したVDI（Vir…

  正解：インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。

  要点：VDIは閲覧処理を隔離しPCへの直接ダウンロードを防ぐ

  VDIではWebブラウザの実行環境がDMZ上の仮想デスクトップに置かれ、PCには画面の転送データだけが届く。したがってWebサイトから受け取ったファイルやスクリプトはVDIサーバ側で処理され、内部ネットワークのPCに直接ダウンロードされることを防げる。いわゆるインターネット分離の効果であり、VDIサーバ自体が感染しうる点は変わらない。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問9（IPA）

• DMZはどれか。

  正解：インターネットと内部ネットワークとの間に設置されるネットワーク

  要点：DMZは公開サーバを置く、外部と内部の間の緩衝ネットワーク

  DMZ（DeMilitarized Zone、非武装地帯）は、インターネットと内部ネットワークの間に設ける中間のネットワークです。公開Webサーバやメールサーバなど外部からアクセスされるサーバをここに置き、万一侵害されても内部ネットワークへ直接波及しないよう分離します。

  出典：令和8年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問3（IPA）