セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき、ステートフルパケットインスペクション型のファイアウォール（FW）において、必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Webアプリケーション（WebAP）サーバを、インターネットに公開する。 (2) WebAPサーバ上のプログラムだけがDBサーバ上のDBに接続でき、ODBC（Open Database Connectivity）を使用して特定のポート間で通信する。 (3) SSHを使用して各サーバに接続できるのは、運用管理PCだけである。 (4) フィルタリングルールは、必要な通信だけを許可する設定にする。

選択肢

• ア削除：送信元インターネット、宛先WebAPサーバ、サービスHTTP、制御許可
• イ削除：送信元運用管理PC、宛先変更前のDBサーバ、サービスSSH、制御許可
• ウ追加：送信元WebAPサーバ、宛先変更後のDBサーバ、サービスSSH、制御許可
• エ追加：送信元インターネット、宛先WebAPサーバ、サービスODBC、制御許可

正解と解説

正解：イ 削除：送信元運用管理PC、宛先変更前のDBサーバ、サービスSSH、制御許可

ファイアウォールに設定するのは、そのファイアウォールを通過する通信に対する規則である。DBサーバが内部ネットワークへ移ると、運用管理PCからDBサーバへのSSHは同じ内部側で完結し、ファイアウォールを経由しなくなるため、旧構成向けの許可規則は不要となり削除の対象になる。必要な通信だけを許可する方針では、不要になった許可は残さないことが原則である。

選択肢ごとの解説

• アWebAPサーバは引き続き公開するので、インターネットからのHTTP許可は残す必要がある。
• イ正しい。移動によりこの通信はファイアウォールを通らなくなるため、許可規則を削除する。
• ウWebAPサーバからDBサーバへ必要なのはODBCの通信であり、SSHを許可する理由はない。
• エインターネットから直接DB接続用の通信を通すことはあってはならない。

この問題に出た用語

• ファイアウォール
• DMZ
• SSH

同じ分野の他の問題

• セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク…2023年度 秋期 午前Ⅱ 問17
• VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに…2019年度 春期 午前Ⅱ 問12
• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前Ⅱ 問16
• CSPM(Cloud Security Posture Management)の機能はどれか。2025年度 秋期 午前Ⅱ 問15
• UEBAの機能はどれか。2025年度 秋期 午前Ⅱ 問14