ファイアウォールとDMZとは？

ファイアウォールとDMZの意味

ファイアウォールは、通信の送信元・宛先IPアドレスやポート番号を見て、許可した通信だけを通す仕組み。DMZは内部LANともインターネットとも分離した緩衝地帯で、外部へ公開するサーバを置く区画。FEでは配置場所と通信許可の設計が問われる。

ファイアウォールとDMZの具体例

WebサーバとメールサーバをDMZに置き、インターネットからはDMZの80/443番ポートだけ許可、DMZから内部LANのDBへは特定ポートだけ許可、インターネットから内部LANへの直接通信は全遮断、という3方向の設定にする。

ファイアウォールとDMZは試験でどう引っ掛けられる？

パケットフィルタ型はヘッダしか見ないため、許可したポートを通る攻撃（SQLインジェクションなど）は防げず、それを見るのはWAF。IDSは検知のみ、IPSは遮断まで行う違いも頻出。

ファイアウォールとDMZと関連する用語

• WAF
• IDS・IPS

ファイアウォールとDMZが出た過去問

• WAFの説明として，適切なものはどれか。

  正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）はHTTPの通信内容そのものを検査し、SQLインジェクションやクロスサイトスクリプティングに特徴的なパターンを検出して遮断する。IPアドレスやポートで制御する通常のファイアウォールと違い、アプリケーション層のリクエスト内容を見る点が特徴である。

  出典：平成28年度 春期 高度共通_午前I試験 am1 問13（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を監視し阻止する。

  要点：WAFはアプリケーション層でWeb攻撃を検知・遮断する

  WAF（Web Application Firewall）はHTTPリクエストやレスポンスの内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションを狙う攻撃を検知して遮断する。通常のファイアウォールがIPアドレスやポートで制御するのに対し、アプリケーション層の中身を見る点が違いである。

  出典：平成29年度 秋期 高度共通_午前I試験 am1 問15（IPA）

• インターネットに接続された利用者のPCから、DMZ上の公開Webサイトにアクセスし、利用者の個人情報を入力すると、その個人情報が内部ネットワークのデータベース（…

  正解：PCとWebサーバ間の通信データを暗号化するとともに、利用者を認証することができるようになる。

  要点：クライアント証明書によるTLSは通信暗号化＋利用者認証

  この構成でTLSが張られるのは、利用者のPCとDMZ上の公開Webサーバとの間である。内部のDBサーバとPCが直接TLS通信するわけではない。さらに利用者個人のディジタル証明書を用いるクライアント認証を行うことで、サーバ側が接続してきた利用者が本人であることを確認できるようになる。

  出典：平成30年度 秋期 高度共通_午前I試験 am1 問12（IPA）

• ETSI（欧州電気通信標準化機構）によって提案されたNFV（Network Functions Virtualisation）に関する記述として、適切なものはど…

  正解：仮想化技術を利用し、ネットワーク機能を汎用サーバ上にソフトウェアとして実現したコンポーネントを用いることによって、柔軟なネットワーク基盤を構築する。

  要点：NFVはネットワーク機能を汎用サーバ上のソフトで実現する

  NFV（ネットワーク機能仮想化）は、ルータやファイアウォール、ロードバランサといった専用機器で実現していたネットワーク機能を、仮想化技術を使って汎用サーバ上のソフトウェアとして動かす考え方である。機器の調達を待たずに機能を追加・変更できるため、柔軟でコスト効率の高いネットワーク基盤を構築できる。

  出典：平成30年度 春期 高度共通_午前I試験 am1 問10（IPA）

• 内部ネットワークのPCからインターネット上のWebサイトを参照するときにDMZ上に用意したVDI（Virtual Desktop Infrastructure）…

  正解：Webサイトからの受信データを処理してVDIサーバで生成したデスクトップ画面の画像データだけをPCに送信する。

  要点：VDIは画面の画像だけを転送するのでマルウェアが届かない

  VDIによる画面転送型のインターネット分離では、Webサイトとの通信やコンテンツの解釈はすべてDMZ上のVDIサーバ側で行われ、PCへ渡されるのは描画済みのデスクトップ画面の画像データと、PCから送る操作情報だけである。マルウェアの実体そのものがPCに届かないため、未知のマルウェアであってもPCの感染を防げる。

  出典：平成30年度 春期 高度共通_午前I試験 am1 問13（IPA）