セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき、ステートフルパケットフィルタリング型のファイアウォール（FW）において、必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Webアプリケーション（WebAP）サーバを、インターネットに公開し、HTTPSでアクセスできるようにする。 (2) WebAPサーバ上のプログラムだけがDBサーバ上のDBに接続でき、ODBC (Open Database Connectivity) を使用して特定のポート間で通信する。 (3) SSHを使用して各サーバに接続できるのは、運用管理PCだけである。 (4) フィルタリングルールは、必要な通信だけを許可する設定にする。

選択肢

• ア削除：送信元＝インターネット、宛先＝WebAPサーバ、サービス＝HTTPS、制御＝許可
• イ削除：送信元＝運用管理PC、宛先＝変更前のDBサーバ、サービス＝SSH、制御＝許可
• ウ追加：送信元＝WebAPサーバ、宛先＝変更後のDBサーバ、サービス＝SSH、制御＝許可
• エ追加：送信元＝インターネット、宛先＝WebAPサーバ、サービス＝ODBC、制御＝許可

正解と解説

正解：イ 削除：送信元＝運用管理PC、宛先＝変更前のDBサーバ、サービス＝SSH、制御＝許可

DBサーバを内部ネットワークへ移すと、DMZにあった旧DBサーバ宛の通信は存在しなくなる。必要な通信だけを許可する方針に従えば、運用管理PCから旧DBサーバへのSSHを許可するルールは不要となり削除しなければならない。あわせて、WebAPサーバから移設後のDBサーバへのODBC通信と、運用管理PCから移設後のDBサーバへのSSHを許可するルールの追加が必要になる。

選択肢ごとの解説

• アWebAPサーバはインターネットに公開したままなので、HTTPS許可は残す必要がある。
• イ正解。移設により旧DBサーバ宛の通信はなくなるため、この許可ルールは削除する。
• ウSSHで各サーバへ接続できるのは運用管理PCだけであり、WebAPサーバからのSSHは不要。
• エインターネットからDB接続用のプロトコルを通す必要はなく、危険でもある。

同じ分野の他の問題

• セキュリティ対策として、次の条件の下でデータベース（DB）サーバをDMZから内部ネットワークに移動するようなネットワーク…2020年度 10月試験 午前II 問14
• VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに…2019年度 春期 午前II 問12
• クロスサイトリクエストフォージェリ攻撃の対策として,効果がないものはどれか。2025年度 秋期 午前II 問16
• CSPM(Cloud Security Posture Management)の機能はどれか。2025年度 秋期 午前II 問15
• UEBAの機能はどれか。2025年度 秋期 午前II 問14