平成26年度 秋期 基本情報技術者試験 午前 問40
テクノロジ／セキュリティ1台のファイアウォールによって，外部セグメント，DMZ，内部ネットワークの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと，重要なデータをもつDBサーバから成るシステムを使って，利用者向けのサービスをインターネットに公開する場合，インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，ファイアウォールでは，外部セグメントとDMZ間及びDMZと内部ネットワーク間の通信は特定のプロトコルだけを許可し，外部セグメントと内部ネットワーク間の通信は許可しないものとする。
出典：平成26年度 秋期 基本情報技術者試験 午前 問40
- アWebサーバとDBサーバをDMZに設置する。
- イWebサーバとDBサーバを内部ネットワークに設置する。
- ウWebサーバをDMZに，DBサーバを内部ネットワークに設置する。
- エWebサーバを外部セグメントに，DBサーバをDMZに設置する。
正解：ウ
解説
重要なデータをもつDBサーバは，インターネットから直接アクセスされないよう内部ネットワークに置き，外部から直接アクセスされる必要があるWebサーバだけをDMZに配置します。これにより，Webサーバが侵害されてもDBサーバへの直接の不正アクセスを防ぐことができます。
選択肢ごとの解説
- ア誤り。DBサーバまでDMZに置くと，Webサーバの侵害を経由してDBサーバへ直接アクセスされる危険が高まります。
- イ誤り。Webサーバまで内部ネットワークに置くと，外部セグメントと内部ネットワーク間の通信を許可しないというファイアウォールの条件を満たせません。
- ウ正しい。外部公開が必要なWebサーバをDMZに，重要データをもつDBサーバを内部ネットワークに置くことで，不正アクセスからDBサーバを保護できます。
- エ誤り。Webサーバを外部セグメントに置くのは通常の構成ではなく，DBサーバをDMZに置くと内部ネットワークより保護レベルが低くなります。