令和元年度 秋期 基本情報技術者試験 午前 問42
テクノロジ／セキュリティ1台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがあり，このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのWebサービスをインターネットに公開する。インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，Webサーバでは，データベースサーバのフロントエンド処理を行い，ファイアウォールでは，外部セグメントとDMZとの間，及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
出典：令和元年度 秋期 基本情報技術者試験 午前 問42
- アWebサーバとデータベースサーバをDMZに設置する。
- イWebサーバとデータベースサーバを内部セグメントに設置する。
- ウWebサーバをDMZに，データベースサーバを内部セグメントに設置する。
- エWebサーバを外部セグメントに，データベースサーバをDMZに設置する。
正解：ウ
解説
重要なデータをもつデータベースサーバは，インターネットから直接到達できない内部セグメントに置くのが原則です。一方，インターネットに公開するWebサーバはDMZに設置し，Webサーバがフロントエンド処理を行って必要なときだけ特定のプロトコルで内部セグメントのデータベースサーバにアクセスします。こうすると，インターネットから内部セグメントへの直接通信は許可されていないため，攻撃者がデータベースサーバへ直接到達することを防げます。
選択肢ごとの解説
- ア誤り。データベースサーバをDMZに置くと，外部セグメントから許可されたプロトコルで直接到達され得るため，重要データの保護として不十分です。
- イ誤り。公開すべきWebサーバを内部セグメントに置くと，外部から内部への直接通信を許可せざるを得なくなり，かえって危険になります。
- ウ正しい。WebサーバをDMZに，データベースサーバを内部セグメントに置くのが，公開性と重要データ保護を両立する標準的な構成です。
- エ誤り。Webサーバをファイアウォールの外である外部セグメントに置くと保護されず，データベースサーバをDMZに置くのも危険です。