平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問20
テクノロジ／セキュリティ内部ネットワーク上の PC からインターネット上の Web サイトを参照するときは，DMZ 上の VDI（Virtual Desktop Infrastructure）サーバにログインし，VDI サーバ上の Web ブラウザを必ず利用するシステムを導入する。インターネット上の Web サイトから内部ネットワーク上の PC へのマルウェアの侵入，及び PC からインターネット上の Web サイトへのデータ流出を防止するのに効果がある条件はどれか。
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問20
- アPC と VDI サーバ間は，VDI の画面転送プロトコル及びファイル転送を利用する。
- イPC と VDI サーバ間は，VDI の画面転送プロトコルだけを利用する。
- ウVDI サーバが，プロキシサーバとして HTTP 通信を中継する。
- エVDI サーバが，プロキシサーバとして VDI の画面転送プロトコルだけを中継する。
正解：イ
解説
VDI 環境でマルウェアの侵入とデータ流出の両方を防ぐには，PC と VDI サーバ間で許可する通信を画面転送プロトコルのみに限定し，ファイル転送機能などを利用できないようにすることが有効です。これにより，実際の Web 閲覧処理は DMZ の VDI サーバ上で完結し，マルウェアの侵入経路やデータの持ち出し経路を遮断できます。
選択肢ごとの解説
- ア誤り。ファイル転送を許可すると，Web サイトからのマルウェアの侵入や PC からのデータ流出の経路になり得るため，効果がありません。
- イ正しい。画面転送プロトコルだけに限定することで，ファイルのやり取りができなくなり，マルウェアの侵入とデータ流出の両方を防止できます。
- ウ誤り。VDI サーバが HTTP 通信を中継すると，PC とインターネット上の Web サイトとの間でデータがやり取りできてしまい，マルウェアの侵入やデータ流出を防げません。
- エ誤り。VDI サーバは PC との間で画面転送プロトコルの通信先そのものであり，これをプロキシとして中継する構成は実際の VDI の仕組みと合致せず，本条件の説明としては適切ではありません。