平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16

解説

本問のシステムでは，内部ネットワークの PC は，DMZ 上の VDI サーバにログインし，VDI サーバ上で動作する Web ブラウザを通じてインターネット上の Web サイトを閲覧します。この構成でマルウェアの侵入及びファイルの流出を防止するためには，PC と VDI サーバとの間で，画面表示情報とキーボード・マウス操作だけをやり取りする VDI の画面転送プロトコルだけを利用し，ファイル転送機能を利用できないようにする必要があります。画面転送だけであれば，たとえ VDI サーバ上のブラウザがマルウェアに感染しても，実行ファイルなどの実体が PC 側に転送されることはなく，また PC 内のファイルが VDI サーバ経由でインターネット上に送信されることもありません。逆に，ファイル転送機能まで利用できると，この経路を介してマルウェアの侵入やファイルの流出が起こり得るため，画面転送プロトコルだけに限定することが必要な条件となります。

選択肢ごとの解説

• ア誤り。PC と VDI サーバ間でファイル転送も利用できると，その経路を介してマルウェアの侵入やファイルの流出が起こり得るため，マルウェアの侵入及びファイル流出の防止という効果は得られません。
• イ正しい。PC と VDI サーバ間で VDI の画面転送プロトコルだけを利用するようにすれば，実行ファイルやデータファイルが PC と VDI サーバの間を行き来しなくなるため，マルウェアの侵入及びファイルの流出を防止する効果が得られます。
• ウ誤り。VDI サーバが HTTP 通信をそのまま中継するのであれば，PC は VDI サーバ上のブラウザを介さずに実質的に直接インターネットと HTTP でやり取りすることになり，VDI を導入した目的（マルウェア侵入・ファイル流出の防止）が達成できません。
• エ誤り。本問の条件は PC と VDI サーバとの間の通信を画面転送プロトコルだけに限定することであり，VDI サーバ自体がプロキシサーバとして画面転送プロトコルを中継するという構成は，本問が求める必要条件とは異なります。