令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティセキュリティ対策として，次の条件の下でデータベース（DB）サーバを DMZ から内部ネットワークに移動するようなネットワーク構成の変更を計画している。このとき，ステートフルパケットインスペクション型のファイアウォール（FW）において，必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Web アプリケーション（WebAP）サーバを，インターネットに公開する。 (2) WebAP サーバ上のプログラムだけが DB サーバ上の DB に接続でき，ODBC（Open Database Connectivity）を使用して特定のポート間で通信する。 (3) SSH を使用して各サーバに接続できるのは，運用管理 PC だけである。 (4) フィルタリングルールは，必要な通信だけを許可する設定にする。
出典：令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問14
- アインターネットから WebAP サーバへの HTTP 通信を許可するルールを削除する。
- イ運用管理 PC から変更前の DB サーバへの SSH 通信を許可するルールを削除する。
- ウWebAP サーバから変更後の DB サーバへの SSH 通信を許可するルールを追加する。
- エインターネットから WebAP サーバへの ODBC 通信を許可するルールを追加する。
正解：イ
解説
変更前は，運用管理 PC は内部ネットワーク（FW の内側）に，DB サーバは WebAP サーバと同じ DMZ（FW の外側の区画）に接続されており，運用管理 PC から DMZ 内の DB サーバへ SSH で接続する際には FW を通過する必要があるため，このための許可ルール（運用管理 PC → 変更前の DB サーバ，SSH，許可）が設定されていました。変更後は，DB サーバが内部ネットワークに移動し，運用管理 PC と同じ区画（FW の内側，L3SW 配下）に接続されるため，運用管理 PC から DB サーバへの SSH 通信はもはや FW を経由しません。したがって，DMZ 側にあった変更前の DB サーバ宛ての SSH 許可ルールは不要となり，削除する必要があります。一方，WebAP サーバは変更後も DMZ に留まり，DB サーバとの通信（ODBC）は新たに FW を経由することになりますが，これは別途追加が必要なルールであり，既存のインターネット－WebAP サーバ間の HTTP ルールは変更前後で変わりません。
選択肢ごとの解説
- ア誤り。WebAP サーバはインターネットに公開されたままであり，インターネットから WebAP サーバへの HTTP 通信を許可するルールは，DB サーバの移動後も引き続き必要であるため，削除すべきルールではありません。
- イ正しい。DB サーバが DMZ から内部ネットワークへ移動したことで，運用管理 PC と DB サーバは FW の同じ側（内部ネットワーク）に位置するようになり，FW を経由した通信ではなくなります。したがって，FW 上にあった運用管理 PC から変更前の DB サーバ（DMZ 側）への SSH 許可ルールは不要になり，削除する必要があります。
- ウ誤り。WebAP サーバ（DMZ）から変更後の DB サーバ（内部ネットワーク）への通信は，条件(2)により ODBC を使用するのであり，SSH ではありません。
- エ誤り。条件(2)により，WebAP サーバ上のプログラムだけが DB サーバに接続でき，ODBC を使用するのは WebAP サーバと DB サーバの間の通信であって，インターネットから WebAP サーバへの通信ではありません。