令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
テクノロジ／セキュリティ内部ネットワークにある PC からインターネット上の Web サイトを参照するときは，DMZ にある VDI（Virtual Desktop Infrastructure）サーバ上の仮想マシンに PC からログインし，仮想マシン上の Web ブラウザを必ず利用するシステムを導入する。インターネット上の Web サイトから内部ネットワークにある PC へのマルウェアの侵入，及びインターネット上の Web サイトへの PC 内のファイルの流出を防止する効果を得るために必要な条件はどれか。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
- アPC と VDI サーバ間は，VDI の画面転送プロトコル及びファイル転送を利用する。
- イPC と VDI サーバ間は，VDI の画面転送プロトコルだけを利用する。
- ウVDI サーバが，プロキシサーバとして HTTP 通信を中継する。
- エVDI サーバが，プロキシサーバとして VDI の画面転送プロトコルだけを中継する。
正解：イ
解説
DMZ に設置した VDI サーバ上の仮想マシンを介してインターネット上の Web サイトを閲覧させる構成では，PC と VDI サーバとの間で，画面の見た目だけを転送する画面転送プロトコル（リモートデスクトップのようなプロトコル）だけを利用するように制限する必要があります。ファイル転送機能も利用可能にしてしまうと，インターネット側からマルウェアを PC へ転送されたり，PC 内のファイルを仮想マシン経由でインターネット側へ流出させたりすることが可能になってしまうため，マルウェア侵入・ファイル流出の防止効果が得られません。
選択肢ごとの解説
- ア誤り。VDI の画面転送プロトコルに加えてファイル転送も利用できるようにすると，PC と仮想マシンとの間でファイルを直接やり取りできてしまい，マルウェアの侵入やファイルの流出を防止できません。
- イ正しい。PC と VDI サーバ間で VDI の画面転送プロトコルだけを利用するように制限すれば，PC と仮想マシンの間でファイルの直接のやり取りができなくなり，マルウェアの侵入やファイルの流出を防止できます。
- ウ誤り。VDI サーバがプロキシサーバとして HTTP 通信を中継する構成では，PC が直接インターネットの Web サイトと HTTP で通信できてしまうことになり，PC への直接のマルウェア侵入を防止する構成にはなりません。
- エ誤り。VDI サーバがプロキシサーバとして画面転送プロトコルだけを中継するという記述は，設問が意図する PC と VDI サーバ間の通信制限（画面転送プロトコルだけの利用）とは異なる内容です。