令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17
テクノロジ／セキュリティセキュリティ対策として，次の条件の下でデータベース（DB）サーバを DMZ から内部ネットワークに移動するような次のネットワーク構成の変更を計画している。このとき，ステートフルパケットフィルタリング型のファイアウォール（FW）において，必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Web アプリケーション（WebAP）サーバを，インターネットに公開し，HTTPS でアクセスできるようにする。 (2) WebAP サーバ上のプログラムだけが DB サーバ上の DB に接続でき，ODBC（Open Database Connectivity）を使用して特定のポート間で通信する。 (3) SSH を使用して各サーバに接続できるのは，運用管理 PC だけである。 (4) フィルタリングルールは，必要な通信だけを許可する設定にする。 （注：本サイトでは原問題の選択肢の表を文字表記に変換しています）
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17
- ア変更種別：削除，送信元：インターネット，宛先：WebAP サーバ，サービス：HTTPS，制御：許可
- イ変更種別：削除，送信元：運用管理 PC，宛先：変更前の DB サーバ，サービス：SSH，制御：許可
- ウ変更種別：追加，送信元：WebAP サーバ，宛先：変更後の DB サーバ，サービス：SSH，制御：許可
- エ変更種別：追加，送信元：インターネット，宛先：WebAP サーバ，サービス：ODBC，制御：許可
正解：イ
解説
図の変更前は，運用管理 PC が内部ネットワーク，DB サーバが DMZ にあるので，両者の間の通信は FW を経由し，SSH を許可するルールが必要でした。変更後は DB サーバが内部ネットワークに移動して運用管理 PC と同じ L3SW 配下になるため，この通信は FW を経由しなくなります。条件(4)の「必要な通信だけを許可する」に従い，不要になった「運用管理 PC から変更前の DB サーバへの SSH 許可」ルールを削除する必要があります。
選択肢ごとの解説
- ア誤り。条件(1)により WebAP サーバはインターネットに HTTPS で公開し続けるので，このルールを削除することはできません。
- イ正しい。DB サーバが内部ネットワークへ移動して FW を経由しなくなるため，運用管理 PC から変更前の DB サーバへの SSH 許可ルールは不要となり，削除します。
- ウ誤り。条件(3)により SSH で各サーバに接続できるのは運用管理 PC だけであり，WebAP サーバから DB サーバへの SSH を許可してはいけません。また両者の通信は ODBC です。
- エ誤り。条件(2)により ODBC で DB に接続するのは WebAP サーバ上のプログラムだけなので，インターネットから WebAP サーバへの ODBC を許可する必要はありません。