情報処理安全確保支援士 2023年 秋期 問17
17 / 25
セキュリティ対策として、次の条件の下でデータベース(DB)サーバをDMZから内 部ネットワークに移動するような次のネットワーク構成の変更を計画している。この とき、ステートフルパケットフィルタリング型のファイアウォール(FW)において、 必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Web アプリケーション(WebAP)サーバを、インターネットに公開し,HTTPSで アクセスできるようにする。 (2) WebAP サーバ上のプログラムだけが DB サーバ上のDB に接続でき、ODBC(Open Database Connectivity)を使用して特定のポート間で通信する。 (3) SSH を使用して各サーバに接続できるのは、運用管理PCだけである。 (4) フィルタリングルールは、必要な通信だけを許可する設定にする。 [ネットワーク構成の変更〕 変更前 変更後 インターネット インターネット 運用管理 WebAP 運用管理 WebAP PC サーバ PC サーバ L3SW FW L2SW L3SW FW L2SW 内部 DMZ DB DB ・ネットワーク! サーバ サーバ L2SW:レイヤ2スイッチ 内部 L3SW:レイヤ3スイッチ ・ネットワーク! ルールの ルール 変更種別 送一元 宛先 サービス 制御 削除
正解と解説
表示する
運用管理PC 変更前のDB サーバ SSH 許可
DBサーバをDMZから内部ネットワークへ移すと、WebAPサーバからDBサーバへのODBC通信の経路が変わるため、その通信を許可するフィルタリングルールを追加する必要があります。条件よりWebAPサーバからのODBC接続だけを許可する必要があり、DMZ内DB宛の旧ルール削除と併せて、WebAPから内部DBへのODBC許可ルール追加が変更の一つです。