平成21年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9

✓ これが正解アDB サーバの受信ポートを固定にし，Web サーバから DB サーバの受信ポートへ発信された通信だけをファイアウォールで通す。

解説

WebサーバからDBサーバの決まった受信ポートへの通信だけを通します。

ファイアウォールの設定は、必要な通信だけを通し、それ以外を止めるのが基本です。このシステムで DB サーバへの通信が必要なのは、入力データを受け付けた公開 Web サーバだけです。そこで DB サーバの受信ポートを固定し、Web サーバからその受信ポートへ発信された通信だけを通します。送信元とあて先ポートの両方で絞るので、許可する範囲が最も狭くなります。判断の軸は、送信元の機器とあて先のポートをどこまで限定できているかです。どちらかを絞っていない設定では、それだけ侵入の入口が広く残ります。

ほかの選択肢はなぜ違うのか

• イDMZ から DB サーバあての通信だけ…：DMZ から DB サーバあての通信をすべて通すと、DMZ にある DNS サーバなど Web サーバ以外の機器からも DB サーバへ届きます。ポートも限定していないので、許可の範囲が広すぎます。
• ウWeb サーバの発信ポートは任意のポート…：いったん終了した通信と同じ発信ポートを拒否しても、どの機器からどのポートへの通信かは制限されません。発信ポートの再利用を防ぐだけで、DB サーバへの入口は狭まりません。
• エWeb サーバの発信ポートを固定し，その…：送信元の発信ポートの番号は、偽装や流用が容易な値です。しかも DB サーバのどのポートへ届くかを限定していないので、不正侵入の対策としては弱い設定です。