【ネスペ３問】DMZを用いたセキュリティ対策（ネットワークスペシャリスト）

このNoteではネスペR06～H21から、ネットワーク構造とサーバー配置の問題を集めてみました。

FWによるネットワーク構造、登場するサーバの配置も、応用情報技術者午後レベル。セキスペに合格しているならまず問題ありません。しかしネスペならでは、通信プロトコルに更に深く突っ込んでいます。

リーバスプロキシやVDIは、セキスペでは攻撃者からサーバやデータを守る観点が強かったです。一方ネスペでは、どのようなプロトコルを使って、どのようにネットワークを構築していくかに踏み込んでいるのが特徴。

今回の3問は入口に過ぎません。ささっと午前対策を終えて、関連Noteや午後1の演習に取り掛かってくださいね。

なお、私の全てのNoteは、学生時代の独学合格体験、大学・IT専門学校での授業経験に基づいています。受ける側・教える側の実績に少しでも信用して頂けたら嬉しいです。

それでは始めましょう！

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／

講座 | 知識は応用情報技術者レベル

今回扱う3問では、FW, リバースプロキシ, VDIが出てきます。

これらは、全て応用情報技術者レベル（AP）。下図は、AP用にまとめたNoteより。

登場するサーバや構造は応用情報技術者レベルですが、Noteには「なぜそのように配置するのか」を、セキュリティ的な観点で詳しく書きました。

応用情報技術者でも情報処理安全確保支援士（登録セキスペ）でも通用する内容です。自信作なので必ず見て欲しいです。＞12サーバの配置まとめNote

問題１ | FWのパケットフィルタリング

FWのフィルタリングルール。

基本情報技術者（FE）レベルですね。＞【FE】セキュリティ機器のNote

正答はウ。

「ステートフルインスペクション機能を持っていない」ので、往復の通信を設定する必要があります。

• SMTPで発信：社内PC→インターネット（のSMTPサーバ）

• SMTPの応答を受信：インターネット（のSMTPサーバ）→社内PC

送信元と宛先について、ア～エに違いはないので、ポート番号で判断していきます。

メール送信の宛先ポート番号は25。社内PCから、SMTPサーバの25番に発信します。SMTPサーバから社内PCへの返答は、SMTPサーバの25番から送信されます。

なおステートフルインスペクション機能（ダイナミックパケットフィルタリング）がある場合は、発信だけのルールを設定すればOK。

「社内PC→インターネット（のSMTPサーバ）の25番」だけ許可すれば、発信があった時に通して、「インターネット（のSMTPサーバ）の25番→社内PC」の通信も一定時間だけ通します。＞【FE】セキュリティ機器のNote

ポート番号について。

SMTP（25）とHTTP（80）は、Iパスレベル。＞【Iパス】プロトコル９のNote

ネスペになれば、110ポートがPOP3（メール受信）と知っておいて欲しいです。＞【FE】プロトコル１０のNoteで挙げたプロトコルのポート番号で、FTP（20, 21）, HTTPS（443）, NTP（123）, DNS（53）はもう必須 。

さらにネスペでは多くのプロトコルが出てきます。また、TCPとUDPのどちらを使っているかが問われることも。＞ネスペのプロトコル総まとめ（準備中＊）

問題２ | リバースプロキシ

FEまではプロキシサーバは馴染みがあり、APからリバースプロキシも出始めました。更にセキスペ（SC）では、リバースプロキシによるSSO（シングルサインオン）やサーバへの誘導などの使われ方も出題されました。

ネスペでも、通信経路のセキュリティに注目した出題が見られました。

正答はイ。消去法で正答すると良いかもですね。

• ア：「インターネット上での盗聴を防ぐ」とサーバの配置は無関係です。盗聴を防ぐなら暗号化しかありません。

• ウ：アと同じ。

• エ：アと同じく、盗聴して改ざんされ再送信する行為を防げません。改ざんを検知するためにデジタル署名などを付与するなどの対策はできます。

イについて。リバースプロキシサーバは、外部からのアクセスを一旦受けて、適切なサーバへ代理アクセスします。

イでは、インターネットからのアクセスを、DMZのリバースプロキシサーバが一旦受け付けます。リバースプロキシサーバはWebサーバへのアクセス要請なら、Webサーバへアクセスして結果をインターネット利用者に送信します。

インターネット利用者（外部者）は、Webサーバご本尊には直接アクセスできないので、Webページの改ざんはできません。

まとめておきます。

プロキシ：内部者のインターネットへのアクセスを受ける。

PCの代わりにインターネットへアクセスする。内部者のアクセスを一元管理できる。例えば、URLフィルタリングして業務と無関係なサイト・有害サイトへのアクセスを禁止できる。

リバースプロキシ：外部者からのアクセスを受ける。適切なサーバへ代理アクセスする。

複数あるWebサーバへの負荷分散、複数あるサービスへの適切な振り分け、SSO（シングルサインオン）などに使われる。＞SSOのNote

問題３ | VDIサーバ

VDIは、いわゆるシンクライアント。サーバにデータを保存しアプリを起動させ、端末には画面画像だけ送ります。PCを外に持ち出す時のセキュリティ対策の王道です。一昔前のセキスペでは「持ち出しPC→シンクライアント導入」は王道解でした。

在宅ワークのために、会社と同じ環境で作業する需要も高まり、さらにVDIが導入される問題が多くなりました。VDIサーバに至るまでの通信プロトコル（VPNなど）、VDIサーバへの認証が問われる傾向にあります。

正答はイ。

問題文より「PC→VDIサーバ→インターネットのWebサイト」とアクセスしています。各選択肢にツッコミを入れてみます。

• ア：「ファイル転送」によってPCに感染します。

• ウ：「HTTP通信」によってPCに感染します。

• エ：「画面転送プロトコルだけを中継」では、WebサイトにHTTP通信できないのでWebページが閲覧できません。

イでは「PC→（画面転送プロトコル）→VDI→（HTTP）→Webサーバ」を示唆しています。Webサーバからマルウェアやハッキングが行われても、VDIサーバ止まり。PCには至りません。画面転送プロトコルでは、画面の「画像」だけがPCに送られます。

なお、PCからVDIへは、マウスの位置情報とクリック情報、キーボードの入力情報が、画面転送プロトコルで送られます。

まとめ

お疲れ様でした！

今までの知識に少しだけ、セキスペやネスペの観点が毛のようについたかな、ぐらいの印象ですね。

とはいえ午後問題ではディープになってきます。Iパスから続いてきたネットワーク知識を盤石に仕上げて取り組んで行ってくださいね。

＞【Iパス】プロトコル９のNote
＞【FE】プロトコル１０のNote
　※FEのネットワークは全7回あります
＞【FE】セキュリティ機器のNote
＞【AP】12サーバの配置まとめNote
＞【ネスペ】プロトコルまとめNote（準備中＊）

次は、＞攻撃手法と対策Note でお会いしましょう。でわでわ。

＞TOPページ：全てのNoteへの入口＜

＼私の3ヶ月の学習記録／