ファイアウォールと DMZ

ファイアウォールの方式

静的なパケットフィルタリングで社内の PC から外部の SMTP サーバへメールを送らせるなら， 行き（PC → サーバ，宛先ポート25，送信元ポート1024以上）と戻り（サーバ → PC，送信元ポート25，宛先ポート1024以上）の2つのルールが要ります。

ルールの設定でよく問われるのは次の2つです。

• ping に応答させない：ping は ICMP なので，ICMP を通過禁止にする
• IP スプーフィングを防ぐ：外部から入ってきたのに送信元が自分のネットワークの IP アドレスになっているパケットは偽物なので，破棄する

ファイアウォールが防げるのは，外部に公開しないサービスへのアクセスのように，アドレスとポートで見分けられるものです。 公開している Web サーバへの正規のポートを使った攻撃（SQL インジェクションなど）は，通信の中身を見ないと防げないので WAF の出番です。

DMZ の設計

DMZ に置くのは，インターネットから直接アクセスされる公開サーバ（Web・メール・DNS など）です。 DMZ のサーバが乗っ取られても社内まで入られないよう，DMZ から内部ネットワークへの通信は最小限にします。

• DMZ の Web サーバが内部の DB サーバにデータを書き込むなら，DB サーバの受信ポートを固定し， Web サーバから DB サーバのそのポートへの通信だけをファイアウォールで通す
• DNS サーバを公開用と社内用で共用すると，キャッシュポイズニングを受けたときに社内の利用者まで偽のサーバに誘導される。公開用と社内用は分ける
• 社内の PC から Web を見るときに DMZ の VDI サーバを経由させると，PC と VDI サーバの間は画面転送のプロトコルだけになり， Web サイトから受け取ったデータ（マルウェアを含むかもしれない）が PC に直接届かない

試験での問われ方

当サイトが収録している午前の問題のうち，DMZ・ファイアウォール・パケットフィルタリングなどの語が出てくるのは62問です （WAF の問題は除いています）。半分あまりが情報処理安全確保支援士の午前Ⅱで，ネットワークスペシャリストの午前Ⅱと午前Ⅰにも出ます。型ごとに数えると次のとおりです。

• パケットフィルタリングのルール（16問）。本来必要なサービスに影響なく防げるもの（「外部に公開しないサービスへのアクセス」，5問）， ping に応答させないために通過禁止にするもの（ICMP，4問），IP スプーフィングの対策 （「外部から入るパケットの送信元 IP アドレスが自ネットワークのものであれば，そのパケットを破棄する」，4問）， 静的なパケットフィルタリングで必要なルールの組などです。
• DMZ の設計（15問）。VDI サーバを使った Web 閲覧（5問），DMZ の DNS サーバを共用したときのキャッシュポイズニングの影響（4問）， DMZ の Web サーバと内部の DB サーバの間の設定（「DB サーバの受信ポート番号を固定し，Web サーバから DB サーバの受信ポート番号への通信だけをファイアウォールで通す」など，2問）， DB サーバを DMZ から内部へ移すときのルールの変更などです。
• ステートフルインスペクション（10問）。「過去に通過したリクエストパケットに対応付けられる戻りのパケットを通過させることができる」が定番の正解です。
• NAPT の効果（2問）。「内部ネットワークからインターネットにアクセスする利用者 PC について，インターネットからの不正アクセスを困難にすることができる」です。
• このほか，ステージング環境，ペネトレーションテスト，NTP の増幅攻撃，認証 VLAN などの問題（19問）の選択肢に出てきます。

出題された過去問（62問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

XSS・CSRF・クリックジャッキング　VPN・IPsec