DMZ の通信制御
ファイアウォールによってインターネット，DMZ 及び内部ネットワークの三つのセグメントを分け，DMZ に公開 Web サーバを設置する。ファイアウォールのフィルタリングの方針として，最も適切なものはどれか。
- アDMZ の Web サーバは公開するサーバなので，インターネットから DMZ への通信は全て許可し，内部ネットワークへの通信だけを制限する。
- イインターネットから DMZ へは Web サーバへの HTTPS 通信だけを許可し，DMZ から内部ネットワークへの通信の開始は，必要なものを除いて禁止する。
- ウWeb サーバの利用者が社内の情報も参照できるように，インターネットから内部ネットワークへの HTTPS 通信を許可する。
- エDMZ の Web サーバは堅牢化してあるので，DMZ から内部ネットワークへの通信は全て許可し，管理の手間を減らす。
正解と解説を見る
正解 イ
この問題の基礎知識
- DMZ は，インターネットと内部ネットワークの間にファイアウォールで設ける中間のセグメントであり，外部に公開する Web サーバやメールサーバなどを置く。
- ファイアウォールのフィルタリングは，必要な通信だけを明示的に許可し，それ以外は全て遮断する（デフォルト拒否）のが基本である。
- セグメント間の通信は，通信を開始する方向ごとに必要最小限にし，公開サーバが侵害された場合でも内部ネットワークへの踏み台にされないようにする。
アDMZ の Web サーバは公開するサーバなので，インターネットから DMZ への通信は全て許可し，内部ネットワークへの通信だけを制限する。
公開サーバであっても，インターネットから許可するのは公開するサービスに必要な通信だけにする。明示的に許可していない通信は遮断するのが基本であり，DMZ への通信を全て許可すると不要なサービスまで攻撃にさらされる。
イインターネットから DMZ へは Web サーバへの HTTPS 通信だけを許可し，DMZ から内部ネットワークへの通信の開始は，必要なものを除いて禁止する。正解
DMZ と内部ネットワークの間の通信もファイアウォールを通過するので，ポリシーを適用できる。公開サーバが侵害されても内部ネットワークへ被害が広がらないよう，外部からの通信と DMZ からの通信をともに必要最小限にする。
ウWeb サーバの利用者が社内の情報も参照できるように，インターネットから内部ネットワークへの HTTPS 通信を許可する。
インターネットから内部ネットワークへの直接の通信を許可すると，内部のサーバが外部からの攻撃に直接さらされる。外部に公開するサービスは DMZ に置き，外部から内部ネットワークへの通信は遮断する。
エDMZ の Web サーバは堅牢化してあるので，DMZ から内部ネットワークへの通信は全て許可し，管理の手間を減らす。
公開サーバは外部から攻撃を受けやすく，侵害された場合には内部ネットワークへの攻撃の踏み台になり得る。DMZ から内部ネットワークへの通信を全て許可すると，DMZ を分けた意味が失われる。
検証用の出典出典照合済み
NIST SP 800-41 Rev. 1 Guidelines on Firewalls and Firewall Policy照合の根拠（4 件）
- イ（正解）・ア（誤り）: 明示的に許可した必要な通信以外は遮断する（deny by default）。DMZ への通信を全て許可するのはこれに反する
Generally, firewalls should block all inbound and outbound traffic that has not been expressly permitted by the firewall policy—traffic that is not needed by the organization.
NIST SP 800-41 Rev. 1 · Section 4（新しいタブで開きます） - イ（正解）・エ（誤り）: DMZ と内部ネットワークの間の通信もファイアウォールを通り，ポリシーを適用できる
Traffic between systems on the DMZ and systems on the protected network goes through the firewall, and can have firewall policies applied.
NIST SP 800-41 Rev. 1 · Section 3.1（新しいタブで開きます） - ウ（誤り）: 外部に公開するサーバは DMZ に置く。インターネットから内部ネットワークへの通信を許可する構成にはしない
It is common to put public-facing servers, such as web and email servers, on the DMZ.
NIST SP 800-41 Rev. 1 · Section 3.1（新しいタブで開きます） - ウ（誤り）: 外部から入ってくる通信は deny by default とする
As with other aspects of firewall rulesets, deny by default policies should be used for incoming TCP and UDP traffic.
NIST SP 800-41 Rev. 1 · Section 4.1.3（新しいタブで開きます）