情報処理安全確保支援士試験 令和5年度 秋期 午前II 問17

【正解】イ

図では、変更前のDBサーバはWebAPサーバとともにDMZのL2SWに接続されていますが、変更後は内部ネットワークのL3SWに接続されています。変更前は運用管理PCからDBサーバへのSSH通信がFWを通過するため、その通信を許可するルールが必要です。しかし、移動後のDBサーバと運用管理PCはともに内部ネットワーク側にあり、この通信はFWを通過しません。必要な通信だけを許可する方針に従い、変更前のDBサーバを宛先とする不要なSSH許可ルールを削除するので、イが正解です。

アのHTTPS許可ルールの削除は誤りです。WebAPサーバは引き続きDMZに置かれ、インターネットへHTTPSで公開されるので、この許可ルールは必要です。

ウのSSH許可ルールの追加は誤りです。WebAPサーバからDBサーバへのSSHは要件にありません。SSHで各サーバに接続できるのは運用管理PCだけです。

エのODBC許可ルールの追加は誤りです。DBへODBCで接続できるのはWebAPサーバ上のプログラムだけであり、インターネットからWebAPサーバへのODBC通信を許可する必要はありません。

【ポイント】 DB移動後は、DMZのWebAPサーバから内部のDBサーバへのODBC通信だけを、指定ポートに限定してFWで許可します。 ステートフル型FWでは、許可した通信の応答パケットは状態情報に基づいて通過できるため、通常は応答用の逆方向ルールを別途設けません。