情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
公開サーバからDBへ進める範囲
条件を整理し、答えを選んでから解き方を確認しましょう。
公開WebをDMZへ置いたが、DMZから社内全体への通信を全許可した。必要なのはWebから特定DBの指定ポートだけである。是正はどれか。
答え・解き方を読む
必要な送信元・宛先・サービスに絞り他の社内宛てを制限する
考える順序
- 1区画名だけで通信経路は制限されない
- 2公開サーバ侵害後の到達範囲も考える
- 3必要なDB接続を残して不要な経路を閉じる
選択肢ごとの理由
- 比較 · 外部からWebへの通信だけ拒否すれば通常公開を維持できる
公開サービスを止めるだけでは必要機能と分離の両立になりません。
- 比較 · DBの接続ポートを変えるだけで到達範囲の全許可を解消できる
番号変更だけでは他の社内資源への全許可が残ります。
- 正解 · 必要な送信元・宛先・サービスに絞り他の社内宛てを制限する
区画名だけで通信経路は制限されない。公開サーバ侵害後の到達範囲も考える。必要なDB接続を残して不要な経路を閉じる。
- 比較 · DMZという名前が付けば社内への全許可でも分離は成立
実際の規則が社内全体への到達を許しています。