ネットワーク境界防御とDMZ設計｜ファイアウォール・IDS/IPS・WAFの役割と配置

境界防御の役割では、通信経路の制御とWebリクエストの検査を区別します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. DMZ（非武装地帯）の基本構造と配置ルール

DMZとは、外部ネットワーク（インターネット）と内部ネットワーク（社内LAN）の中間に配置される、隔離されたネットワークセグメントです。

区域	例	通信の制御
外部	インターネットの利用者	公開するサービスへの必要な通信に限定する
DMZ	公開Web等のサーバ	内部への通信は業務上必要な送信元・宛先・ポートに限定する
内部の保護区域	業務PC、DB等	外部から直接不要な通信を許可せず、区域間も必要な範囲に制御する

設計の考え方
根拠：顧客情報を持つDBは、公開Webとは分離した保護区域に配置し、必要なアプリケーションからの通信等に限定します。区域名だけで安全になるわけではありません。
確認する点：DMZから内部への全通信禁止と、必要なDB接続の許可を矛盾させず、必要な例外を具体的に定義します。

2. 境界防御セキュリティ機器の3大役割分担

境界に配置される代表的なセキュリティ機器の役割と防御レイヤの違いを整理します。

対策	主な役割	限界
パケットフィルタ型FW	IPアドレスやポート、方向で通信を制御する	Web入力の全ての意味まで判断するものではない。製品によって追加機能がある
IDS・IPS	攻撃パターンや異常を検知し、IPSでは遮断も行う	誤検知・見逃しがあり、暗号化通信の検査条件も確認する
WAF	HTTPの内容を検査してWeb攻撃を抑える	適切に内容を検査できる構成が必要。更新や安全な実装を代替しない

3. プロキシサーバ（フォワードとリバース）の使い分け

フォワードプロキシ（社内 → インターネット）：社内PCの代理としてインターネットへ接続する。社内クライアントのIPアドレスを隠蔽し、URLフィルタリングやマルウェアダウンロード遮断を行う。
リバースプロキシ（インターネット → 社内/DMZ）：Webサーバの代理として外部からのリクエストを受け付ける。WebサーバのIPアドレス隠蔽、負荷分散（ロードバランシング）、SSLアクセラレーション、キャッシュによる高速化を担う。

4. 科目B形式実戦シナリオ演習

演習1：DMZに配置された公開Webサーバのセキュリティ設計

〔背景〕通信販売業者J社では、顧客向けのECサイトを自社構築することになり、図のようなネットワーク構成を計画した。インターネットとDMZ、社内LANの境界にはファイアウォール（FW）を設置し、DMZには公開Webサーバ、社内LANには会員情報が格納されたデータベース（DB）サーバを配置する。

〔設問〕FWにおける通信許可ルールとして、セキュリティ上最も適切な設定の組み合わせはどれか。

選択肢	インターネット → DMZ（Webサーバ）	DMZ（Webサーバ） → 社内LAN（DBサーバ）	DMZ（Webサーバ） → インターネット
ア	全ポート許可	全ポート許可	全ポート許可
イ	ポート80/443（HTTP/HTTPS）のみ許可	DB接続用ポート（例: 5432/3306）のみ許可	原則遮断（必要なパッチ取得等のみ限定許可）
ウ	ポート80/443のみ許可	全ポート許可	全ポート許可
エ	原則遮断	ポート80/443のみ許可	原則遮断

【解答と解説】

正解：イ

解説：最小権限の原則に基づくファイアウォール設計として完全に正しい構成です。①インターネットからはWeb閲覧に必要なポート（80: HTTP, 443: HTTPS）のみをDMZのWebサーバに対して許可します。②Webサーバから内部のDBサーバに対しては、DBMSが使用する固有のポートのみに限定し、管理用ポート（SSH/RDP等）は遮断します。③万一Webサーバが乗っ取られた場合、攻撃者が外部のC&Cサーバと通信（リバースシェル等）することを防ぐため、DMZからインターネットへのアウトバウンド通信は原則遮断とします。

演習2：Webサイトへの不正リクエスト検知と防御機器の選定

〔背景〕K社の公開Webサーバに対して、不審なアクセスが急増した。アクセスログを確認したところ、URLの検索パラメータに「' OR '1'='1」などの不審な文字列が含まれていた。現在導入されているパケットフィルタリング型ファイアウォール（FW）では、この通信が「ポート443宛ての正常なHTTPS通信」としてすべて通過してしまっていた。

〔設問〕この攻撃（SQLインジェクション）を検知し、Webサーバに到達する前にネットワーク境界で遮断するために導入すべき機器として、最も適切なものはどれか。

ア：L4パケットフィルタリング型ファイアウォールを二重化する。
イ：HTTPS通信のペイロード（HTTPリクエストパラメータ）を検査・遮断できるWAF（Web Application Firewall）を導入する。
ウ：フォワードプロキシサーバをDMZ内に増設する。
エ：社内LANの全端末にウイルス対策ソフトを再インストールする。

【解答と解説】

正解：イ

解説：一般的なL4ファイアウォールは、IPアドレスとポート番号（443番など）しか見ないため、通信の中身（HTTPリクエストに含まれるSQLインジェクション文字列）を検知・遮断することはできません。アプリケーション層（L7）でリクエスト内容を解析し、SQLインジェクションやXSSなどのWeb特有の攻撃パターンを検知・遮断できるのは「WAF（Web Application Firewall）」です。

5. まとめと試験直前チェックリスト

DMZの原則：公開サーバを隔離配置し、DMZから社内LANへの新規接続は原則禁止
DBサーバの配置：顧客情報を持つDBサーバは絶対にDMZに置かず、内部LANに隠蔽する
FW（L3/L4）：IPアドレスとポート番号で通過/遮断を制御（中身は検査不可）
IDS/IPS（L4〜L7）：シグネチャに基づき、不正侵入を検知（IDS）・自動遮断（IPS）
WAF（L7）：Webアプリへの攻撃（SQLi、XSS）をリクエスト内容解析で防御

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1