DMZと検疫ネットワーク

信頼度や役割の異なる機器を内部ネットワークから分離する構成です。DMZは外部公開サービスを置く中間領域、検疫ネットワークは安全性を確認できていない端末を一時収容する制限領域です。

■ 試験で押さえるポイント

• DMZではインターネットから公開サーバへの必要通信と、公開サーバから内部への最小限の通信だけを許可します。DMZ上の侵害を前提に内部への横展開を抑えます。

• 検疫ネットワークでは、端末の認証、OS・定義ファイルの更新、マルウェア感染、構成遵守などを確認し、適合後に通常ネットワークへ移します。

• NACは端末・利用者の状態に応じてVLAN、ACL、認証結果などを使い接続先を制御します。検査に合格したことは端末が将来も安全である保証ではありません。

• DMZは安全な領域ではありません。監視、更新、WAF、最小権限、ログ転送、管理経路分離などを併用します。

■ 過去問での着眼点

外部公開サーバを隔離するのがDMZ、未確認端末を検査まで隔離するのが検疫ネットワークです。隔離対象と解除条件を手掛かりにします。DMZから内部への通信も必要最小限に制限することが重要です。

例: 公開WebサーバはDMZへ置き、DBへの特定ポートだけを許可します。社外PCは検疫VLANへ接続し、更新とマルウェア検査に合格後だけ業務VLANへ移します。