応用情報技術者TLS・名前解決とネットワーク防御の設計オリジナル・公式資料照合難易度★★★☆☆
外部向け画像変換サーバー群と顧客DBが同じ内部ネットワークにある。画像変換はオブジェクトストレージだけを使い、顧客DBへの接続は不要である。画像変換サーバー侵害時のDBへの横移動を抑える設計はどれか。
A
内部IPからの接続はすべて信頼し、全サーバー間の通信を許可する
内部の端末も侵害され得ます。内部IPという理由だけで不要な通信まで認めると横移動の経路が残ります。
B
外向きHTTPSの暗号化だけを強制し、画像変換からDBへの不要な内部到達は許可したままにする
通信経路の暗号化だけでは、侵害されたサーバーからDBへの不要な接続を禁止できません。到達と操作権限の制限が必要です。
C
用途ごとにネットワークと権限を分け、画像変換からDB・管理系への不要な経路を拒否し、必要な通信だけを許可する★ 正解
業務上不要な通信と資格情報へのアクセスを分離することで、画像変換サーバーからDBへ到達する経路を減らせます。
D
DBの管理者資格情報を全サーバーへ配り、障害対応をしやすくする
不要な管理者権限を広く配ると侵害時の被害範囲を拡大します。ネットワーク分離の目的にも反します。
解説
分離はVLANやサブネット名を変えるだけでなく、経路上の制御とID・権限を伴います。必要な通信は明示し、アプリ自身の脆弱性対策や監視も継続します。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験
資料確認日：2026-10-28
同じレッスンの問題
問題 1
TLS 1.3でPSKを使って再開する通常の1-RTT通信を設計する。将来、その再開接続に使ったPSKだけが漏えいしても、記録済みの当該1-RTT通信を保護する前方秘匿性を得たい。接続ごとに安全な新しい(EC)DHE鍵共有を利用でき、通信終了後には一時秘密値・通信鍵を消去する。0-RTTは使わず、鍵ログ・端末侵害・実装欠陥はない。PSK鍵交換モードの選択として適切なのはどれか。
問題 2
送金APIを複数拠点で提供し、TLS 1.3の0-RTT early dataの利用を検討している。拠点をまたぐ一貫した再送検知はまだなく、同じ送金を重複実行してはならない。遅延短縮より二重送金防止を優先する設計はどれか。
問題 3
HTTPSクライアントがapi.prod.example.comへ接続する。提示された証明書は信頼するCAの有効な署名・有効期間を持つが、DNS-IDはsubjectAltNameの*.example.comだけである。RFC 9525のワイルドカードによるサービス名照合を使い、別の一致する識別子はない。この証明書をどう扱うべきか。
問題 4
端末から外部DNSリゾルバーへの問い合わせをDoHにした。HTTPSの相手認証は正しいが、リゾルバー自体を無条件には信頼できない。対象ゾーンはDNSSEC署名済みで信頼アンカーからの検証が可能である。DoHとDNSSECの役割を区別した説明はどれか。