VDIでのセキュリティ強化｜情報処理安全確保支援士 平成31年 春期午前Ⅱ試験 問16
出典：平成31年春期 午前Ⅱ 問16
分野：セキュリティ ／ 情報セキュリティ対策
内部ネットワーク上のPCからインターネット上のWebサイトを参照するときは，DMZ上のVDI（Virtual Desktop Infrastructure）サーバにログインし，VDIサーバ上のWebブラウザを必ず利用するシステムを導入する。インターネット上のWebサイトから内部ネットワーク上のPCへのマルウェアの侵入，及びインターネット上のWebサイトへのPC内のファイルの流出を防止する効果を得るために必要な条件はどれか。
- ア：PCとVDIサーバ間は，VDIの画面転送プロトコル及びファイル転送を利用する。
- イ：PCとVDIサーバ間は，VDIの画面転送プロトコルだけを利用する。
- ウ：VDIサーバが，プロキシサーバとしてHTTP通信を中継する。
- エ：VDIサーバが，プロキシサーバとしてVDIの画面転送プロトコルだけを中継する。
TSUNAGARU-ADVICE
まず押さえたいこと
この構成では、内部PCが直接インターネット上のWebサイトへアクセスせず、DMZ上のVDIサーバ上でWebブラウザを利用します。内部PCとVDIサーバ間を画面転送プロトコルだけに限定すれば、Webサイト由来のマルウェアやファイル流出経路を遮断しやすくなり、内部PCとインターネットを直接つながない効果が得られます。
迷ったときの判断軸
PCとVDIサーバ間でファイル転送を許可すると、内部PCのファイルをVDI経由で外部へ持ち出したり、VDI側の不正ファイルを内部PCへ持ち込んだりする経路になります。また、VDIサーバを単なるHTTPプロキシとして使うと、内部PCのWeb通信を中継するだけになり、分離効果が弱くなります。ポイントは、画面だけを転送し、ファイルやWeb通信を内部PCへ通さないことです。
科目Bにつなげるために
科目Bでは、DMZ・内部ネットワーク・VDI・プロキシ・ファイル転送・マルウェア対策を組み合わせたネットワーク分離の問題が出ることがあります。VDIによるWeb分離では、利用者の操作画面は内部PCに表示しても、実際のWebアクセスはVDI側で完結させ、内部PCに危険なコンテンツや機密ファイルの経路を作らない視点を持ちましょう。
VDIは、利用者のデスクトップ環境を手元のPCではなく、サーバ上で動かす仕組みです。
利用者は自分のPCからVDIサーバに接続し、サーバ上の仮想デスクトップを操作します。実際のアプリケーション実行やデータ処理はVDIサーバ側で行われ、クライアントPCには操作結果の画面だけが送られます。
たとえば、利用者がクライアントPCでマウスを動かしたり、キーボードで入力したりすると、その操作情報がVDIサーバへ送られます。VDIサーバ上で処理が行われ、その結果の画面がクライアントPCへ返されます。
VDIには、Webブラウザだけをサーバ側で動かす方式もあれば、OSやアプリケーション、データ保存までほとんどすべてをサーバ側で行う方式もあります。
VDIを使うと、クライアントPC側にデータを残しにくくできるため、情報漏えい対策や端末管理のしやすさにつながります。
つまりVDIは、「手元のPCで作業しているように見えるが、実際の処理はサーバ上の仮想デスクトップで行う仕組み」と考えると分かりやすいです。
この構成では、インターネットへのアクセスをDMZ上のVDIサーバに限定し、内部ネットワーク上のPCとインターネットを直接通信させないことが重要です。
PCとVDIサーバの間で画面転送プロトコルだけを利用すれば、PCには画面表示やキーボード・マウス操作の情報だけが転送されます。ファイル転送を許可しなければ、VDIサーバ上で取得したマルウェアが内部PCへ持ち込まれることや、PC内のファイルがVDIサーバを経由して外部へ流出することを防ぎやすくなります。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：PCとVDIサーバ間は，VDIの画面転送プロトコル及びファイル転送を利用する。
⇒ファイル転送を許可すると、VDIサーバ上のファイルを内部PCへ持ち込んだり、内部PCのファイルをVDIサーバへ送り出したりできます。そのため、マルウェアの侵入や情報流出を防止するという目的を十分に達成できません。
ウ：VDIサーバが，プロキシサーバとしてHTTP通信を中継する。
⇒VDIサーバ上のWebブラウザを利用する構成では、VDIサーバ自身がインターネットへアクセスします。内部PCのHTTP通信を中継するプロキシサーバとして動作させる必要はなく、PCとインターネットの通信を中継すると分離の効果が弱まります。
エ：VDIサーバが，プロキシサーバとしてVDIの画面転送プロトコルだけを中継する。
⇒画面転送プロトコルは、内部PCとVDIサーバとの間で利用するものであり、VDIサーバがプロキシとして中継するものではありません。必要なのは、PCとVDIサーバ間の通信を画面転送に限定することです。