VDIのセキュリティ上の効果｜情報セキュリティマネジメント 令和元年 秋期午前試験 問8
出典：令和元年秋期 午前 問8
分野：セキュリティ ／ 情報セキュリティ対策
A社では現在，インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し，DMZ上に用意したVDI(Virtual Desktop Infrastructure)サーバにPCからログインし，インターネット上のWebサイトをVDIサーバ上の仮想デスクトップのWebブラウザから参照するように変更する。この変更によって期待できるセキュリティ上の効果はどれか。
- ア：インターネット上のWebサイトから，内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
- イ：インターネット上のWebサイト利用時に，MITB攻撃による送信データの改ざんを防ぐ。
- ウ：内部ネットワークのPC及び仮想デスクトップのOSがボットに感染しなくなり，C&Cサーバにコントロールされることを防ぐ。
- エ：内部ネットワークのPCにマルウェアが侵入したとしても，他のPCに感染するのを防ぐ。
TSUNAGARU-ADVICE
まず押さえたいこと
VDIサーバ上の仮想デスクトップからWebサイトを参照する構成では、インターネット上のWebコンテンツを内部ネットワークのPCではなく、DMZ上の仮想環境で扱うことができます。これによって、悪意のあるWebサイトからマルウェアが配布された場合でも、内部PCへ直接ダウンロードされるリスクを下げられます。
試験では、「インターネット閲覧をVDIに分離する＝内部PCへマルウェアを持ち込むリスクを下げる」と押さえると判断しやすくなります。
迷ったときの判断軸
この方式の目的は、Web閲覧環境を内部PCから分離することです。MITB攻撃そのものを防ぐ仕組みではなく、PCや仮想デスクトップが絶対にマルウェア感染しなくなるわけでもありません。また、内部PCに侵入したマルウェアの横展開を直接防ぐ対策とも異なります。
科目Bにつなげるために
科目Bでは、インターネット接続環境を分離することで、外部から持ち込まれる脅威が内部ネットワークへ直接到達しにくくなるという考え方が重要です。VDIやブラウザ分離では、どこでWebコンテンツを実行し、どの範囲まで影響を閉じ込めるのかを意識して事例を読みましょう。
VDIを利用すると、利用者のPC上ではなく、DMZ上の仮想デスクトップからインターネット上のWebサイトへアクセスします。そのため、Webサイトから取得したファイルやマルウェアは、原則としてVDI側で扱われ、内部ネットワークのPCへ直接ダウンロードされにくくなります。
本問では、「DMZ上に用意したVDIサーバ」と「仮想デスクトップのWebブラウザから参照する」という部分が判断のポイントです。インターネット閲覧環境を内部PCから分離できるため、アが適切です。
❌他選択肢が誤りの理由イ：インターネット上のWebサイト利用時に，MITB攻撃による送信データの改ざんを防ぐ。
⇒MITB攻撃は、Webブラウザ内部に入り込んだマルウェアなどによって、送受信データを不正に改ざんする攻撃です。VDIを利用するだけでMITB攻撃そのものを防止できるわけではありません。
ウ：内部ネットワークのPC及び仮想デスクトップのOSがボットに感染しなくなり，C&Cサーバにコントロールされることを防ぐ。
⇒VDIを導入しても、内部PCや仮想デスクトップがマルウェアやボットに感染する可能性までなくなるわけではありません。「感染しなくなる」と断定している点が不適切です。
エ：内部ネットワークのPCにマルウェアが侵入したとしても，他のPCに感染するのを防ぐ。
⇒VDIは主にインターネット閲覧環境を内部PCから分離するための仕組みです。すでに内部PCへ侵入したマルウェアが他のPCへ感染することを直接防ぐ対策ではありません。